L'IA Act en recrutement : ce que vous avez le droit de faire en 2026

L'IA en recrutement n'est pas interdite mais bel et bien encadrée.

Et la frontière entre ce qui est autorisé, ce qui est toléré et ce qui est strictement interdit est aujourd'hui plus précise qu'on ne le croit, même si elle reste mal connue des équipes qui déploient ces outils au quotidien.

Voici ce que vous devez savoir, dans l'ordre où cela vous concerne.

Havas Media

Ce qu'est l'IA Act et où on en est

L'AI Act (Règlement UE 2024/1689) est le premier cadre juridique mondial dédié à l'intelligence artificielle. Il est entré en vigueur le 1er août 2024 et s'applique progressivement selon un calendrier échelonné.

Bonne nouvelle pour les équipes RH : le Digital Omnibus, accord provisoire adopté par le Parlement européen le 26 mars 2026, avec une majorité écrasante (569 voix pour, 45 contre), a reporté les obligations les plus contraignantes pour les systèmes à haut risque au 2 décembre 2027.

Mauvaise nouvelle : plusieurs obligations sont déjà applicables et le RGPD, lui, n'a jamais attendu l'AI Act.

Pourquoi le recrutement est classé à haut risque ? 

L'AI Act classe les systèmes d'IA selon quatre niveaux de risque.

Les outils utilisés dans le recrutement figurent explicitement dans l'Annexe III du règlement comme systèmes à haut risque : tri de CV, scoring de candidats, analyse automatisée, pré-sélection, classement dans l'accès à l'emploi.

La logique est simple : ces systèmes ont un impact direct sur les droits fondamentaux des individus. Une IA qui trie des CV peut discriminer sans que personne ne s'en aperçoive. Une IA qui score des candidats peut reproduire et amplifier des biais existants. Le recrutement rejoint ainsi la biométrie, la santé, la justice et les services essentiels dans la catégorie des domaines où l'IA est permise sous conditions strictes, pas permise sans contrôle.

Ce qui est interdit aujourd'hui

Avant même que le reste de l'AI Act ne s'applique pleinement, deux interdictions sont déjà en vigueur et opposables.

• Première interdiction : le rejet automatique sans intervention humaine. Le RGPD (Article 22) et la doctrine CNIL interdisent les décisions de rejet 100% automatisées sans intervention humaine significative. Un ATS qui élimine des candidatures sans qu'un recruteur n'ait jamais vu le dossier n'est pas conforme. Ce n'est pas une interprétation : c'est la règle en vigueur.

• Deuxième interdiction : les pratiques listées à l'Article 5 de l'AI Act. Ces pratiques sont prohibées depuis février 2025 : systèmes de scoring social à usage général, manipulation comportementale, exploitation des vulnérabilités. En contexte RH, cela concerne notamment les outils d'analyse émotionnelle en entretien, les systèmes de profilage comportemental non transparents, et toute forme de notation globale des individus déconnectée d'un poste précis.

Les sanctions pour violation de l'article 5 : jusqu'à 35 millions d'euros ou 7% du chiffre d'affaires mondial.

Ce qui est obligatoire aujourd'hui

Trois obligations s'appliquent sans attendre 2027.

• La formation des utilisateurs. L'Article 4 de l'AI Act impose depuis février 2025 une obligation de littératie IA pour toutes les personnes qui déploient ou utilisent des systèmes d'IA dans l'entreprise. Un recruteur qui utilise un outil de scoring sans en comprendre les limites, les biais potentiels et le mode de fonctionnement n'est pas en conformité. Cette formation n'est pas optionnelle.

• L'information et la consultation du CSE. Le déploiement d'un système d'IA en RH relève de l'obligation d'information-consultation du comité social et économique. Avant de déployer, pas après.

• La DPIA. Pour tout traitement d'IA à grande échelle en recrutement, une analyse d'impact sur la protection des données (DPIA) est obligatoire. La CNIL est compétente sur ce volet et reste la principale autorité de contrôle en France pour les traitements RH, en attendant la désignation officielle de l'autorité nationale de surveillance IA.

Ce qui arrive le 2 décembre 2027

À cette date, les obligations pleines du régime haut risque entrent en application pour les outils de recrutement.

Concrètement, cela signifie que chaque système d'IA utilisé dans vos processus devra répondre à cinq exigences.

Les quatre questions à se poser avant de déployer un outil IA en recrutement

La conformité n'est pas une case à cocher une fois. C'est un ensemble de réflexes à intégrer dès le choix des outils.

1. Est-ce que cet outil prend des décisions ou aide à prendre des décisions ? Un outil qui score des candidats sans que le recruteur valide chaque décision est un outil qui décide. Ce n'est pas la même chose qu'un outil qui suggère et laisse l'humain trancher.

2. Est-ce que je suis capable d'expliquer à un candidat comment et pourquoi il a été sélectionné ou écarté ? Si la réponse est non, le système n'est pas conforme à l'exigence de transparence.

3. Est-ce que j'ai réalisé une DPIA sur ce traitement ? Si le système analyse des données de candidats à grande échelle, la réponse devrait être oui.

4. L'éditeur de cet outil est-il en mesure de me fournir sa documentation de conformité IA Act ? À partir de 2027, cette documentation sera exigible. Autant vérifier maintenant que votre fournisseur l'a prévue.

Au-delà de la conformité : un choix d'éthique d'entreprise

Respecter l'AI Act et le RGPD est une obligation légale.

Mais les entreprises qui se limitent à la conformité minimale passent à côté de quelque chose de plus fondamental. 

Déployer de l'IA dans le recrutement, c'est confier à un algorithme une partie du jugement sur des trajectoires professionnelles. C'est décider, souvent de manière invisible pour le candidat, qu'un profil mérite ou non d'être lu, contacté, convoqué.

Cette responsabilité ne se délègue pas à un outil. Elle reste entière chez ceux qui le déploient.

Les organisations qui traitent la conformité IA comme un choix d'éthique d'entreprise, et non comme une contrainte réglementaire, construisent autre chose : une relation de confiance avec les candidats, une cohérence entre leurs valeurs affichées et leurs pratiques réelles, et une résilience face aux développements réglementaires à venir. L'éthique, ici, n'est pas un supplément d'âme. C'est une décision stratégique.

Hippolyte.ai : une conformité construite depuis le départ et non rattrapée en urgence

Depuis 2021, Hippolyte a construit sa solution autour d'un seul principe : le respect du candidat comme socle non négociable.

La plateforme a fait le choix stratégique d'adopter volontairement la classification "Système IA à Haut Risque" (Annexe III, AI Act), s'imposant les obligations les plus strictes du règlement bien avant qu'elles ne soient exigibles. Conformité RGPD intégrée dès le premier contact candidat, données hébergées 100% en Europe, anonymisation systématique des CV avant analyse IA.

Parce que la conformité ne suffit pas sans compréhension, Hippolyte forme les recruteurs à l'usage d'une IA responsable et éthique. Une IA bien utilisée commence par un recruteur qui sait ce qu'il utilise.

Sources : Règlement UE 2024/1689 (AI Act) · Digital Omnibus, accord provisoire PE 26 mars 2026 · RGPD Article 22 · CNIL, doctrine décision automatisée en RH · Audaria, AI Act et RH 2026 · CCI Paris Ile-de-France, mars 2026

FAQ

Mon entreprise utilise un ATS, suis-je quand même responsable de la conformité IA Act ?

Oui. L'IA Act distingue le fournisseur du système (l'éditeur) et le déployeur (votre entreprise). Même si vous n'avez pas développé l'outil, vous êtes responsable de son usage conforme : DPIA, information des candidats, supervision humaine des décisions. La conformité de votre fournisseur ne se substitue pas à la vôtre.

Qu'est-ce qu'une "supervision humaine significative" ? Un recruteur qui clique sur "valider" sur chaque profil est-il suffisant ?

Non et c'est précisément le piège. La CNIL et l'IA Act exigent une intervention réelle, pas un simple acquittement mécanique. Le recruteur doit comprendre les critères appliqués, être en mesure de contester le résultat et disposer du temps et des informations nécessaires pour le faire. Un clic de validation sur 200 profils en 10 minutes ne remplit pas cette condition.

Est-ce que l'IA Act s'applique si mes candidats sont hors UE ?

L'IA Act suit la logique extraterritoriale du RGPD : ce qui compte, c'est le lieu d'usage du système, pas la nationalité des candidats. Si votre outil de recrutement est déployé depuis une entreprise établie dans l'UE, le règlement s'applique quelle que soit la localisation des personnes évaluées.