Recrutement via l'IA : règles AI Act 2026 pour les PME

Un outil d'IA qui trie, filtre ou évalue des candidatures est un système à haut risque (Annexe III, point 4 a) : la PME qui l'utilise est déployeur, même si elle l'a acheté à un éditeur. Ses obligations s'appliquent à partir du 2 décembre 2027 : usage conforme à la notice, supervision humaine par des personnes compétentes, journaux, information des candidats et des représentants du personnel. La non-discrimination, le RGPD et le Code du travail (information du CSE) s'appliquent déjà.

L'essentiel en 30 secondes

• Les outils d'IA de recrutement qui analysent et filtrent les candidatures ou évaluent les candidats sont à haut risque (Annexe III, point 4 a). La dérogation de l'Art. 6(3) ne joue pas : ils réalisent un profilage de personnes.
• Obligations du déployeur (Art. 26) à partir du 2 décembre 2027 (règlement (UE) 2026/1744) : usage conforme à la notice, supervision humaine par des personnes compétentes, surveillance et suspension en cas de risque, journaux conservés au moins six mois.
• Information des candidats : Art. 26(11) de l'AI Act, Art. L.1221-8 du Code du travail (déjà applicable) et RGPD. Explication d'une décision défavorable : Art. 86 de l'AI Act.
• Dans une entreprise d'au moins 50 salariés, le CSE est informé avant l'utilisation d'un outil d'aide au recrutement (L.2312-38).
• L'inférence des émotions des candidats est interdite depuis le 2 février 2025 (Art. 5(1)(f)). Une AIPD est requise pour un recrutement par algorithme de sélection (liste de la CNIL).
• Sanctions : jusqu'à 15 M€ ou 3 % du CA pour un manquement aux obligations du déployeur (Art. 99(4)), le montant le plus bas pour une PME.

Vous utilisez un ATS avec scoring IA, un outil de matching de CV ou un chatbot de présélection qui filtre les candidatures ? Ces outils relèvent de l'Annexe III, point 4 a, du règlement (UE) 2024/1689 : systèmes destinés à être utilisés pour le recrutement ou la sélection de personnes, notamment pour diffuser des offres d'emploi ciblées, analyser et filtrer des candidatures ou évaluer des candidats. Pour les PME, l'heure est aux premières vérifications concrètes.

1. Les règles de base pour le recrutement via l'IA

L'Annexe III classe les systèmes de recrutement parmi les systèmes à haut risque. La dérogation de l'Art. 6(3) ne s'applique jamais lorsque le système réalise un profilage de personnes, ce qui est le cas d'un outil qui évalue des candidats.

Qui est concerné ? En tant que déployeur, votre PME est directement visée dès que vous utilisez un logiciel de recrutement intégrant une composante IA. La taille de l'entreprise ne change pas la classification du système : une entreprise de 150 salariés qui utilise un ATS avec scoring automatique est soumise aux mêmes exigences qu'un grand groupe.

Ce que dit le règlement. L'Art. 26 impose notamment au déployeur de systèmes à haut risque d'utiliser le système conformément à la notice du fournisseur, de confier la supervision humaine à des personnes ayant la compétence, la formation et l'autorité nécessaires, de s'assurer de la pertinence et de la représentativité des données d'entrée qu'il contrôle, de surveiller le fonctionnement et de suspendre l'usage en cas de risque, de conserver les journaux sous son contrôle au moins six mois, et d'informer les personnes concernées. Ces obligations s'appliquent même si vous avez acheté le système à un éditeur tiers, à partir du 2 décembre 2027 pour l'Annexe III.

L'articulation avec le RGPD. Un système de recrutement IA traite des données personnelles : le RGPD et l'AI Act se cumulent. Une analyse d'impact (AIPD, Art. 35 du RGPD) est requise lorsque le traitement est susceptible d'engendrer un risque élevé ; la liste de la CNIL cite le recrutement par algorithme de sélection. La CNIL est l'autorité de référence pour ce volet.

Voir le guide AI Act pour les PME françaises pour une vue d'ensemble des obligations croisées AI Act / RGPD, et l'article sur les recommandations de la CNIL sur l'IA.

2. Obligations de transparence

La transparence envers les candidats repose sur plusieurs textes : l'AI Act, le Code du travail et le RGPD.

Information préalable. L'Art. 26(11) de l'AI Act impose au déployeur d'un système de l'Annexe III qui décide ou aide à décider au sujet de personnes physiques de les informer qu'elles sont soumises à son utilisation. L'article L.1221-8 du Code du travail prévoit déjà que le candidat à un emploi est expressément informé, préalablement à leur mise en œuvre, des méthodes et techniques d'aide au recrutement utilisées à son égard. Le RGPD y ajoute l'information sur le traitement des données (Art. 13 et 14). L'information précise la finalité du système, le type de décision produite et les données utilisées.

Droit à l'explication. Le candidat écarté peut obtenir du déployeur une explication claire sur le rôle du système et sur les principaux éléments de la décision lorsque les conditions de l'Art. 86 de l'AI Act sont réunies : voir l'article sur l'Article 86. Le RGPD limite par ailleurs les décisions exclusivement automatisées qui produisent des effets juridiques ou affectent la personne de manière significative (Art. 22) ; son considérant 71 cite les pratiques de recrutement en ligne sans intervention humaine.

Point de contact humain. Votre processus RH doit prévoir un interlocuteur humain accessible pour les candidats qui souhaitent contester une décision ou obtenir des informations complémentaires. Ce mécanisme de recours doit être effectif et documenté.

Obligation	Base légale	À qui s'applique
Information sur l'usage de l'IA	Art. 26(11) AI Act ; Art. L.1221-8 Code du travail	Déployeur
Explication des décisions	Art. 22 RGPD + Art. 86 AI Act	Déployeur
Surveillance du système	Art. 26 AI Act	Déployeur
Documentation technique	Art. 11 AI Act	Fournisseur
Gestion des risques	Art. 9 AI Act	Fournisseur
Information des travailleurs concernés et de leurs représentants	Art. 26(7) AI Act	Employeur déployeur
Information du CSE (aide au recrutement, gestion du personnel)	Art. L.2312-38 Code du travail	Employeur d'au moins 50 salariés

3. Interdiction de discrimination

L'AI Act s'ajoute au droit de la non-discrimination, qui s'applique indépendamment de l'outil utilisé.

Critères protégés. Un système de recrutement IA ne doit pas, directement ou indirectement, défavoriser un candidat sur la base d'un critère protégé par le droit européen et français, par exemple le genre, l'âge, l'origine, l'état de santé, le handicap ou les convictions.

Biais et qualité des données. L'Art. 10 impose au fournisseur de systèmes à haut risque des jeux de données pertinents, suffisamment représentatifs et exempts d'erreurs autant que possible, avec un examen des biais possibles. Le déployeur n'a pas à refaire cette vérification, mais il s'assure de la pertinence et de la représentativité des données d'entrée qu'il contrôle (Art. 26(4)) et peut demander au fournisseur la documentation et les résultats de ses tests d'équité.

Surveillance. Le déployeur surveille le fonctionnement du système selon la notice du fournisseur. S'il a des raisons de considérer que l'usage conforme à la notice peut présenter un risque, il en informe sans retard le fournisseur ou le distributeur et l'autorité de surveillance du marché, et il suspend l'usage (Art. 26(5)). Des résultats très différents selon le genre ou l'origine des candidats sont un signal d'alerte qui justifie une revue.

Sanctions et recours. Au-delà des amendes de l'AI Act, la discrimination à l'embauche est un délit : le Code pénal punit de trois ans d'emprisonnement et de 45 000 € d'amende le fait de refuser d'embaucher en raison d'un critère discriminatoire (art. 225-1 et 225-2). Les candidats peuvent saisir le Défenseur des droits ou les juridictions compétentes.

4. Documentation et compétences

La conformité du déployeur repose sur deux piliers : un dossier documentaire structuré et des équipes compétentes.

Le dossier de conformité. L'Art. 26(6) impose au déployeur de conserver les journaux générés automatiquement par le système, dans la mesure où ils sont sous son contrôle, pendant une durée appropriée d'au moins six mois. Dans les faits, le dossier contient : la documentation et la notice d'utilisation reçues de l'éditeur, les conditions contractuelles, les résultats des tests d'équité communiqués par l'éditeur, les incidents signalés et les mesures correctives prises. Un modèle de registre des systèmes d'IA (Excel) est disponible gratuitement.

Compétences et supervision. L'Art. 26(2) demande de confier la supervision humaine à des personnes qui ont la compétence, la formation et l'autorité nécessaires, avec le soutien nécessaire. L'Art. 4 demande en outre de prendre des mesures pour favoriser la maîtrise de l'IA du personnel. Pour une PME, cela concerne au minimum les responsables RH et les managers qui décident en s'appuyant sur les sorties du système : capacités et limites de l'outil, risques de biais, procédures de vérification et droits des candidats. Voir l'article sur la maîtrise de l'IA (Art. 4).

Procédures de contrôle interne. Définissez un processus de revue régulière des décisions prises avec l'aide du système IA. Cette revue doit être documentée. Elle permet de détecter des anomalies, de vérifier que les utilisateurs ne se reposent pas entièrement sur le scoring automatique, et d'alimenter les audits.

Le glossaire AI Act regroupe les définitions réglementaires clés.

5. Sanctions et responsabilités

Le Règlement (UE) 2024/1689 distingue les responsabilités du fournisseur et du déployeur.

Responsabilité du déployeur. L'Art. 99(4) prévoit, pour les manquements aux obligations du déployeur (Art. 26), des amendes jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel. Pour une PME, le montant le plus bas des deux s'applique (Art. 99(6)) : avec 5 M€ de chiffre d'affaires, le plafond est de 150 000 €.

Responsabilité pénale. En droit français, la discrimination à l'embauche est un délit (Code pénal, art. 225-2). Le recours à un système d'IA ne change pas cette responsabilité.

Cumul de sanctions. AI Act, RGPD et droit du travail s'appliquent en parallèle. Un même manquement peut exposer à une sanction de la CNIL (jusqu'à 20 M€ ou 4 % du chiffre d'affaires mondial au titre du RGPD, Art. 83), à une amende AI Act (jusqu'à 3 % au titre de l'Art. 99(4)) et à des sanctions civiles ou pénales selon les faits.

Voir la page Sanctions AI Act pour une PME : amendes et calcul.

6. Étapes pour se conformer : plan d'action concret

La mise en conformité d'un processus de recrutement IA suit six étapes.

Étape 1 : cartographie des outils. Identifiez tous les outils de recrutement utilisés par vos équipes RH qui intègrent une composante IA ou de décision automatisée. Incluez les ATS avec scoring, les outils de matching, les chatbots de présélection.

Étape 2 : qualification du risque. Pour chaque outil, vérifiez avec le fournisseur le classement du système et demandez-lui la documentation technique, la notice d'utilisation et les résultats des tests d'équité. Le fournisseur y est tenu à partir du 2 décembre 2027 ; un refus de les fournir est un signal d'alerte.

Étape 3 : mise en conformité documentaire. Constituez votre registre de conformité interne : documentation fournisseur, contrats, résultats de tests, procédures internes. Ce dossier doit être accessible à tout moment aux autorités de contrôle.

Étape 4 : information des candidats. Ajoutez dans vos offres d'emploi, vos formulaires de candidature et vos réponses automatiques une mention claire sur l'utilisation d'un système d'IA dans le traitement des candidatures (Art. L.1221-8 du Code du travail ; Art. 26(11) de l'AI Act).

Étape 5 : compétences des équipes. Sensibilisez tous les utilisateurs des outils de recrutement IA et désignez les personnes chargées de la supervision. Documentez les participants, la date et les thèmes abordés.

Étape 6 : audit annuel. Planifiez un audit de conformité annuel couvrant les outils, la documentation, les compétences des équipes et les résultats des tests d'équité. Ajustez vos pratiques en fonction des résultats.

7. Deux cas pratiques

Les deux cas ci-dessous sont fictifs : ils illustrent la démarche sans décrire une entreprise réelle. Les obligations de l'AI Act s'appliquent à partir du 2 décembre 2027 ; les règles du Code du travail s'appliquent déjà.

Cas 1 : un ATS de recrutement dans une PME de 50 salariés

• Outil. Un logiciel de suivi des candidatures (ATS) qui classe automatiquement les CV selon leur adéquation avec le poste.
• Pourquoi l'Annexe III, point 4 a. L'outil sert à analyser et filtrer des candidatures et à évaluer des candidats. Il réalise un profilage de personnes : la dérogation de l'Art. 6(3) est exclue. La PME est déployeur ; l'éditeur est fournisseur.
• Obligations de l'employeur déployeur. Utiliser l'outil conformément à la notice, confier la supervision à des personnes compétentes, conserver les journaux au moins six mois, suspendre l'usage en cas de risque (Art. 26), informer les candidats qu'ils sont soumis à l'outil (Art. 26(11) ; Art. L.1221-8 du Code du travail), informer les représentants des travailleurs et les salariés concernés si des candidatures internes sont traitées (Art. 26(7)). Dans une entreprise d'au moins 50 salariés, le CSE est informé avant l'utilisation (L.2312-38).
• À documenter. Le classement de l'outil et sa justification, la notice et la documentation de l'éditeur, la personne chargée de la supervision, les journaux, le texte d'information remis aux candidats, la date d'information du CSE, l'AIPD (la liste de la CNIL cite le recrutement par algorithme de sélection) et la procédure de recours.

Cas 2 : un module d'évaluation des talents

• Outil. Un module du système d'information RH qui note la performance des salariés et repère des « hauts potentiels » pour les promotions.
• Pourquoi l'Annexe III, point 4 b. L'outil sert à prendre des décisions affectant les relations de travail et la promotion, et à suivre et évaluer la performance et le comportement. Il réalise un profilage de personnes.
• Obligations de l'employeur déployeur. Mêmes obligations d'usage, de supervision, de journaux et de surveillance (Art. 26) ; information des représentants des travailleurs et des salariés concernés avant la mise en service (Art. 26(7)) ; explication d'une décision défavorable dans les conditions de l'Art. 86. Le CSE d'une entreprise d'au moins 50 salariés est informé avant l'introduction d'un traitement automatisé de gestion du personnel et consulté si l'outil permet un contrôle de l'activité (L.2312-38). L'inférence des émotions des salariés est interdite (Art. 5(1)(f)). Voir l'article sur la consultation du CSE.
• À documenter. La finalité et les critères d'évaluation, le classement et sa justification, l'information des salariés, le procès-verbal de la consultation du CSE, l'AIPD (la liste de la CNIL cite la détection de « hauts potentiels »), la revue humaine des décisions et la procédure de contestation.

FAQ

Quelles sont les sanctions pour non-conformité ?

Les sanctions pour manquement aux obligations du déployeur peuvent atteindre 15 M€ ou 3 % du chiffre d'affaires mondial annuel (Art. 99(4)), le montant le plus bas des deux pour une PME (Art. 99(6)). La discrimination à l'embauche relève en outre du Code pénal (art. 225-2), et la CNIL peut prononcer des sanctions au titre du RGPD. Voir la page Sanctions AI Act pour une PME.

Dois-je former mon personnel à l'IA ?

L'Art. 4 demande de prendre des mesures pour favoriser la maîtrise de l'IA du personnel, adaptées aux rôles et aux usages ; il n'impose ni durée ni diplôme. Pour un système à haut risque, l'Art. 26(2) demande en outre de confier la supervision humaine à des personnes compétentes, formées et dotées de l'autorité nécessaire. Il est utile de documenter ces mesures.

Comment savoir si mon système est classé « haut risque » ?

Un système destiné à analyser et filtrer des candidatures ou à évaluer des candidats relève de l'Annexe III, point 4 a. Le scoring de CV, le matching automatique et le chatbot de présélection qui filtre ou évalue entrent dans cette catégorie. Un simple chatbot d'information sur les offres, qui ne filtre ni n'évalue personne, n'en relève pas par lui-même ; il peut relever de l'Art. 50. La dérogation de l'Art. 6(3) ne s'applique jamais en cas de profilage.

Dois-je notifier la CNIL ou réaliser une AIPD ?

L'AI Act ne prévoit pas de notification à la CNIL. Le RGPD impose une analyse d'impact (AIPD, Art. 35) lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des candidats ; la liste de la CNIL cite le recrutement par algorithme de sélection. Une consultation préalable de la CNIL n'est requise que si l'AIPD révèle un risque élevé que les mesures ne réduisent pas (Art. 36 du RGPD).

Quelles sont les bonnes pratiques pour éviter les biais ?

Demandez à votre fournisseur les résultats des tests d'équité réalisés sur le système. Définissez des indicateurs de suivi, par exemple le taux de sélection par genre ou par tranche d'âge, dans la mesure où ces données peuvent être traitées licitement. Organisez des revues régulières des décisions produites. Prévoyez un mécanisme de recours humain accessible à tous les candidats. Voir la page sources.

Sources officielles

• Règlement (UE) 2024/1689 — version consolidée au 27 juillet 2026 — EUR-Lex
• Règlement (UE) 2026/1744 (« Omnibus IA ») — EUR-Lex
• AI Act Service Desk — Commission européenne
• Liste des traitements pour lesquels une AIPD est requise — CNIL
• Code du travail, article L.1221-8 — Légifrance
• Code du travail, article L.2312-38 — Légifrance
• Code pénal, article 225-2 — Légifrance

Avertissement — Cet article fournit une information générale et ne constitue pas un conseil juridique.