AI Act et RH : obligations de l’employeur et calendrier d’application

Le règlement européen sur l’IA en quelques repères

Le règlement (UE) 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle, appelé AI Act ou RIA, a été publié au Journal officiel de l’Union européenne le 12 juillet 2024 et il est entré en vigueur le 1er août 2024. Comme tout règlement européen, il s’applique directement, sans loi de transposition. Il a été modifié par le règlement dit « omnibus IA » (règlement (UE) 2026/1744), publié au Journal officiel de l’Union européenne le 24 juillet 2026 et entré en vigueur le 27 juillet 2026, qui a notamment reporté l’application des règles relatives aux systèmes à haut risque et assoupli certaines obligations.

Le texte classe les systèmes d’IA selon le risque qu’ils présentent : les pratiques interdites, les systèmes à haut risque soumis à des exigences strictes, les systèmes soumis à des obligations de transparence, et tous les autres, pour lesquels il n’impose pas d’obligation particulière en dehors de la maîtrise de l’IA.

Il distingue surtout deux rôles. Le fournisseur développe un système d’IA, ou le fait développer, et le met sur le marché sous son nom : c’est l’éditeur du logiciel de recrutement ou de gestion des talents. Le déployeur utilise un système d’IA sous sa propre autorité, dans un cadre professionnel : c’est la position habituelle de l’employeur. Les obligations les plus lourdes pèsent sur le fournisseur, mais le déployeur a les siennes. Il peut aussi devenir lui-même fournisseur s’il appose son nom ou sa marque sur un système à haut risque déjà mis sur le marché, s’il le modifie substantiellement ou s’il en change la destination de manière à le rendre à haut risque.

Le règlement ne remplace pas le RGPD. Comme le rappelle la CNIL, les deux textes s’appliquent ensemble dès qu’un système d’IA traite des données personnelles, ce qui est presque toujours le cas en RH.

Les pratiques interdites qui concernent le travail

Depuis le 2 février 2025, l’article 5 interdit plusieurs pratiques. Deux visent directement le monde du travail.

• La reconnaissance des émotions sur le lieu de travail. Est interdite l’utilisation de systèmes d’IA pour inférer les émotions d’une personne physique sur le lieu de travail et dans les établissements d’enseignement, sauf lorsque le système est destiné à être mis en place pour des raisons médicales ou de sécurité. Un outil qui prétend mesurer la motivation, le stress ou la satisfaction des salariés à partir de leur visage ou de leur voix tombe sous le coup de l’interdiction.
• La catégorisation biométrique. Est interdit le classement individuel de personnes à partir de leurs données biométriques pour en déduire leur origine raciale, leurs opinions politiques, leur affiliation syndicale, leurs convictions religieuses ou philosophiques, leur vie sexuelle ou leur orientation sexuelle.

Trois autres interdictions peuvent concerner une entreprise : les techniques subliminales, manipulatrices ou trompeuses qui altèrent substantiellement le comportement d’une personne et lui causent un préjudice important ; l’exploitation des vulnérabilités liées à l’âge, au handicap ou à une situation sociale ou économique particulière ; la notation sociale qui conduit à un traitement préjudiciable sans rapport avec le contexte d’origine des données, ou disproportionné. L’omnibus IA a ajouté l’interdiction, à compter du 2 décembre 2026, des systèmes qui génèrent ou manipulent des images intimes ou sexuellement explicites réalistes de personnes identifiables sans leur consentement, ainsi que des contenus pédocriminels.

Le non-respect de ces interdictions est passible d’amendes pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Pour les PME, c’est le montant le plus faible des deux qui s’applique.

Les systèmes « à haut risque » dans l’emploi

Le point 4 de l’annexe III du règlement range parmi les systèmes d’IA à haut risque, dans le domaine de l’emploi, de la gestion de la main-d’œuvre et de l’accès à l’emploi indépendant :

• les systèmes destinés au recrutement ou à la sélection de personnes, notamment pour publier des offres d’emploi ciblées, analyser et filtrer les candidatures et évaluer les candidats ;
• les systèmes destinés à prendre des décisions influant sur les conditions des relations de travail, la promotion ou la rupture de la relation contractuelle, à attribuer des tâches sur la base du comportement individuel, de traits de personnalité ou de caractéristiques personnelles, ou à suivre et évaluer les performances et le comportement des personnes dans le cadre de ces relations.

Concrètement : un module qui classe automatiquement des CV, un outil d’entretien vidéo qui note les candidats, un logiciel de planification qui affecte les tâches selon le profil de chacun, un tableau de bord qui évalue la performance individuelle à partir de données d’activité. La CNIL cite d’ailleurs l’outil de tri automatique de CV comme exemple de système relevant à la fois du règlement sur l’IA et du RGPD. Les agents IA ne forment pas une catégorie à part : c’est l’usage qui compte, et un agent chargé de répartir le travail ou de suivre l’activité des salariés peut relever de cette liste.

Le règlement prévoit une dérogation à l’article 6, paragraphe 3 : un système de l’annexe III n’est pas considéré comme à haut risque s’il ne présente pas de risque important de préjudice pour la santé, la sécurité ou les droits fondamentaux, notamment parce qu’il exécute une tâche procédurale étroite, améliore le résultat d’une activité humaine déjà réalisée, détecte des schémas de décision sans remplacer ni influencer l’évaluation humaine sans examen approprié, ou exécute une tâche préparatoire. Cette dérogation ne joue jamais lorsque le système effectue un profilage de personnes physiques, ce qui est fréquent en RH. Le fournisseur qui l’invoque doit documenter son évaluation : demandez-lui cette documentation.

Les obligations de l’employeur qui déploie un système d’IA

Pour tout système d’IA

L’article 4 impose aux déployeurs, depuis le 2 février 2025, de prendre des mesures pour soutenir le développement de la maîtrise de l’IA de leur personnel et des autres personnes qui utilisent ces systèmes pour leur compte. Depuis l’omnibus IA, le texte précise que cette obligation n’impose pas de garantir un niveau déterminé de maîtrise pour chaque personne. Le droit français ajoute ses propres règles, applicables à tout outil : le candidat est expressément informé, avant leur mise en œuvre, des méthodes et techniques d’aide au recrutement utilisées à son égard, qui doivent être pertinentes au regard de la finalité poursuivie (article L1221-8 du Code du travail) ; le salarié l’est de la même façon pour les méthodes d’évaluation professionnelle (article L1222-3) ; aucune information le concernant personnellement ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance (article L1222-4). Enfin, l’article 22 du RGPD protège contre les décisions fondées exclusivement sur un traitement automatisé qui produisent des effets juridiques ou affectent la personne de manière significative.

Pour un système à haut risque, à partir du 2 décembre 2027

L’article 26 du règlement fixe les obligations du déployeur d’un système à haut risque. L’employeur doit :

• utiliser le système conformément à sa notice d’utilisation, au moyen de mesures techniques et organisationnelles appropriées ;
• confier le contrôle humain à des personnes qui disposent des compétences, de la formation et de l’autorité nécessaires ;
• lorsqu’il contrôle les données d’entrée, veiller à ce qu’elles soient pertinentes et suffisamment représentatives au regard de la destination du système ;
• surveiller le fonctionnement du système et, s’il présente un risque, en informer le fournisseur ou le distributeur et l’autorité de surveillance du marché, et suspendre son utilisation ; signaler les incidents graves ;
• conserver les journaux générés automatiquement, lorsqu’ils sont sous son contrôle, pendant une durée adaptée d’au moins six mois ;
• informer, avant la mise en service ou l’utilisation sur le lieu de travail, les représentants des travailleurs et les travailleurs concernés qu’ils seront soumis au système ;
• utiliser les informations fournies par le fournisseur pour réaliser, le cas échéant, l’analyse d’impact relative à la protection des données prévue par le RGPD ;
• informer les personnes faisant l’objet de décisions prises ou assistées par le système qu’elles y sont soumises ;
• coopérer avec les autorités compétentes.

Toute personne visée par une décision fondée sur les résultats d’un tel système, qui produit des effets juridiques ou l’affecte de manière significative et dont elle estime qu’elle porte atteinte à sa santé, à sa sécurité ou à ses droits fondamentaux, peut en outre obtenir du déployeur des explications claires sur le rôle du système dans la procédure et sur les principaux éléments de la décision (article 86). L’analyse d’impact sur les droits fondamentaux de l’article 27 vise, pour l’essentiel, les organismes de droit public, les entités privées qui fournissent des services publics et certains usages en matière de crédit et d’assurance : un employeur privé n’y est en principe pas tenu pour ses outils RH. Le non-respect des obligations du déployeur est passible d’amendes pouvant atteindre 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial, le montant le plus faible des deux s’appliquant aux PME.

Le calendrier d’application et ses reports

Le calendrier ci-dessous intègre les modifications apportées par l’omnibus IA. Il est à jour au 30 octobre 2026.

Avant l’omnibus, les règles relatives aux systèmes à haut risque de l’annexe III devaient s’appliquer dès le 2 août 2026. Ce report ne touche ni les interdictions, déjà applicables, ni l’obligation de maîtrise de l’IA, dont le contrôle a commencé. Il laisse un peu plus d’un an pour s’organiser : c’est le délai nécessaire pour inventorier les outils, interroger les fournisseurs, former les personnes chargées du contrôle humain et consulter les représentants du personnel.

Informer les salariés et consulter le CSE

Deux séries de règles s’additionnent. Le règlement européen impose, pour les systèmes à haut risque, d’informer les représentants des travailleurs et les salariés concernés avant la mise en service sur le lieu de travail. Le Code du travail, lui, s’applique dès maintenant à tout outil. Dans les entreprises d’au moins 50 salariés, le comité social et économique est informé et consulté sur l’introduction de nouvelles technologies et sur tout aménagement important modifiant les conditions de travail (article L2312-8), ainsi que, préalablement à la décision de mise en œuvre, sur les moyens ou techniques permettant un contrôle de l’activité des salariés (article L2312-38). Il peut se faire assister par un expert habilité en cas d’introduction de nouvelles technologies (article L2315-94).

En pratique, l’ordre est le suivant : consultation du CSE avant la décision, sur la base d’une description précise de l’outil, de ses finalités, des données traitées et du contrôle humain prévu ; puis information individuelle des salariés et, pour un outil de recrutement, des candidats. Les mêmes éléments nourriront l’analyse d’impact relative à la protection des données, à mener avec le délégué à la protection des données lorsque le traitement présente un risque élevé.

Feuille de route pour une PME

Une PME n’a ni service juridique dédié ni équipe de conformité. Les étapes suivantes suffisent pour aborder le 2 décembre 2027 sereinement.

1. Inventorier les outils d’IA utilisés en RH et dans l’organisation du travail, y compris les fonctions intégrées aux logiciels de paie, de recrutement, de planification ou de visioconférence.
2. Classer chaque outil : pratique interdite, système à haut risque de l’annexe III, obligation de transparence, autre usage.
3. Arrêter sans attendre toute pratique interdite, en particulier l’analyse des émotions des salariés.
4. Interroger les fournisseurs des outils à haut risque : classement retenu, documentation en cas de dérogation, notice d’utilisation, journaux disponibles, calendrier de mise en conformité.
5. Désigner et former les personnes chargées du contrôle humain, avec une autorité réelle pour écarter le résultat de l’outil.
6. Mener l’analyse d’impact relative à la protection des données avec le délégué à la protection des données ou un conseil.
7. Informer et consulter : CSE, salariés, candidats.
8. Tenir un registre simple : outils, rôle de l’entreprise, classement, responsables, formations suivies, dates de revue.

Pour les usages quotidiens de l’IA générative dans les équipes, qui relèvent rarement du haut risque, la démarche passe par une charte et une formation : voir notre trame de règles d’usage de l’IA générative en équipe. Le chapitre du guide consacré à l’IA et au management replace ces obligations dans le travail du manager, et celui sur la conduite du changement aide à introduire un nouvel outil sans perdre la confiance de l’équipe.