Conformité IA en RH : ce que l’AI Act européen change pour les recruteurs

Les 4 obligations concrètes imposées aux recruteurs utilisant l’IA

Le règlement distingue le fournisseur, qui conçoit l’outil, et le déployeur, qui l’utilise : ici, l’employeur. L’évaluation de conformité, la gestion des risques et la qualité des données d’entraînement relèvent du fournisseur. Votre rôle : exiger ces éléments de votre éditeur et respecter vos propres obligations, fixées à l’article 26.

Évaluation de conformité et gestion des risques avant déploiement

L’évaluation de conformité et la gestion des risques du système sont réalisées par le fournisseur de l’outil. Votre part, en tant qu’employeur, avant et pendant le déploiement :

Vous prenez les mesures nécessaires pour utiliser le système conformément à la notice d’utilisation du fournisseur et vous surveillez son fonctionnement. Si vous contrôlez les données d’entrée (critères, fiches de poste), vous veillez à ce qu’elles soient pertinentes et suffisamment représentatives. Un risque détecté ? Vous informez le fournisseur et l’autorité de surveillance, et vous suspendez l’utilisation.

Transparence et information des candidats

Chaque candidat doit être informé qu’il est soumis à un système d’IA à haut risque dès lors que celui-ci prend ou facilite une décision le concernant.

Avant de déployer un tel outil sur le lieu de travail (évaluation de la performance, promotion), l’employeur informe aussi les représentants des travailleurs et les salariés concernés. En France, dans les entreprises d’au moins 50 salariés, le CSE est en outre informé et consulté sur l’introduction de nouvelles technologies (article L2312-8 du Code du travail).

Et si le rejet est décidé par l’algorithme seul ? Le RGPD donne au candidat le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé qui l’affecte de manière significative, sauf exceptions (contrat, loi, consentement explicite). Même dans ces cas, il garde au moins le droit d’obtenir une intervention humaine, d’exprimer son point de vue et de contester la décision (article 22 du RGPD).

Supervision humaine obligatoire sur les décisions automatisées

Le contrôle humain doit être confié à des personnes qui disposent des compétences, de la formation, de l’autorité et du soutien nécessaires. Cette supervision humaine doit être documentée précisément :

• qui exerce ce rôle au sein de l’équipe RH ?
• quelles compétences cette personne possède pour détecter un biais ?
• comment la détection de biais et la supervision humaine s’articulent dans le processus de recrutement ?

En pratique, un recruteur qui examine les résultats de l’algorithme avant toute décision de rejet, et dont la validation est tracée, sécurise votre processus.

Traçabilité, journalisation et conservation des logs

Un outil d’IA garde automatiquement une trace de son fonctionnement, un peu comme l’historique d’un navigateur. Le règlement appelle cela les « journaux ». Si cet historique est accessible de votre côté, vous devez le conserver au moins six mois, sauf règle contraire, notamment en matière de protection des données. Concrètement : demandez à votre éditeur où se trouve cet historique et comment l’exporter. Et alignez cette durée avec vos durées de conservation RGPD des données candidats.

À ces quatre obligations s’ajoute une cinquième, déjà en vigueur : la formation. Depuis le 2 février 2025, les employeurs qui utilisent des systèmes d’IA prennent des mesures pour développer la maîtrise de l’IA de leur personnel, en tenant compte de ses connaissances, de son expérience et du contexte d’utilisation.