AI Act et cabinets de recrutement : ce qui s'applique, et depuis quand (mise à jour septembre 2026)

Le règlement européen sur l'intelligence artificielle classe le tri de CV et l'évaluation de candidats par IA parmi les systèmes dits « à haut risque ». Le « Digital Omnibus » (règlement (UE) 2026/1744, publié le 24 juillet 2026) a reporté l'application des obligations correspondantes au 2 décembre 2027 ; les interdictions et l'obligation de formation à l'IA s'appliquent, elles, déjà. Voici, sans jargon, ce que cela change pour un cabinet de recrutement, petit ou grand.

Pourquoi le recrutement est concerné

Le règlement (UE) 2024/1689, dit AI Act, classe à l'annexe III les systèmes d'IA « destinés au recrutement ou à la sélection de personnes physiques, notamment pour analyser et filtrer les candidatures et évaluer les candidats ». Un outil qui attribue un score à des CV, classe des candidatures ou propose une shortlist est donc un système à haut risque, quelle que soit la taille du cabinet qui l'utilise.

Le calendrier s'est déroulé en trois temps : interdictions de certaines pratiques dès février 2025, obligations des modèles d'IA à usage général en août 2025, puis, pour les systèmes à haut risque de l'annexe III (dont le recrutement), une application initialement fixée au 2 août 2026 et reportée au 2 décembre 2027 par le règlement (UE) 2026/1744. Ce report ne suspend ni les pratiques interdites ni l'obligation de formation du personnel à l'IA (article 4), déjà en vigueur ; les systèmes déjà en service relèvent en outre de dispositions transitoires à vérifier au cas par cas. L'article 86 (droit à l'explication) obéit à sa propre logique et ne fixe pas de délai de réponse : le délai d'un mois que nous recommandons est celui des demandes RGPD.

Deux rôles, deux niveaux d'obligations

Le texte distingue le fournisseur (l'éditeur qui conçoit le système) du déployeur (le cabinet qui l'utilise). L'essentiel de la charge technique pèse sur le fournisseur : gouvernance des données d'entraînement, documentation, journalisation, robustesse, supervision humaine intégrée (article 14). Mais le cabinet déployeur a ses propres obligations, décrites à l'article 26.

Ce qu'un cabinet doit faire concrètement

1. Utiliser le système conformément à sa notice. Un score de correspondance est une aide à la décision, pas une décision. Le détourner de son usage prévu engage la responsabilité du cabinet.
2. Confier la supervision à des personnes compétentes. Le cabinet désigne qui supervise l'outil, avec la formation et l'autorité nécessaires pour ignorer ou inverser une recommandation.
3. Conserver les journaux. Les journaux générés automatiquement par le système doivent être gardés au moins six mois, sauf disposition contraire du droit applicable.
4. Informer les candidats. Toute personne faisant l'objet d'une décision fondée sur le système doit savoir qu'une IA est intervenue.
5. Informer les salariés concernés et leurs représentants lorsque le système est utilisé en interne, avant sa mise en service.
6. Réaliser l'analyse d'impact RGPD lorsqu'elle est requise, en s'appuyant sur la documentation du fournisseur.
7. Répondre au droit à l'explication. L'article 86 permet à un candidat écarté d'obtenir une explication claire du rôle joué par l'IA et des principaux éléments de la décision.
8. Surveiller le fonctionnement et signaler au fournisseur tout incident ou risque constaté.

Le lien avec le RGPD

L'AI Act ne remplace pas le RGPD, il s'y ajoute. La base légale du traitement, la minimisation des données, la durée de conservation des CV, les droits d'accès et d'effacement restent pilotés par le RGPD. En pratique, un cabinet conforme combine les deux : scoring sur des données pseudonymisées, purge automatique des CV, registre des décisions, et décision finale humaine documentée.

Les sanctions

Le non-respect des obligations applicables aux déployeurs peut être sanctionné jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial, le montant le plus élevé étant retenu pour les grandes entreprises et le plus faible pour les PME. Au-delà de l'amende, le risque réel pour un cabinet est contractuel : un client grand compte demande désormais la preuve de conformité avant de signer.

Check-list en une page

• Mon outil est-il présenté par son éditeur comme conforme à l'AI Act, avec une documentation technique ?
• Puis-je exporter un registre de toutes les décisions assistées par IA, avec le décideur humain ?
• Toute décision contraire à la recommandation de l'IA est-elle justifiée et tracée ?
• Le scoring peut-il fonctionner sur des CV pseudonymisés ?
• Puis-je produire en un clic la fiche d'explication demandée par un candidat écarté ?
• Mes candidats sont-ils informés qu'une IA assiste la présélection ?
• Les CV sont-ils purgés automatiquement selon une durée définie ?
• Ai-je signé un contrat de sous-traitance (DPA) avec l'éditeur ?

Cet article est informatif et ne constitue pas un avis juridique. Pour votre situation, rapprochez-vous de votre conseil ou de votre délégué à la protection des données.

← Tous les articles