AI Act et RH : ce que le règlement européen change pour les employeurs

Publié le 18 août 2026 · Mis à jour le 18 août 2026 · Lecture : 12 min · Par Arnaud Seknazi

AI Act et RH : depuis le règlement européen sur l’intelligence artificielle, tout employeur qui déploie des outils d’IA dans ses processus de ressources humaines est soumis à des obligations spécifiques. Voici, à jour d’août 2026, ce qui s’applique déjà, ce qui est reporté au 2 décembre 2027, et par où commencer.

AI Act et RH : le règlement s’applique-t-il à vos outils ?

Oui, et de façon ciblée. Le règlement (UE) 2024/1689 du 13 juin 2024, dit « AI Act », est le premier cadre juridique complet au monde sur l’intelligence artificielle. Il repose sur une approche par les risques : plus l’usage d’un système d’IA peut affecter les droits des personnes, plus les obligations sont lourdes.

L’emploi figure explicitement parmi les domaines sensibles. L’annexe III, point 4 classe « à haut risque » les systèmes d’IA destinés :

• au recrutement et à la sélection de personnes physiques — publication ciblée d’offres, analyse et filtrage des candidatures, évaluation des candidats (point 4.a) ;
• aux décisions affectant la relation de travail — promotion, rupture, attribution des tâches sur la base du comportement ou de caractéristiques personnelles, suivi et évaluation des performances (point 4.b).

Concrètement : un ATS qui trie des CV par pertinence, un outil de matching candidats-postes, un logiciel de staffing qui affecte les consultants aux missions selon leurs compétences, ou un module d’évaluation de la performance relèvent en principe du haut risque. En tant qu’employeur qui utilise ces systèmes, vous êtes un « déployeur » au sens du règlement — avec des obligations propres, distinctes de celles du fournisseur de la solution.

Une dérogation existe (article 6, paragraphe 3) : un système listé à l’annexe III échappe au haut risque s’il ne présente pas de risque important pour la santé, la sécurité ou les droits fondamentaux — par exemple s’il se limite à une tâche procédurale étroite. Mais ce même article pose un verrou : un système qui profile des personnes physiques est toujours considéré à haut risque. Le tri « intelligent » de candidatures, qui repose précisément sur le profilage, ne peut donc pas s’abriter derrière la dérogation.

Quel est le calendrier exact d’application ? (mis à jour août 2026)

C’est le point sur lequel le plus d’erreurs circulent. Le règlement (UE) 2026/1744 du 8 juillet 2026, publié au JOUE le 24 juillet 2026 et entré en vigueur le 27 juillet 2026, a reporté les obligations « haut risque » de l’annexe III — dont tout le volet emploi et RH — du 2 août 2026 au 2 décembre 2027.

Échéance	Ce qui s’applique	Statut au 18 août 2026
1er août 2024	Entrée en vigueur du règlement	En vigueur
2 février 2025	Article 5 (pratiques interdites) · Article 4 (littératie IA)	✅ Applicable
2 août 2025	Modèles d’IA à usage général (GPAI), gouvernance, sanctions (art. 99)	✅ Applicable
2 août 2026	Article 50 — transparence (chatbots, contenus générés, deepfakes)	✅ Applicable
2 décembre 2026	Marquage art. 50 pour les systèmes antérieurs au 2 août 2026	⏳ À venir
2 décembre 2027	Haut risque annexe III — emploi et RH (art. 8 à 27)	⏳ Reporté (initialement 2 août 2026)
2 août 2028	Haut risque annexe I (produits réglementés)	⏳ Reporté

Ce qui s’applique déjà

Trois blocs sont pleinement en vigueur, sans aucun report :

1. Les interdictions de l’article 5 (depuis le 2 février 2025) — dont deux concernent directement les RH, détaillées plus bas.
2. L’obligation de littératie IA de l’article 4 (depuis le 2 février 2025) — voir la section sur les obligations de l’employeur.
3. La transparence de l’article 50 (depuis le 2 août 2026) : un candidat qui interagit avec un chatbot de recrutement doit savoir qu’il parle à une machine ; les contenus générés par IA doivent être identifiables.

Ce qui a été reporté au 2 décembre 2027

L’ensemble des obligations attachées au classement « haut risque » : gestion des risques, gouvernance des données, documentation technique, enregistrement, surveillance humaine organisée (article 26 pour les déployeurs), information des représentants du personnel avant mise en service, et — pour les seuls organismes concernés — l’analyse d’impact sur les droits fondamentaux (article 27).

Pourquoi ce report, et faut-il attendre ?

Le report s’inscrit dans le paquet « omnibus numérique » de la Commission européenne, motivé par le retard des normes techniques harmonisées et la charge de conformité des entreprises. Mais attendre décembre 2027 pour s’y mettre serait un contresens : le risque juridique français est déjà là, sur d’autres fondements (voir plus bas), et les obligations reportées demandent des mois de préparation — cartographie des systèmes, contrats fournisseurs, procédures de surveillance humaine, information du CSE.

Quelles pratiques sont purement interdites au travail ?

Depuis le 2 février 2025, l’article 5 interdit — sans période de grâce ni report — deux pratiques qui concernent directement le lieu de travail :

La reconnaissance des émotions au travail (article 5, 1.f) : déduire les émotions d’un salarié ou d’un candidat à partir de ses données biométriques (voix, expressions faciales…) est interdit sur le lieu de travail, sauf usages médicaux ou de sécurité. Un outil d’analyse vidéo d’entretien qui prétend mesurer « l’enthousiasme » d’un candidat tombe sous cette interdiction.

La catégorisation biométrique sensible (article 5, 1.g) : classer des personnes selon leurs données biométriques pour en déduire l’origine, les opinions, l’orientation sexuelle ou l’appartenance syndicale est interdit.

Ces interdictions sont assorties du plafond de sanction le plus élevé du règlement : 35 M€ ou 7 % du chiffre d’affaires mondial.

Quelles sont les obligations concrètes de l’employeur ?

En tant que déployeur d’un système à haut risque, l’employeur devra, d’ici au 2 décembre 2027 :

Utiliser le système conformément à sa notice (article 26) — ce qui suppose d’obtenir du fournisseur la documentation d’utilisation, et de la lire.

Organiser la surveillance humaine : confier le contrôle du système à des personnes formées, disposant de l’autorité et de la compétence pour intervenir, et capables de ne pas suivre une recommandation de la machine. Un « humain dans la boucle » qui valide 100 % des recommandations sans les examiner ne satisfait pas l’exigence.

Informer les travailleurs et leurs représentants avant la mise en service d’un système à haut risque qui les concerne. En France, cette obligation se superpose à la consultation du CSE au titre du Code du travail — qui, elle, s’applique déjà (voir plus bas).

Conserver les journaux générés par le système (au moins six mois) et exercer un contrôle sur les données d’entrée.

Former : l’obligation de littératie IA (déjà applicable)

L’article 4 impose depuis le 2 février 2025 — sans report et indépendamment de tout classement haut risque — que les organisations qui déploient de l’IA prennent des mesures pour que les personnes qui utilisent ces systèmes disposent d’une maîtrise suffisante. Le règlement 2026/1744 a assoupli la formulation (obligation de moyens : « prennent des mesures pour favoriser le développement » de cette maîtrise) mais ne l’a pas supprimée. Pour un DRH, c’est l’obligation la plus simple à documenter dès maintenant : un plan de formation IA tracé vaut preuve de diligence.

L’analyse d’impact (FRIA) : qui est vraiment concerné

Correction d’une erreur très répandue : l’analyse d’impact sur les droits fondamentaux de l’article 27 vise les organismes de droit public et les entités privées fournissant des services publics (ainsi que certains déployeurs des secteurs bancaire et assurantiel). Un employeur privé de droit commun qui déploie un outil de recrutement à haut risque n’y est pas soumis. De nombreux articles français affirment le contraire ; le texte est sans ambiguïté. À ne pas confondre avec l’AIPD du RGPD (article 35), qui, elle, s’impose largement en matière de recrutement algorithmique.

Quelles sanctions en cas de manquement ?

Manquement	Plafond	Fondement
Pratiques interdites (art. 5)	35 M€ ou 7 % du CA mondial — le montant le plus élevé	Art. 99(3)
Autres obligations, dont celles du déployeur (art. 26)	15 M€ ou 3 %	Art. 99(4)
Informations inexactes fournies aux autorités	7,5 M€ ou 1 %	Art. 99(5)
PME et start-ups	Mêmes plafonds, mais le montant le plus faible est retenu	Art. 99(6)

Ces montants sont propres à l’AI Act et s’ajoutent, le cas échéant, aux sanctions RGPD (jusqu’à 20 M€ ou 4 %) : les deux règlements s’appliquent de manière cumulative aux traitements RH.

Que risque un employeur français dès aujourd’hui, sans attendre 2027 ?

Le report de l’AI Act ne réduit pas le risque juridique à court terme — il le déplace. Deux fondements sont pleinement actifs.

Les contrôles CNIL sur le recrutement en 2026

Le 3 avril 2026, la CNIL a fait du recrutement l’une de ses trois priorités de contrôle de l’année, en ciblant explicitement les grandes entreprises et les cabinets de recrutement, sur trois axes : décision entièrement automatisée, information des candidats, durées de conservation des données. La CNIL précise que cette campagne « préfigure l’exercice de ses futures attributions » d’autorité de surveillance du marché au titre du règlement IA — désignation formelle qui, à notre connaissance, n’a pas encore été actée par un texte français. Le fondement des contrôles reste donc le RGPD et le guide du recrutement de la CNIL (fiches 11, 13 et 14 notamment).

La consultation du CSE : une jurisprudence qui suspend les déploiements

Le juge des référés du tribunal judiciaire de Nanterre a suspendu, le 29 janvier 2026 (RG n° 25/02856), le déploiement de deux logiciels de staffing et de gestion des compétences (NAPTA et Cornerstone Skills) déployés sans consultation préalable du CSE, sous astreinte de 500 € par jour, sur le fondement des articles L. 2312-8, L. 2312-38 et L. 2316-1 du Code du travail. Le message est net : en France, un outil d’IA RH déployé sans consultation du CSE peut être stoppé net par le juge — aujourd’hui, sans attendre l’AI Act.

Par où commencer : la checklist de mise en conformité

1. Cartographier tous les systèmes d’IA en usage dans la fonction RH — y compris ceux embarqués dans votre SIRH ou votre ATS sans que vous les ayez activés consciemment.
2. Classer chaque système : interdit / haut risque (annexe III, point 4) / transparence (art. 50) / risque minimal.
3. Vérifier immédiatement l’absence de reconnaissance d’émotions et de catégorisation biométrique (interdictions déjà en vigueur).
4. Consulter le CSE avant tout déploiement d’un outil affectant les conditions de travail ou l’emploi — c’est le risque contentieux n°1 en France.
5. Documenter la conformité RGPD : base légale, information des candidats, durées de conservation, AIPD si nécessaire — c’est l’axe des contrôles CNIL 2026.
6. Lancer la littératie IA (art. 4, déjà applicable) : formation tracée des équipes RH qui utilisent les outils.
7. Contractualiser avec les fournisseurs : documentation technique, journaux, engagements de conformité au 2 décembre 2027.
8. Organiser la surveillance humaine : qui peut écarter une recommandation de la machine, selon quelle procédure.

FAQ

L’AI Act est-il reporté pour les outils RH ?

Oui, partiellement. Le règlement (UE) 2026/1744 du 8 juillet 2026 reporte les obligations « haut risque » — dont le volet emploi et RH de l’annexe III — au 2 décembre 2027. Mais les interdictions (reconnaissance des émotions au travail, catégorisation biométrique), l’obligation de littératie IA et la transparence des chatbots s’appliquent déjà.

Mon ATS est-il un système à haut risque ?

S’il analyse, filtre ou classe des candidatures, ou s’il évalue des candidats : oui, en principe (annexe III, point 4.a). S’il se contente de gérer administrativement le flux de candidatures sans tri algorithmique, il peut relever de la dérogation de l’article 6(3) — mais dès qu’il y a profilage de personnes, le haut risque s’applique sans exception.

Un employeur privé doit-il réaliser une FRIA ?

Non, sauf s’il fournit un service public ou relève des cas particuliers bancaires et assurantiels. L’analyse d’impact de l’article 27 vise les organismes publics. En revanche, une AIPD au titre du RGPD reste très souvent requise pour le recrutement algorithmique.

Qui contrôlera l’AI Act en France ?

La désignation formelle des autorités françaises de surveillance du marché n’était pas actée par un texte publié à la date de mise à jour de cette page. La CNIL se prépare à exercer ce rôle pour les systèmes RH et indique que ses contrôles recrutement 2026 en préfigurent l’exercice.

Peut-on utiliser un chatbot de recrutement ?

Oui, à condition que le candidat sache qu’il interagit avec une IA (article 50, applicable depuis le 2 août 2026), que les données soient traitées conformément au RGPD, et qu’aucune décision de rejet ne soit prise de manière entièrement automatisée sans les garanties de l’article 22 du RGPD.

Le report peut-il encore bouger ?

Le calendrier reporté est du droit positif (règlement publié au JOUE). Une évolution ultérieure reste possible — cette page est mise à jour mensuellement, la date figure en tête d’article.

Sources

• Règlement (UE) 2024/1689 du 13 juin 2024 (« AI Act »), JOUE du 12 juillet 2024 — texte intégral
• Règlement (UE) 2026/1744 du 8 juillet 2026 (report des échéances), JOUE du 24 juillet 2026 — texte intégral
• Parlement européen, parcours législatif de l’omnibus numérique IA — legislative train
• Commission européenne, cadre réglementaire de l’IA — digital-strategy.ec.europa.eu
• CNIL, contrôles prioritaires 2026 (3 avril 2026) — cnil.fr
• CNIL, programme de travail 2026 (7 avril 2026) — cnil.fr
• CNIL, Le guide du recrutement (fiches 11, 13, 14) — cnil.fr
• TJ Nanterre, ordonnance de référé du 29 janvier 2026, RG n° 25/02856 — décision intégrale
• Défenseur des droits, « Algorithmes : prévenir l’automatisation des discriminations » (2020) — defenseurdesdroits.fr