AI Act et ressources humaines : quelles obligations pour l’employeur ?

Guide RH · Situation au 25 mars 2026 et évolution du calendrier en juillet. Le tri de CV, l’évaluation des salariés et l’affectation de tâches peuvent relever des règles sur l’IA à haut risque. Les obligations varient selon l’usage et le rôle de l’entreprise.

Identifier les usages qui peuvent relever du haut risque

L’annexe III, point 4, vise notamment le filtrage et l’évaluation des candidatures, les décisions relatives à la promotion ou à la rupture du contrat, l’affectation de tâches selon des caractéristiques individuelles et le suivi ou l’évaluation des performances. L’article 6 prévoit une exception sous conditions pour certains usages limités. Un système de l’annexe III qui effectue du profilage reste classé à haut risque.

Le règlement distingue le fournisseur, qui met le système sur le marché ou en service sous son nom, et le déployeur, qui l’utilise sous sa propre autorité. Les exigences de gestion des risques et de conception du contrôle humain des articles 9 et 14 visent le système. L’employeur qui l’utilise doit, lorsque le régime du haut risque s’applique, organiser le contrôle humain conformément à l’article 26.

Ce que les équipes RH doivent organiser

L’article 4 s’applique depuis le 2 février 2025. Dans sa rédaction en vigueur depuis le 27 juillet 2026, il impose aux fournisseurs et aux déployeurs de prendre des mesures pour développer la maîtrise de l’IA chez les personnes qui utilisent ou exploitent les systèmes pour leur compte. Avant un déploiement, recensez les usages et les données traitées, désignez les personnes capables de comprendre et d’écarter une recommandation, et testez les risques de discrimination sur des situations représentatives.

Pour un système à haut risque utilisé au travail, l’article 26 prévoit notamment l’information préalable des salariés concernés et de leurs représentants, ainsi que la conservation des journaux sous le contrôle du déployeur, en principe pendant au moins six mois. Pour l’information des candidats et les décisions exclusivement automatisées produisant un effet significatif, vérifiez aussi le RGPD, notamment son article 22. L’analyse d’impact sur les droits fondamentaux de l’article 27 ne s’impose qu’aux catégories de déployeurs et aux usages que cet article énumère.

Comment examiner une recommandation avant une décision individuelle ?

L’article 22 du RGPD encadre les décisions fondées exclusivement sur un traitement automatisé qui produisent un effet juridique ou affectent la personne de manière significative. Si le manager valide systématiquement une recommandation sans pouvoir influer réellement sur le résultat, la décision peut rester entièrement automatisée. Un examen effectif suppose que la personne chargée de décider ait accès aux informations pertinentes, puisse les apprécier et ait le pouvoir de modifier le résultat.

Par exemple, si un outil propose d’écarter une personne d’une mobilité interne, le responsable peut examiner les exigences du poste, vérifier l’exactitude des données et tenir compte d’éléments pertinents que l’outil a ignorés. La décision doit pouvoir être motivée à partir de cet examen. Si l’outil sert à évaluer le salarié, l’article L. 1222-3 du Code du travail impose d’informer celui-ci au préalable, d’utiliser une méthode pertinente pour l’objectif poursuivi et de préserver la confidentialité des résultats.

Quelles mesures de maîtrise de l’IA mettre en place ?

Adaptez les mesures aux connaissances et à l’expérience des utilisateurs, aux outils employés, au contexte d’usage et aux personnes que les résultats peuvent affecter. La Commission européenne précise que l’article 4 ne fixe ni niveau individuel uniforme à garantir ni obligation de mesurer les connaissances de chaque salarié.

Par exemple, un recruteur qui utilise un outil de synthèse peut s’exercer à comparer le résultat aux notes d’entretien et à écarter les informations ajoutées ou déformées. Une équipe qui prépare des courriels avec un assistant peut recevoir des consignes sur les données à saisir et les vérifications avant envoi. Un relevé interne peut consigner les actions menées, les usages couverts et les personnes concernées.

Calendrier adopté après le 25 mars

Les règles relatives aux modèles d’IA à usage général s’appliquent depuis le 2 août 2025, sous réserve des dispositions transitoires. Le 2 août 2026 est la date d’application générale, avec des exceptions, dont celles prévues par le règlement (UE) 2026/1744. Les sections 1 à 3 du chapitre III s’appliquent à partir du 2 décembre 2027 aux systèmes à haut risque de l’annexe III, dont certains usages de recrutement ou de gestion du personnel, et à partir du 2 août 2028 aux systèmes à haut risque relevant de l’article 6, paragraphe 1, et de l’annexe I. Des dispositions transitoires peuvent modifier le calendrier pour certains systèmes. Les obligations du RGPD et les interdictions de discrimination s’apprécient indépendamment de cette échéance.