Article 10 : gouvernance des données de l'IA RH — EU AI Act

Comment l’article 10 du règlement IA s’applique à la technologie RH : gouvernance des données, examen des biais, article 4 bis, rôles du fournisseur et de l’employeur, dates et amendes.

Mis à jour 23 octobre 2026

Les fournisseurs d’IA à haut risque pour la technologie RH doivent utiliser des jeux de données de qualité pour entraîner, valider et tester (article 10).

« Technologie RH » n’est pas une catégorie du règlement. Les systèmes de l’annexe III, point 4 (emploi et gestion de la main-d’œuvre), par exemple les filtres de candidatures, sont à haut risque (article 6(2)). Une exception existe (article 6(3)). Les règles s’appliquent à partir du 2 décembre 2027 (article 113, point c), i)). Les amendes atteignent 15 millions d’EUR ou, pour une entreprise, 3 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 99(4)). Prochaine étape : consignez l’origine de chaque jeu de données et vos contrôles des biais.

L’article 10 ne contient aucune règle propre à la technologie RH : les mêmes règles sur les données s’appliquent à tout système à haut risque

Le règlement ne fixe ni taille minimale de données, ni quota, ni liste de groupes protégés. Il fixe des critères de qualité et des pratiques de gouvernance.

Pratiques de gouvernance des données
Les pratiques doivent être adaptées à la finalité prévue. Elles portent sur les choix de conception, la collecte des données et leur origine et, pour les données à caractère personnel, la finalité initiale de la collecte. Elles portent sur la préparation des données, comme l’annotation, l’étiquetage, le nettoyage, la mise à jour, l’enrichissement et l’agrégation. Elles portent aussi sur les hypothèses concernant ce que les données mesurent et représentent, et sur l’évaluation de la disponibilité, de la quantité et de l’adéquation des jeux de données (article 10(2), points a) à e)).
Examen des biais et mesures
Les pratiques portent aussi sur l’examen des biais susceptibles de nuire à la santé et à la sécurité, d’affecter les droits fondamentaux ou de conduire à une discrimination interdite. Elles comprennent des mesures pour détecter, prévenir et atténuer ces biais, et le repérage des lacunes dans les données qui empêchent le respect du règlement (article 10(2), points f) à h)).
Qualité des jeux de données
Les jeux de données doivent être pertinents, suffisamment représentatifs et, dans toute la mesure possible, exempts d’erreurs et complets au regard de la finalité prévue. Ils doivent avoir les propriétés statistiques appropriées, y compris, le cas échéant, en ce qui concerne les personnes ou groupes de personnes à l’égard desquels le système est destiné à être utilisé (article 10(3)).
Le cadre d’utilisation
Les jeux de données doivent tenir compte, dans la mesure requise par la finalité prévue, des caractéristiques propres au cadre géographique, contextuel, comportemental ou fonctionnel d’utilisation (article 10(4)).
Systèmes sans entraînement de modèles
Pour les systèmes d’IA à haut risque qui n’entraînent pas de modèles d’IA, l’article 10(2) à (4) et l’article 4 bis(1) s’appliquent uniquement aux jeux de données de test (article 10(6)).

La technologie RH peut être à haut risque au titre de l’annexe III, point 4

La technologie RH n’est pas une catégorie du règlement. Ce qui compte, c’est l’usage visé à l’annexe III, point 4 (« Emploi, gestion de la main-d’œuvre et accès à l’emploi indépendant »).

Point 4 a) : recrutement et sélection
Systèmes d’IA destinés à être utilisés pour le recrutement ou la sélection de personnes physiques, en particulier pour publier des offres d’emploi ciblées, analyser et filtrer les candidatures et évaluer les candidats.
Point 4 b) : relations professionnelles
Systèmes d’IA destinés à être utilisés pour prendre des décisions influant sur les conditions des relations professionnelles, la promotion ou le licenciement dans le cadre de relations professionnelles contractuelles, pour attribuer des tâches sur la base du comportement individuel, de traits de personnalité ou de caractéristiques personnelles ou pour suivre et évaluer les performances et le comportement de personnes dans le cadre de telles relations.
Une exception existe, et elle ne couvre jamais le profilage
Un système de l’annexe III n’est pas à haut risque s’il ne présente pas de risque important de préjudice pour la santé, la sécurité ou les droits fondamentaux des personnes physiques, y compris en n’influençant pas de manière substantielle le résultat de la prise de décision. La dérogation ne s’applique que si l’une des quatre conditions de l’article 6(3), points a) à d), est remplie. Un système qui effectue du profilage de personnes physiques est toujours à haut risque. Un fournisseur qui estime que son système n’est pas à haut risque doit documenter son évaluation avant sa mise sur le marché ou sa mise en service (article 6(4)). La Commission devait fournir des lignes directrices avec des exemples pratiques au plus tard le 2 février 2026 (article 6(5)).
Le développeur du logiciel est le fournisseur, l’employeur qui l’utilise est un déployeur
Le fournisseur est la personne physique ou morale, l’autorité publique, l’agence ou l’autre organisme qui développe un système d’IA, ou le fait développer, et le met sur le marché ou le met en service sous son propre nom ou sa propre marque (article 3, point 3). Les fournisseurs de systèmes à haut risque doivent veiller à ce que ces systèmes respectent les exigences de la section 2 (articles 8 à 15) (article 16, point a)). Le déployeur est une personne physique ou morale, une autorité publique, une agence ou un autre organisme qui utilise un système d’IA sous sa propre autorité, sauf lorsque le système est utilisé dans le cadre d’une activité personnelle à caractère non professionnel (article 3, point 4). Un employeur qui utilise un système RH est un déployeur soumis aux obligations de l’article 26. Un déployeur devient fournisseur s’il appose son nom ou sa marque sur un système à haut risque déjà mis sur le marché, s’il y apporte une modification substantielle ou s’il modifie la finalité prévue d’un système de sorte qu’il devienne à haut risque (article 25(1)).
Dates, anciens systèmes et exclusions du champ d’application
Les exigences applicables aux systèmes de l’annexe III s’appliquent à partir du 2 décembre 2027 (article 113, point c), i)). Un système d’IA à haut risque mis sur le marché ou mis en service avant cette date n’est couvert que si, à partir de cette date, sa conception subit d’importantes modifications. En tout état de cause, les fournisseurs et les déployeurs de systèmes d’IA à haut risque destinés à être utilisés par des autorités publiques doivent prendre les mesures nécessaires pour se conformer au plus tard le 2 août 2030 (article 111(2)). Le règlement ne s’applique pas aux domaines qui ne relèvent pas du champ d’application du droit de l’Union (article 2(3)), ni aux systèmes ou modèles d’IA, y compris leurs sorties, spécifiquement développés et mis en service à seule fin de recherche et développement scientifiques (article 2(6)), ni à la recherche, aux essais et au développement avant la mise sur le marché ou la mise en service d’un système ; les essais en conditions réelles ne sont pas exclus (article 2(8)). Il ne s’applique pas aux obligations des déployeurs qui sont des personnes physiques utilisant des systèmes d’IA dans le cadre d’une activité strictement personnelle à caractère non professionnel (article 2(10)). Les systèmes d’IA publiés sous licence libre et ouverte en sont exclus, sauf s’ils sont mis sur le marché ou mis en service en tant que systèmes à haut risque ou en tant que systèmes relevant de l’article 5 ou 50 (article 2(12)).
L’article 4 bis permet les catégories particulières de données pour détecter les biais, sous conditions
Les fournisseurs de systèmes à haut risque peuvent, à titre exceptionnel, traiter des catégories particulières de données à caractère personnel dans la mesure strictement nécessaire à la détection et à la correction des biais au titre de l’article 10(2), points f) et g), si toutes les conditions de l’article 4 bis(1) sont remplies, par exemple si d’autres données, y compris synthétiques ou anonymisées, ne permettent pas d’atteindre l’objectif. Les déployeurs de systèmes à haut risque peuvent le faire au titre de l’article 4 bis(2), aux mêmes conditions et garanties. L’article 4 bis(2) ne crée aucune obligation de procéder à cette détection et à cette correction des biais. Le RGPD continue de s’appliquer en parallèle (article 2(7)).
Employeurs : les données d’entrée qu’ils contrôlent
Dans la mesure où le déployeur exerce un contrôle sur les données d’entrée, il veille à ce que ces données soient pertinentes et suffisamment représentatives au regard de la finalité prévue du système à haut risque (article 26(4)).

Ce que le règlement laisse ouvert

Aucun quota, aucune liste de caractéristiques protégées, aucune métrique d’équité
Le règlement ne fixe ni quota ni règle de parité démographique, et l’article 10 ne liste aucune caractéristique protégée ; il renvoie à la discrimination interdite par le droit de l’Union (article 10(2), point f)). D’autres dispositions nomment des traits sensibles pour leurs propres finalités (article 5(1), point g), annexe III, point 1 b)). Le fournisseur décide comment examiner et mesurer les biais pour sa finalité prévue.
Une présomption existe pour l’article 10(4)
Les systèmes d’IA à haut risque entraînés et testés sur des données reflétant le cadre géographique, comportemental, contextuel ou fonctionnel spécifique dans lequel ils sont destinés à être utilisés sont présumés conformes aux exigences pertinentes de l’article 10(4) (article 42(1)).
Le règlement ne nomme aucune norme ; des normes harmonisées et des lignes directrices existent
Le règlement ne nomme lui-même aucune norme pour la qualité des données. Il demande de tenir compte de l’état de la technique généralement reconnu (article 8(1)). Les systèmes d’IA à haut risque conformes à des normes harmonisées dont les références sont publiées au Journal officiel sont présumés conformes aux exigences de la section 2 que ces normes couvrent (article 40(1)). La Commission élabore des lignes directrices sur l’application des exigences des articles 8 à 15 (article 96(1), point a)). Toute autre norme utilisée par un fournisseur relève d’un choix de conception volontaire.

Exemple : gouvernance des données pour un outil de présélection de CV

Ce sont des exemples, pas des exigences.

Exemple : représentativité (article 10(3))
Le fournisseur d’un outil de présélection de CV vérifie si ses données d’entraînement, de validation et de test contiennent les groupes de candidats auxquels l’outil est destiné, et consigne tout manque (article 10(2), point h)).
Exemple : boucles de rétroaction (article 10(2), point f))
Un outil de classement entraîné sur des décisions d’embauche passées peut reproduire des schémas passés. Le fournisseur examine ce point, en particulier lorsque les sorties de l’outil influencent les données dont il tire ensuite son apprentissage.

Questions fréquentes : quotas, catégories particulières de données, dates et amendes

L’article 10 exige-t-il un jeu de données équilibré ou fondé sur des quotas ?

Non. Le règlement ne fixe aucun quota. Les jeux de données doivent être pertinents, suffisamment représentatifs et, dans toute la mesure possible, exempts d’erreurs et complets au regard de la finalité prévue, avec les propriétés statistiques appropriées, y compris, le cas échéant, à l’égard des personnes ou groupes de personnes auxquels le système est destiné (article 10(3)). Ils doivent tenir compte, dans la mesure requise par la finalité prévue, des caractéristiques propres au cadre d’utilisation (article 10(4)).

Puis-je utiliser des catégories particulières de données à caractère personnel pour tester les biais ?

L’article 4 bis(1) permet aux fournisseurs de systèmes à haut risque de traiter, à titre exceptionnel et en plus du RGPD, des catégories particulières de données à caractère personnel dans la mesure strictement nécessaire à la détection et à la correction des biais, et seulement si toutes ses conditions a) à f) sont remplies. Parmi elles : d’autres données, y compris synthétiques ou anonymisées, ne permettent pas d’atteindre l’objectif, les données ne sont pas transmises à d’autres parties et elles sont supprimées une fois le biais corrigé ou la durée de conservation écoulée. Les déployeurs de systèmes à haut risque peuvent le faire au titre de l’article 4 bis(2). L’article 4 bis(2) ne crée aucune obligation de procéder à cette détection et à cette correction des biais.

À partir de quand les règles de l’article 10 s’appliquent-elles à la technologie RH ?

Les exigences applicables aux systèmes de l’annexe III s’appliquent à partir du 2 décembre 2027 (article 113, point c), i)). Un système d’IA à haut risque mis sur le marché ou mis en service avant cette date n’est couvert que si, à partir de cette date, sa conception subit d’importantes modifications. En tout état de cause, les fournisseurs et les déployeurs de systèmes d’IA à haut risque destinés à être utilisés par des autorités publiques doivent prendre les mesures nécessaires pour se conformer au plus tard le 2 août 2030 (article 111(2)).

Quel est le montant des amendes, et est-il plus bas pour les petites entreprises ?

L’article 16 fixe les obligations des fournisseurs, qui comprennent le respect des exigences des articles 9 à 15. Les manquements sont passibles d’amendes allant jusqu’à 15 millions d’EUR ou, pour une entreprise, 3 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 99(4)). Pour les PME, y compris les jeunes pousses, et les petites ETI (article 3, point 14 ter), chaque amende atteint au plus le plus faible des deux montants (article 99(6) et (6 bis)). Le règlement les appelle « petites entreprises à moyenne capitalisation ». Le pourcentage du chiffre d’affaires s’applique si l’auteur de l’infraction est une entreprise (article 99(4)). Chaque État membre détermine dans quelle mesure des amendes administratives peuvent être infligées aux autorités publiques et aux organismes établis sur son territoire (article 99(8)).

À lire ensuite : l’article pour tous les secteurs, l’aperçu de la technologie RH et les guides liés

Scanara prépare des preuves à partir de vos dépôts

Scanara lit vos dépôts GitHub connectés et exécute des analyses à base de règles pour repérer les schémas courants d'IA et d'apprentissage automatique. Il peut manquer du code non standard. Par ailleurs, il génère des projets de documentation à partir de modèles et de vos réponses aux évaluations, comme preuves pour votre travail de conformité. Vous décidez de la classification.

Voir comment Scanara analyse vos dépôts