Skip to main content

Article 15 pour les technologies RH : exactitude, robustesse et cybersécurité

Comment l’article 15 (exactitude, robustesse, cybersécurité) s’applique à l’IA de recrutement et de gestion des travailleurs relevant de l’annexe III, point 4 : champ, rôles, dates, amendes et ce que le règlement laisse ouvert.

Les fournisseurs de systèmes d’IA à haut risque pour le recrutement ou la gestion des travailleurs sont concernés. Ils doivent les concevoir pour un niveau approprié d’exactitude, de robustesse et de cybersécurité (article 15).

Ce sont des systèmes de l’annexe III, point 4 ; l’article 15 s’applique à eux à partir du 2 décembre 2027. Le fournisseur déclare les niveaux et les indicateurs d’exactitude dans la notice d’utilisation (article 15, paragraphe 3). Les employeurs qui se bornent à utiliser un tel système sont des déployeurs et ne sont pas liés par l’article 15. Les amendes vont jusqu’à 15 millions d’EUR (article 99, paragraphe 4). Pour une entreprise, jusqu’à 3 % du chiffre d’affaires annuel mondial, si ce montant est plus élevé. Prochaine étape : listez les indicateurs que vous déclarerez.

L’article 15 demande un niveau approprié, pas une valeur fixe

L’article 15 fixe des exigences de conception pour le fournisseur. Il ne nomme aucune valeur d’exactitude pour aucun secteur.

  • art. 15(1)
    Niveau approprié, pendant tout le cycle de vie

    Les systèmes d’IA à haut risque doivent être conçus et développés pour atteindre un niveau approprié d’exactitude, de robustesse et de cybersécurité, et fonctionner de façon cohérente à cet égard tout au long de leur cycle de vie.

  • art. 15(2)
    Les référentiels relèvent de l’encouragement de la Commission

    La Commission encourage, selon le cas, le développement de critères de référence et de méthodes de mesure, en coopération avec les parties prenantes telles que les autorités de métrologie et d’étalonnage. Ce n’est pas une obligation du fournisseur.

  • art. 15(3)
    Déclarer niveaux et indicateurs

    Les niveaux d’exactitude et les indicateurs d’exactitude pertinents doivent être indiqués dans la notice d’utilisation qui accompagne le système.

  • art. 15(4)
    Résilience face aux erreurs, et boucles de rétroaction

    Les systèmes doivent être aussi résilients que possible face aux erreurs, défaillances ou incohérences survenant dans le système ou son environnement, notamment du fait de leur interaction avec des personnes physiques ou d’autres systèmes. Des mesures techniques et organisationnelles doivent être prises ; la redondance technique, les plans de sauvegarde ou de sécurité intégrée sont cités comme options. Un système qui continue à apprendre après sa mise sur le marché doit être développé de manière à éliminer ou réduire autant que possible le risque que des sorties biaisées influencent les entrées futures (boucles de rétroaction).

  • art. 15(5)
    Cybersécurité face aux tiers non autorisés

    Les systèmes doivent résister aux tentatives de tiers non autorisés visant à modifier leur utilisation, leurs sorties ou leurs performances en exploitant des vulnérabilités. Les solutions techniques comprennent, le cas échéant, des mesures contre l’empoisonnement des données, l’empoisonnement du modèle, les exemples contradictoires ou l’évasion du modèle, les attaques de confidentialité et les défauts du modèle.

Quelle IA RH doit respecter l’article 15

L’article 15 ne s’impose qu’aux fournisseurs de systèmes d’IA à haut risque. Les lignes ci-dessous montrent quand l’IA RH devient à haut risque.

  • Les technologies RH ne sont pas une catégorie du règlement

    Le règlement n’a pas de catégorie « technologies RH ». Ce site emploie ce terme pour l’IA qui entre dans le règlement par l’annexe III, point 4 (emploi, gestion des travailleurs et accès à l’emploi indépendant), et par l’interdiction de l’article 5, paragraphe 1, point f), d’inférer les émotions sur le lieu de travail.

  • Annexe III, point 4 : emploi et gestion des travailleurs

    L’annexe III, point 4 a), vise les systèmes d’IA destinés à être utilisés pour le recrutement ou la sélection de personnes physiques, notamment pour diffuser des offres d’emploi ciblées, analyser et filtrer les candidatures et évaluer les candidats. Le point 4 b) vise les systèmes d’IA destinés à être utilisés pour prendre des décisions influant sur les conditions des relations de travail, la promotion ou la résiliation des relations contractuelles de travail, pour répartir les tâches sur la base du comportement individuel ou de traits ou caractéristiques personnels, ou pour suivre et évaluer les performances et le comportement de personnes dans ces relations. Un système de l’annexe III n’est considéré comme non à haut risque que dans le cadre de l’article 6, paragraphe 3, et le fournisseur doit documenter cette évaluation avant la mise sur le marché ou la mise en service du système (article 6, paragraphe 4). L’article 6, paragraphe 3, ne s’applique jamais lorsque le système effectue du profilage de personnes physiques. Un fournisseur qui conclut que son système de l’annexe III n’est pas à haut risque est soumis à l’obligation d’enregistrement de l’article 49, paragraphe 2.

  • Fournisseur et déployeur

    Le fournisseur, par exemple un éditeur de logiciels RH, développe le système d’IA, ou le fait développer, et le met sur le marché ou le met en service sous son propre nom (article 3, point 3). Un employeur, une agence de recrutement ou un autre organisme qui utilise un système sous son autorité est un déployeur (article 3, point 4). Un déployeur devient fournisseur s’il appose son nom ou sa marque sur un système à haut risque déjà mis sur le marché, s’il y apporte une modification substantielle qui le laisse à haut risque, ou s’il modifie la finalité prévue d’un système qui n’était pas à haut risque de sorte qu’il le devienne (article 25, paragraphe 1). Le règlement ne s’applique pas aux obligations des déployeurs qui sont des personnes physiques utilisant des systèmes d’IA dans le cadre d’une activité strictement personnelle à caractère non professionnel (article 2, paragraphe 10).

  • Dates

    Les systèmes de l’annexe III, point 4, doivent respecter ces obligations à partir du 2 décembre 2027 (article 113, paragraphe 3, point c) i)). Un système mis sur le marché ou mis en service avant cette date n’est couvert que si sa conception subit ensuite d’importantes modifications ; en tout état de cause, les fournisseurs et les déployeurs de systèmes d’IA à haut risque destinés à être utilisés par des autorités publiques doivent prendre les mesures nécessaires pour se conformer au plus tard le 2 août 2030 (article 111, paragraphe 2). L’interdiction de l’article 5, paragraphe 1, point f), s’applique depuis le 2 février 2025 ; l’exception prévue à l’article 113, paragraphe 3, point a), ne la concerne pas.

  • Amendes

    Les manquements aux obligations des fournisseurs (article 16) et des déployeurs (article 26) peuvent être sanctionnés d’amendes pouvant atteindre 15 millions d’EUR ou, si l’auteur de l’infraction est une entreprise, 3 % de son chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu (article 99, paragraphe 4). Pour les PME, y compris les jeunes pousses, chaque amende peut atteindre au plus le montant le plus faible (article 99, paragraphe 6) ; il en va de même pour les petites ETI (« petites entreprises à moyenne capitalisation » dans le règlement ; article 3, point 14 ter, article 99, paragraphe 6 bis). Chaque État membre décide dans quelle mesure des amendes peuvent être infligées aux autorités publiques et aux organismes établis sur son territoire (article 99, paragraphe 8).

  • Limites du champ d’application

    Le règlement ne s’applique pas aux domaines qui ne relèvent pas du champ d’application du droit de l’Union (première phrase de l’article 2, paragraphe 3), ni aux systèmes ou modèles d’IA, y compris leurs sorties, spécifiquement développés et mis en service à seule fin de recherche scientifique et de développement (article 2, paragraphe 6), ni aux activités de recherche, d’essai et de développement avant la mise sur le marché ou la mise en service d’un système ; les essais en conditions réelles ne sont pas couverts par cette exclusion (article 2, paragraphe 8). Il ne s’applique pas aux systèmes d’IA publiés sous licence libre et ouverte, sauf s’ils sont mis sur le marché ou mis en service en tant que systèmes d’IA à haut risque ou relèvent de l’article 5 ou 50 (article 2, paragraphe 12).

Ce que le règlement laisse ouvert pour les RH

  • Pas de valeur d’exactitude ni d’indicateur d’équité

    L’article 15 ne nomme, pour aucun secteur, d’indicateur d’exactitude, de valeur minimale, de méthode d’essai ou de norme, et le règlement ne nomme aucun indicateur d’équité pour les systèmes RH. Le fournisseur déclare les niveaux et les indicateurs pertinents (article 15, paragraphe 3). La documentation technique doit aussi décrire les indicateurs utilisés pour mesurer l’exactitude, la robustesse et la conformité, ainsi que les effets potentiellement discriminatoires (annexe IV, point 2 g)).

  • Présomptions de conformité

    Le règlement ne nomme lui-même aucune norme. Les systèmes conformes à des normes harmonisées dont les références sont publiées au Journal officiel sont présumés conformes aux exigences de la section 2, dans la mesure où ces normes les couvrent (article 40, paragraphe 1). Un certificat de cybersécurité ou une déclaration de conformité au titre du règlement (UE) 2019/881, publié au Journal officiel, donne une présomption pour les exigences de cybersécurité de l’article 15 (article 42, paragraphe 2) ; les systèmes relevant du règlement (UE) 2024/2847 qui remplissent les conditions de son article 12, paragraphe 1, sont réputés conformes à ces exigences (article 42, paragraphe 3). La Commission élabore des lignes directrices sur l’application des exigences et obligations des articles 8 à 15 et des articles 25 et 26 (article 96, paragraphe 1, point a)).

  • Exemple : les boucles de rétroaction d’un outil de classement

    Exemple, pas une exigence du règlement : le fournisseur d’un outil de classement de candidats qui continue d’apprendre après sa mise sur le marché pourrait tester si ses classements antérieurs influencent les données dont il apprend ensuite, ce que l’article 15, paragraphe 4, sur les boucles de rétroaction, demande au fournisseur de traiter.

Questions sur l’article 15 dans les technologies RH

L’article 15 fixe-t-il une valeur d’exactitude ou un indicateur d’équité pour l’IA de recrutement ?

Non. L’article 15, paragraphe 1, exige un niveau approprié, et l’article 15, paragraphe 3, exige que le fournisseur déclare les niveaux et les indicateurs d’exactitude pertinents dans la notice d’utilisation. Le règlement ne nomme ni valeur, ni indicateur, ni méthode d’essai pour les systèmes RH.

Qui doit respecter l’article 15 quand un employeur achète un outil de présélection ?

Le fournisseur conçoit le système pour qu’il respecte l’article 15 (article 16, point a)). L’employeur est un déployeur et utilise le système conformément à la notice d’utilisation (article 26, paragraphe 1). Un déployeur qui appose son nom sur le système, le modifie substantiellement ou change sa finalité prévue devient le fournisseur (article 25, paragraphe 1).

À partir de quand l’article 15 s’applique-t-il à un système de présélection de CV ?

À partir du 2 décembre 2027, si le système est un système de l’annexe III, point 4, à haut risque (articles 6, paragraphe 2, et 113). Un système déjà sur le marché avant cette date n’est couvert qu’après une modification importante de sa conception (article 111, paragraphe 2).

Pages liées

Scanara prépare des preuves à partir de vos dépôts

Scanara lit vos dépôts GitHub connectés et exécute des analyses à base de règles pour repérer les schémas courants d'IA et d'apprentissage automatique. Il peut manquer du code non standard. Par ailleurs, il génère des projets de documentation à partir de modèles et de vos réponses aux évaluations, comme preuves pour votre travail de conformité. Vous décidez de la classification.