AI Act et recrutement : votre logiciel de tri de CV est-il haut risque ?

Votre entreprise utilise un logiciel de tri de CV ? Un outil de scoring de candidats ? Un système d'entretien vidéo avec analyse automatisée ? Alors vous êtes concerné par l'une des classifications les plus strictes du EU AI Act : le haut risque.

Le domaine 4 de l'Annexe III du règlement (UE) 2024/1689 cible explicitement les systèmes IA utilisés dans l'emploi, la gestion des travailleurs et l'accès au travail indépendant. Ce n'est pas une zone grise - c'est l'un des cas les plus clairs du texte. Et les obligations qui en découlent sont substantielles.

Pourquoi le recrutement est classé haut risque

Le raisonnement du législateur est direct : une décision de recrutement par IA peut avoir un impact majeur sur la vie d'une personne. Un candidat écarté par un algorithme n'a souvent aucune visibilité sur les raisons de ce rejet. Les biais algorithmiques (genre, origine, âge) sont documentés dans la littérature scientifique depuis des années.

Le Considérant 57 du règlement précise que ces systèmes "peuvent perpétuer des schémas historiques de discrimination" et que "la nature des décisions prises dans ce domaine justifie une surveillance renforcée".

Ce que ça implique concrètement pour votre PME

Si vous utilisez l'un de ces outils, même acheté à un éditeur tiers, vous avez des obligations en tant que déployeur (article 26). Et si vous développez vous-même un outil de scoring RH, vous êtes fournisseur (articles 8 à 15) avec des obligations encore plus lourdes.

En tant que déployeur (vous utilisez un outil existant)

Évaluation d'impact sur les droits fondamentaux (FRIA). Avant de déployer le système, vous devez réaliser une évaluation d'impact spécifique (article 27). Ce n'est pas une DPIA au sens du RGPD - c'est un document distinct qui analyse l'impact du système sur les droits fondamentaux des candidats : non-discrimination, vie privée, dignité humaine.

Surveillance humaine. Vous devez désigner des personnes physiques chargées de superviser le fonctionnement du système (article 14). Concrètement : un recruteur humain doit pouvoir comprendre les recommandations de l'outil, les remettre en question, et prendre la décision finale. Le "robot décide, humain valide aveuglément" ne suffit pas.

Transparence envers les candidats. Les personnes soumises au système doivent être informées qu'une IA intervient dans le processus de recrutement (article 50). Pas dans les petites lignes d'une politique de confidentialité - de manière claire et préalable.

Information du CSE. Si vous avez un comité social et économique (ou équivalent), il doit être informé du déploiement du système IA avant sa mise en service (article 26, paragraphe 7).

Conservation des logs. Les journaux d'activité générés par le système doivent être conservés pendant une durée appropriée et tenus à disposition de l'autorité de surveillance (article 26, paragraphe 6).

En tant que fournisseur (vous développez l'outil)

Les obligations sont nettement plus lourdes : système de gestion des risques (article 9), données d'entraînement de qualité et représentatives (article 10), documentation technique complète conforme à l'Annexe IV (article 11), évaluation de conformité (article 43), marquage CE, et surveillance post-commercialisation continue.

Les outils RH courants et leur classification probable

L'erreur la plus courante : "C'est l'éditeur qui gère la conformité"

Non. Le fournisseur de l'outil (l'éditeur) a ses propres obligations (documentation technique, marquage CE). Mais en tant que déployeur, vos obligations existent indépendamment. Vous ne pouvez pas externaliser votre responsabilité de FRIA, de surveillance humaine ou de transparence envers les candidats en invoquant le contrat avec votre éditeur.

Vérifiez néanmoins ce que votre éditeur fournit : certains commencent à proposer des "compliance packs" incluant la documentation technique et les instructions d'utilisation requises par l'article 13. C'est un bon point de départ, mais ça ne couvre pas vos obligations propres.

Les sanctions

Les infractions liées aux systèmes haut risque sont passibles d'amendes pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (article 99). Pour une PME, même une fraction de ce montant peut être existentielle.

Par où commencer ?

1. Inventoriez vos outils RH. Listez tous les logiciels qui interviennent dans le recrutement, l'évaluation ou la gestion des employés. Incluez les outils tiers et les solutions internes.

2. Classifiez chaque système. Pour chacun, déterminez s'il tombe dans le domaine 4 de l'Annexe III. Le questionnaire AiCompliBot peut le faire en 5 minutes.

3. Réalisez la FRIA. Pour les systèmes confirmés haut risque, l'évaluation d'impact sur les droits fondamentaux est la priorité. AiCompliBot génère un draft de FRIA personnalisé basé sur votre situation.

4. Mettez en place la surveillance humaine. Désignez un responsable, formez-le, documentez le processus de supervision.

5. Informez les parties prenantes. Candidats, employés, CSE - chacun doit savoir qu'une IA intervient dans les processus RH.

La deadline approche. Si votre PME utilise de l'IA dans le recrutement, la mise en conformité n'est pas optionnelle. Mais elle est faisable, surtout si vous commencez maintenant.

Classifiez vos systèmes RH gratuitement sur AiCompliBot - 5 minutes pour savoir exactement où vous en êtes.