Les employeurs qui utilisent l’IA en recrutement doivent parfois respecter simultanément deux grands cadres européens : le RGPD et l’AI Act.
Ils se recoupent, mais ne font pas la même chose. Respecter l’un ne signifie pas automatiquement respecter l’autre.
Que régit le RGPD ?
Le RGPD porte sur le traitement de données personnelles.
Pour l’IA de recrutement, cela soulève des questions comme :
- Quelles données de candidats sont traitées ?
- Pourquoi le sont-elles ?
- Quelle est la base légale ?
- Ces données sont-elles nécessaires ?
- Combien de temps sont-elles conservées ?
- Qui les reçoit ?
- Sont-elles transférées hors de l’Union ?
- Les candidats sont-ils correctement informés ?
- Une analyse d’impact est-elle requise ?
- Les règles sur la décision automatisée s’appliquent-elles ?
Ces obligations peuvent s’appliquer que la technologie s’appelle « IA » ou non.
Que régit l’AI Act ?
L’AI Act encadre les systèmes d’IA et impose des règles différentes selon le type de système et le rôle de l’organisation qui l’utilise ou le fournit.
Certains systèmes destinés au recrutement ou à la sélection de personnes physiques sont classés à haut risque. Cela inclut certains systèmes servant à analyser et filtrer des candidatures et à évaluer des candidats.
Le point 4 de l’annexe III va au-delà de la seule embauche. Il vise aussi l’IA utilisée pour les décisions de promotion et de licenciement, l’attribution de tâches, ainsi que le suivi ou l’évaluation des performances des travailleurs. Un employeur qui met en règle ses outils de recrutement mais exploite un outil d’IA de suivi ou d’évaluation n’a pas terminé l’exercice.
Les systèmes à haut risque sont soumis à des exigences détaillées.
Tout usage de l’IA en RH est-il à haut risque ?
Non.
Le classement dépend de la finalité prévue et des fonctionnalités du système, et l’AI Act comporte des distinctions et exceptions à apprécier avec soin.
Utiliser un outil d’IA généraliste pour corriger la grammaire d’une offre n’équivaut pas à déployer un système destiné à classer des candidats.
Partez du cas d’usage réel plutôt que de l’étiquette « IA ».
Fournisseur ou déployeur ?
Vos obligations sous l’AI Act dépendent en partie de votre rôle.
Une entreprise qui développe et met sur le marché un système d’IA de recrutement peut être fournisseur.
Un employeur qui utilise un système sous son autorité sera souvent déployeur.
Les organisations peuvent toutefois assumer des responsabilités différentes ou supplémentaires dans certaines circonstances, par exemple en modifiant substantiellement un système ou en l’utilisant d’une manière qui affecte sa finalité prévue.
Ne présumez pas que le prestataire porte toutes les obligations. Sous le RGPD, son rôle doit aussi figurer dans votre dossier tiers.
Où le RGPD et l’AI Act se recoupent-ils ?
Les deux cadres se soucient d’un traitement responsable et d’un contrôle effectif, mais l’abordent différemment.
Les domaines de recoupement importants incluent :
- La qualité des données
- La transparence
- L’évaluation des risques
- Le contrôle humain
- La sécurité
- La documentation
- La responsabilité
- La loyauté et les biais potentiels
Une évaluation peut nourrir l’autre, mais ne présumez pas qu’une AIPD au titre du RGPD satisfait automatiquement chaque exigence de l’AI Act.
Décisions automatisées sous le RGPD
L’IA de recrutement peut aussi déclencher l’article 22 du RGPD lorsqu’une décision est fondée exclusivement sur un traitement automatisé et produit des effets juridiques ou affecte le candidat de manière significative de façon similaire.
Cette analyse reste nécessaire même si le système est par ailleurs encadré comme à haut risque sous l’AI Act.
Le calendrier compte
L’AI Act est entré en vigueur en 2024 et s’applique selon un calendrier échelonné, calendrier qui a bougé en 2026.
Les obligations à haut risque pour les systèmes autonomes de l’annexe III couvrant le recrutement et l’emploi devaient initialement s’appliquer au 2 août 2026. Le Digital Omnibus on AI, règlement (UE) 2026/1744, a reporté cette date au 2 décembre 2027. Les systèmes intégrés à des produits déjà couverts par la législation européenne de sécurité des produits passent au 2 août 2028.
Ce report ne vide pas le calendrier. Les obligations de transparence de l’article 50 n’ont pas été reportées et s’appliquent depuis le 2 août 2026 : si des candidats interagissent avec un agent conversationnel de recrutement ou reçoivent du contenu généré par IA, ces obligations sont déjà actives. Le RGPD s’applique pleinement tout du long, indépendamment du calendrier de l’AI Act.
La lecture pratique pour les employeurs : vous avez jusqu’en décembre 2027 pour satisfaire aux exigences à haut risque de l’IA de recrutement, et pas un jour de plus sur la transparence ni sur ce que le RGPD imposait déjà.
Construisez un seul processus de gouvernance
Plutôt que de créer des silos distincts pour la vie privée et l’IA, les employeurs peuvent mettre en place un processus d’entrée unique pour les technologies de recrutement.
Avant qu’un nouvel outil ne soit approuvé, demandez :
- Que fait-il ?
- Traite-t-il des données personnelles ?
- Quelles exigences RGPD s’appliquent ?
- Est-ce un système d’IA au sens de l’AI Act ?
- Quel est son classement de risque ?
- Quel rôle joue notre organisation ?
- Quelles évaluations et documentation sont requises ?
- Quel contrôle humain est en place ?
GDPRWise aide les organisations à bâtir le volet RGPD de cette gouvernance en cartographiant de façon structurée les traitements, les données, les bases légales, les prestataires et les risques.
GDPRWise cartographie vos traitements, bases légales, prestataires et risques vie privée, et vous donne la moitié RGPD d'un contrôle de gouvernance IA en un seul endroit.