Règlement IA RH : conformité technologie RH

Conformité au règlement IA pour la technologie RH et le recrutement algorithmique : obligations à haut risque et exigences anti-biais.

Mis à jour 22 octobre 2026

L’IA pour le recrutement et la gestion de la main-d’œuvre peut être à haut risque au titre de l’annexe III, point 4.

À partir du 2 décembre 2027, les fournisseurs de systèmes à haut risque doivent respecter les articles 8 à 15 (article 113, point c), i)). Les employeurs ont les obligations de déployeur de l’article 26 ; anciens systèmes : article 111(2). Depuis le 2 février 2025, l’article 5(1), point f), interdit l’IA qui infère les émotions sur le lieu de travail et dans les établissements d’enseignement, sauf pour des raisons médicales ou de sécurité. Les amendes atteignent 15 millions d’EUR ou, pour une entreprise, 3 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 99(4)). Prochaine étape : vérifiez les systèmes RH au regard de l’annexe III, point 4, et de l’article 5.

La technologie RH peut être à haut risque au titre de l’annexe III, point 4

La technologie RH n’est pas une catégorie du règlement. Ce qui compte, c’est l’usage visé à l’annexe III, point 4 (« Emploi, gestion de la main-d’œuvre et accès à l’emploi indépendant »).

Point 4 a) : recrutement et sélection

Systèmes d’IA destinés à être utilisés pour le recrutement ou la sélection de personnes physiques, en particulier pour publier des offres d’emploi ciblées, analyser et filtrer les candidatures et évaluer les candidats.

Point 4 b) : relations professionnelles

Systèmes d’IA destinés à être utilisés pour prendre des décisions influant sur les conditions des relations professionnelles, la promotion ou le licenciement dans le cadre de relations professionnelles contractuelles, pour attribuer des tâches sur la base du comportement individuel, de traits de personnalité ou de caractéristiques personnelles ou pour suivre et évaluer les performances et le comportement de personnes dans le cadre de telles relations.

Une exception existe, et elle ne couvre jamais le profilage
Un système de l’annexe III n’est pas à haut risque s’il ne présente pas de risque important de préjudice pour la santé, la sécurité ou les droits fondamentaux des personnes physiques, y compris en n’influençant pas de manière substantielle le résultat de la prise de décision. La dérogation ne s’applique que si l’une des quatre conditions de l’article 6(3), points a) à d), est remplie. Un système qui effectue du profilage de personnes physiques est toujours à haut risque. Un fournisseur qui estime que son système n’est pas à haut risque doit documenter son évaluation avant sa mise sur le marché ou sa mise en service (article 6(4)). La Commission devait fournir des lignes directrices avec des exemples pratiques au plus tard le 2 février 2026 (article 6(5)).
Les quatre conditions de l’article 6(3)
La dérogation s’applique si l’une de ces conditions est remplie, sauf pour les systèmes qui effectuent du profilage : a) le système est destiné à accomplir une tâche procédurale étroite ; b) il est destiné à améliorer le résultat d’une activité humaine préalablement réalisée ; c) il est destiné à détecter des schémas décisionnels ou des écarts par rapport à des schémas décisionnels antérieurs et n’est pas destiné à remplacer ou à influencer l’évaluation humaine préalablement réalisée, sans examen humain approprié ; d) il est destiné à accomplir une tâche préparatoire à une évaluation pertinente aux fins des cas d’usage énumérés à l’annexe III.

Pratiques interdites à vérifier d’abord, par exemple

Inférence des émotions au travail : article 5(1), point f)
Sont interdites la mise sur le marché, la mise en service à cette fin spécifique ou l’utilisation de systèmes d’IA pour inférer les émotions d’une personne physique sur le lieu de travail et dans les établissements d’enseignement, sauf lorsque l’utilisation du système d’IA est destinée à être mise en place ou mise sur le marché pour des raisons médicales ou de sécurité. Le règlement ne définit pas le « lieu de travail ». La question de savoir si l’interdiction vise les candidats lors d’entretiens vidéo relève de l’interprétation ; cette page ne la tranche pas.
Catégorisation biométrique selon des traits sensibles : article 5(1), point g)
Sont interdits les systèmes de catégorisation biométrique qui catégorisent individuellement les personnes physiques sur la base de leurs données biométriques pour déduire ou inférer leur race, leurs opinions politiques, leur appartenance syndicale, leurs convictions religieuses ou philosophiques, leur vie sexuelle ou leur orientation sexuelle. L’interdiction ne couvre pas l’étiquetage ou le filtrage d’ensembles de données biométriques acquis légalement, tels que des images, fondés sur des données biométriques, ni la catégorisation de données biométriques dans le domaine répressif.
Notation sociale : article 5(1), point c)
Sont interdits les systèmes d’IA destinés à évaluer ou à classer des personnes physiques ou des groupes de personnes pendant une certaine période en fonction de leur comportement social ou de caractéristiques personnelles ou de personnalité connues, déduites ou prédites, lorsque la note sociale conduit à un traitement préjudiciable ou défavorable dans des contextes sociaux dissociés des contextes dans lesquels les données ont été générées ou collectées à l’origine, ou à un traitement préjudiciable ou défavorable injustifié ou disproportionné par rapport à leur comportement social ou à la gravité de celui-ci.
La reconnaissance des émotions qui n’est pas interdite
Les systèmes de reconnaissance des émotions et les systèmes de catégorisation biométrique qui ne sont pas interdits ne sont pas exclus du règlement. L’annexe III, point 1 b) et c), classe à haut risque la catégorisation biométrique selon des attributs ou caractéristiques sensibles ou protégés, et la reconnaissance des émotions, dans la mesure où leur utilisation est autorisée par le droit de l’Union ou le droit national applicable. Les déployeurs d’un système de reconnaissance des émotions ou de catégorisation biométrique informent les personnes physiques qui y sont exposées du fonctionnement du système et traitent les données à caractère personnel conformément au droit de la protection des données (article 50(3)). Un système de reconnaissance des émotions sert à identifier ou à inférer les émotions ou les intentions de personnes physiques sur la base de leurs données biométriques (article 3, point 39).

Qui doit faire quoi : fournisseur et employeur

Le développeur du logiciel est le fournisseur, l’employeur qui l’utilise est un déployeur
Le fournisseur est la personne physique ou morale, l’autorité publique, l’agence ou l’autre organisme qui développe un système d’IA, ou le fait développer, et le met sur le marché ou le met en service sous son propre nom ou sa propre marque (article 3, point 3). Les fournisseurs de systèmes à haut risque doivent veiller à ce que ces systèmes respectent les exigences de la section 2 (articles 8 à 15) (article 16, point a)). Le déployeur est une personne physique ou morale, une autorité publique, une agence ou un autre organisme qui utilise un système d’IA sous sa propre autorité, sauf lorsque le système est utilisé dans le cadre d’une activité personnelle à caractère non professionnel (article 3, point 4). Un employeur qui utilise un système RH est un déployeur soumis aux obligations de l’article 26. Un déployeur devient fournisseur s’il appose son nom ou sa marque sur un système à haut risque déjà mis sur le marché, s’il y apporte une modification substantielle ou s’il modifie la finalité prévue d’un système de sorte qu’il devienne à haut risque (article 25(1)).
Démarches du fournisseur avant la mise sur le marché
Avant de mettre sur le marché ou de mettre en service un système à haut risque énuméré à l’annexe III (à l’exception du point 2), le fournisseur s’enregistre et enregistre son système dans la base de données de l’UE (article 49(1)). Pour les systèmes visés aux points 2 à 8 de l’annexe III, le fournisseur suit la procédure d’évaluation de la conformité fondée sur le contrôle interne (annexe VI), qui ne prévoit pas l’intervention d’un organisme notifié (article 43(2)). Un fournisseur qui a conclu que son système de l’annexe III n’est pas à haut risque au titre de l’article 6(3) documente son évaluation (article 6(4)) et s’enregistre, avec le système, dans la base de données de l’UE avant la mise sur le marché ou la mise en service (article 49(2)).
Obligations de l’employeur en tant que déployeur
Les déployeurs de systèmes à haut risque prennent des mesures techniques et organisationnelles appropriées pour les utiliser conformément à la notice d’utilisation (article 26(1)), confient le contrôle humain à des personnes physiques disposant de la compétence, de la formation et de l’autorité nécessaires (article 26(2)), surveillent le fonctionnement du système sur la base de la notice d’utilisation (article 26(5)) et conservent les journaux qu’ils contrôlent pendant au moins six mois, sauf disposition contraire d’un autre texte (article 26(6)). Les employeurs informent les représentants des travailleurs et les travailleurs concernés avant d’utiliser le système sur le lieu de travail (article 26(7)), le cas échéant conformément aux règles et procédures du droit de l’Union et du droit national en matière d’information des travailleurs et de leurs représentants. Les déployeurs de systèmes de l’annexe III qui prennent ou aident à prendre des décisions concernant des personnes physiques informent ces personnes qu’elles sont soumises au système (article 26(11)). Les personnes concernées ont droit à une explication dans les cas décrits à l’article 86(1). Les fournisseurs et les déployeurs de systèmes d’IA prennent aussi des mesures pour développer la maîtrise de l’IA de leur personnel et des autres personnes chargées du fonctionnement et de l’utilisation des systèmes en leur nom ; ils ne doivent pas garantir un niveau spécifique de maîtrise de l’IA pour chaque individu (article 4(1)).
Les employeurs publics ont des obligations supplémentaires
Les déployeurs qui sont des autorités publiques, ou des institutions, organes ou organismes de l’Union, respectent les obligations d’enregistrement de l’article 49 (article 26(8)). Avant de déployer un système à haut risque visé à l’article 6(2), à l’exception des systèmes du domaine énuméré à l’annexe III, point 2, les déployeurs qui sont des organismes de droit public ou des entités privées fournissant des services publics effectuent une analyse de l’impact sur les droits fondamentaux (article 27(1)). Un employeur qui n’est ni un organisme de droit public ni une entité privée fournissant des services publics n’est pas visé par l’article 27(1) pour l’annexe III, point 4.

Dates clés

2 février 2025

L’article 5 s’applique, y compris l’interdiction du point f) d’inférer les émotions sur le lieu de travail et dans les établissements d’enseignement (article 113, point a)).

2 août 2026

L’article 50 s’applique, y compris l’article 50(3) pour les déployeurs de systèmes de reconnaissance des émotions et de catégorisation biométrique (article 113).

2 décembre 2027

Les exigences et obligations du chapitre III, sections 1 à 3, à l’exception de l’article 6(5), s’appliquent aux systèmes classés à haut risque au titre de l’article 6(2) et de l’annexe III (article 113, point c), i)).

2 août 2030

Les fournisseurs et les déployeurs de systèmes à haut risque destinés à être utilisés par des autorités publiques doivent prendre les mesures nécessaires pour se conformer au plus tard à cette date (article 111(2)). Les autres systèmes mis sur le marché ou mis en service avant le 2 décembre 2027 ne sont couverts que si, à partir de cette date, leur conception subit d’importantes modifications.

Amendes

Le non-respect de l’article 5 est passible d’amendes allant jusqu’à 35 millions d’EUR ou, pour une entreprise, jusqu’à 7 % de son chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu (article 99(3)). Le non-respect des obligations des fournisseurs (article 16), des déployeurs (article 26) et des obligations de transparence de l’article 50 est passible d’amendes allant jusqu’à 15 millions d’EUR ou, pour une entreprise, jusqu’à 3 %, le montant le plus élevé étant retenu (article 99(4)). Pour les PME, y compris les jeunes pousses, chaque amende atteint au plus le plus faible du pourcentage ou du montant (article 99(6)) ; pour les petites ETI (article 3, point 14 ter ; « petites entreprises à moyenne capitalisation » dans le règlement), il en va de même pour les amendes de l’article 99(4) et (5) (article 99(6 bis)). Chaque État membre détermine dans quelle mesure des amendes administratives peuvent être infligées aux autorités publiques et aux organismes établis sur son territoire (article 99(8)). Les règles sur les sanctions du chapitre XII s’appliquent à partir du 2 août 2025, à l’exception de l’article 101 (article 113, point b)).

Sélection d’exigences, article par article (liste non exhaustive)

art. 9
Système de gestion des risques
Un système de gestion des risques est établi, mis en œuvre, documenté et tenu à jour comme un processus itératif continu sur tout le cycle de vie (article 9(1) et (2)).
art. 10
Données et gouvernance des données
Les jeux de données d’entraînement, de validation et de test répondent aux critères de qualité et font l’objet de pratiques de gouvernance des données qui comprennent l’examen des biais possibles (article 10(2) à (4)).
art. 12
Enregistrement
Les systèmes d’IA à haut risque permettent techniquement l’enregistrement automatique des événements (journaux) tout au long de leur cycle de vie (article 12(1)).
art. 13
Transparence et fourniture d’informations aux déployeurs
Le fonctionnement est suffisamment transparent pour que les déployeurs interprètent les sorties et les utilisent de manière appropriée, et une notice d’utilisation accompagne le système (article 13(1) à (3)).
art. 14
Contrôle humain
Les systèmes sont conçus de façon que des personnes physiques puissent les contrôler efficacement pendant leur utilisation (article 14(1)).
art. 15
Exactitude, robustesse et cybersécurité
Les systèmes atteignent un niveau approprié d’exactitude, de robustesse et de cybersécurité et fonctionnent de façon constante à cet égard tout au long de leur cycle de vie ; les niveaux d’exactitude et les indicateurs sont déclarés dans la notice d’utilisation (article 15(1) et (3)).
art. 26
Obligations des déployeurs
Les déployeurs utilisent le système conformément à la notice d’utilisation, confient le contrôle humain, surveillent le fonctionnement sur la base de la notice d’utilisation, conservent les journaux qu’ils contrôlent et informent les personnes soumises à des décisions (article 26(1), (2), (5), (6) et (11)). Les employeurs informent les représentants des travailleurs et les travailleurs concernés, le cas échéant conformément aux règles et procédures du droit de l’Union et du droit national en matière d’information des travailleurs et de leurs représentants (article 26(7)).
art. 50
Obligations de transparence
Les fournisseurs veillent à ce que les systèmes d’IA destinés à interagir directement avec des personnes physiques informent celles-ci qu’elles interagissent avec un système d’IA, sauf si cela ressort clairement du contexte (article 50(1)). Les déployeurs de systèmes de reconnaissance des émotions ou de catégorisation biométrique informent les personnes qui y sont exposées (article 50(3)).

Questions fréquentes : systèmes à haut risque, analyse des émotions, information des travailleurs, dates et amendes

Quels systèmes d’IA RH sont à haut risque ?

Les systèmes destinés à être utilisés aux fins énumérées à l’annexe III, point 4 a) et b), sauf application de l’exception de l’article 6(3). Un système qui effectue du profilage de personnes physiques est toujours à haut risque. L’annexe III, point 4, ne nomme pas d’outils tels que la rédaction de descriptions de poste, la planification des équipes ou les chatbots RH ; leur rattachement dépend de leur finalité prévue. Un chatbot qui interagit directement avec des personnes est soumis à l’obligation d’information de l’article 50(1).

L’analyse des émotions dans les entretiens vidéo est-elle autorisée ?

Vérifiez d’abord l’article 5(1), point f). Il interdit les systèmes d’IA qui inférèrent les émotions d’une personne physique sur le lieu de travail et dans les établissements d’enseignement, sauf lorsque l’utilisation du système est destinée à être mise en place ou mise sur le marché pour des raisons médicales ou de sécurité. Le règlement ne définit pas le « lieu de travail », et la question de savoir s’il vise les candidats lors d’entretiens relève de l’interprétation, que le règlement ne tranche pas. La reconnaissance des émotions qui n’est pas interdite est classée à haut risque à l’annexe III, point 1 c), dans la mesure où son utilisation est autorisée par le droit de l’Union ou le droit national, et les déployeurs doivent informer les personnes exposées (article 50(3)).

Un employeur doit-il informer les travailleurs d’un système d’IA RH ?

Avant de mettre en service ou d’utiliser un système à haut risque sur le lieu de travail, les employeurs doivent informer les représentants des travailleurs et les travailleurs concernés (article 26(7)), le cas échéant conformément aux règles et procédures du droit de l’Union et du droit national en matière d’information des travailleurs et de leurs représentants. Les déployeurs de systèmes de l’annexe III qui prennent ou aident à prendre des décisions concernant des personnes physiques doivent aussi informer ces personnes qu’elles sont soumises au système (article 26(11)). Les États membres peuvent maintenir ou introduire des règles plus favorables aux travailleurs (article 2(11)).

À partir de quand les règles s’appliquent-elles ?

L’article 5 s’applique à partir du 2 février 2025, sauf l’article 5(1), premier alinéa, points ba) et bb), et les paragraphes 1 bis et 1 ter, qui s’appliquent à partir du 2 décembre 2026 (article 113, point a)). Les exigences applicables aux systèmes de l’annexe III s’appliquent à partir du 2 décembre 2027 (article 113, point c), i)). Un système d’IA à haut risque mis sur le marché ou mis en service avant cette date n’est couvert que si, à partir de cette date, sa conception subit d’importantes modifications. En tout état de cause, les fournisseurs et les déployeurs de systèmes d’IA à haut risque destinés à être utilisés par des autorités publiques doivent prendre les mesures nécessaires pour se conformer au plus tard le 2 août 2030 (article 111(2)).

Quel est le montant des amendes, et est-il plus bas pour les petites entreprises ?

Les manquements à l’article 5 sont passibles d’amendes allant jusqu’à 35 millions d’EUR ou, pour une entreprise, jusqu’à 7 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 99(3)). Les manquements aux obligations des fournisseurs (article 16), des déployeurs (article 26) et de l’article 50 sont passibles d’amendes allant jusqu’à 15 millions d’EUR ou, pour une entreprise, jusqu’à 3 %, le montant le plus élevé étant retenu (article 99(4)). Pour les PME, y compris les jeunes pousses, chaque amende atteint au plus le plus faible du pourcentage ou du montant (article 99(6)) ; les petites ETI (article 3, point 14 ter ; « petites entreprises à moyenne capitalisation » dans le règlement) bénéficient du même plafond pour les amendes de l’article 99(4) et (5) (article 99(6 bis)). Chaque État membre détermine dans quelle mesure des amendes peuvent être infligées aux autorités publiques (article 99(8)).

À lire ensuite : les guides sur les articles 9 et 14, les pratiques interdites et l’annexe III

Scanara prépare des preuves à partir de vos dépôts

Scanara lit vos dépôts GitHub connectés et exécute des analyses à base de règles pour repérer les schémas courants d'IA et d'apprentissage automatique. Il peut manquer du code non standard. Par ailleurs, il génère des projets de documentation à partir de modèles et de vos réponses aux évaluations, comme preuves pour votre travail de conformité. Vous décidez de la classification.

Voir comment Scanara analyse vos dépôts