IA et recrutement : ce que l'EU AI Act change vraiment pour les cabinets français

Imaginez que vous achetez un logiciel de matching CV en janvier 2026 en pensant être conforme à l'EU AI Act — et qu'en réalité, les obligations qui vous concernent directement ne s'appliquent pas avant fin 2027. C'est la situation de la plupart des cabinets de recrutement français aujourd'hui. Le Règlement sur l'Intelligence Artificielle est entré en vigueur, mais son calendrier d'application est bien plus étalé que ce que la plupart des articles laissent croire. Voici ce qui est réellement en jeu, et quand.

Mise à jour (juillet 2026) : Le Conseil de l'UE et le Parlement européen se sont accordés sur un paquet « Digital Omnibus » qui reporte les échéances des systèmes d'IA à haut risque. Les systèmes autonomes de l'Annexe III — dont l'IA de recrutement et d'évaluation des candidats — devront respecter les obligations complètes à partir du 2 décembre 2027, et non plus du 2 août 2026 (la date initialement prévue par le règlement). L'IA intégrée dans des produits réglementés (Annexe I) passe au 2 août 2028. L'accord est politique ; l'effet juridique formel n'interviendra qu'avec la publication au Journal officiel de l'UE, attendue avant l'échéance initiale. Le calendrier a changé, pas les obligations : mieux vaut continuer à s'y préparer. Source : l'analyse de Gibson Dunn sur l'accord Digital Omnibus.

Le calendrier EU AI Act : ce que personne ne vous dit clairement

L'EU AI Act a été publié au Journal Officiel de l'UE le 12 juillet 2024 et est entré en vigueur le 1er août 2024. Mais "entré en vigueur" ne signifie pas "applicable immédiatement". Le règlement fonctionne par vagues successives.

Février 2025 : interdiction des pratiques d'IA inacceptables (manipulation psychologique, notation sociale, reconnaissance biométrique à distance en temps réel dans les espaces publics). Ces interdictions ne concernent pas le recrutement standard.

Août 2025 : application des règles de gouvernance et des obligations générales pour les fournisseurs de modèles d'IA à usage général (GPT-4, Llama, etc.). Cela concerne les éditeurs de logiciels, pas directement les cabinets qui utilisent ces outils.

Fin 2027 (2 décembre 2027 précisément) : application complète des obligations pour les systèmes d'IA à haut risque — dont les outils de sélection et filtrage de candidats. C'est là que les cabinets de recrutement entrent vraiment dans le champ du règlement. Cette date résulte d'un report négocié via le paquet « Digital Omnibus » (voir la mise à jour ci-dessus) ; elle était initialement fixée au 2 août 2026.

"Les systèmes d'IA utilisés pour le recrutement ou la sélection de personnes physiques, notamment pour examiner et filtrer les candidatures et évaluer les candidats, figurent explicitement dans l'Annexe III de l'EU AI Act parmi les systèmes à haut risque."
— EU AI Act pour les entreprises de recrutement

Qu'est-ce qu'un système d'IA "à haut risque" dans le recrutement ?

L'Annexe III du règlement liste les catégories de systèmes d'IA considérés à haut risque. Dans le domaine du recrutement, la catégorie 4 est celle qui s'applique : "Emploi, gestion des travailleurs et accès au travail indépendant."

Sont explicitement visés les systèmes utilisés pour :

• Le filtrage automatisé de candidatures (tri de CV, scoring automatique, ranking de candidats)
• L'évaluation de candidats lors d'entretiens (analyse de sentiment, analyse d'émotions vidéo, tests de personnalité automatisés)
• La prise de décision sur la promotion, le licenciement, les conditions de travail

Ce qui n'entre pas dans la catégorie "haut risque" selon la lecture actuelle du texte : les outils de planification d'entretiens, les chatbots de réponse aux candidats, les outils de rédaction d'offres d'emploi, ou les systèmes d'analyse de données RH agrégées sans impact direct sur des décisions individuelles.

La nuance importante : un système n'est classé "haut risque" que s'il est effectivement utilisé pour prendre ou influencer significativement des décisions. Si votre outil de matching fait des suggestions que vos consultants examinent systématiquement et peuvent écarter facilement, la qualification "haut risque" est moins certaine. Mais si le système filtre automatiquement et qu'un humain valide sans vraiment analyser — vous êtes probablement dans la catégorie haut risque.

Les obligations concrètes pour les cabinets de recrutement (à partir de décembre 2027)

Voici ce que les systèmes d'IA à haut risque devront respecter — et ce que les cabinets qui les déploient devront vérifier :

Gestion des risques et documentation

Les fournisseurs de systèmes d'IA à haut risque (donc les éditeurs de logiciels ATS avec scoring IA) devront maintenir une documentation technique complète sur leur système. Ils devront notamment documenter les données d'entraînement utilisées, les performances du modèle, les biais identifiés et les mesures d'atténuation. En tant qu'utilisateur du système (le cabinet de recrutement), vous devrez vérifier que cette documentation existe et qu'elle est accessible.

Transparence envers les candidats

Si un candidat est soumis à une évaluation par un système d'IA à haut risque, il doit en être informé. Cette obligation de transparence s'articule avec le RGPD — mais va plus loin : il ne s'agit pas seulement d'indiquer que des données sont traitées, mais de signaler explicitement qu'une décision automatisée ou semi-automatisée est impliquée.

Surveillance humaine

C'est l'obligation qui a le plus d'impact opérationnel. Les systèmes d'IA à haut risque doivent être conçus pour permettre une surveillance humaine effective — pas symbolique. Un consultant qui valide en 30 secondes le ranking produit par l'IA sans le remettre en question ne satisfait probablement pas cette exigence. Les outils devront intégrer des mécanismes qui permettent à l'humain d'intervenir, d'écarter des décisions automatiques, et de documenter ces interventions.

Exactitude, robustesse et cybersécurité

Les fournisseurs (éditeurs de logiciels) ont des obligations de performance minimale et de protection contre les manipulations. Pour les utilisateurs (cabinets), la responsabilité pratique est de choisir des fournisseurs conformes et de ne pas utiliser les systèmes en dehors du périmètre prévu.

L'interaction avec le RGPD et la CNIL : deux régimes qui se superposent

L'EU AI Act ne remplace pas le RGPD — les deux coexistent. La CNIL a publié ses premières réponses aux questions sur l'articulation entre les deux textes, et le message est clair : les obligations RGPD s'appliquent en parallèle et de manière complémentaire.

Concrètement pour un cabinet de recrutement qui utilise de l'IA :

Le point d'articulation critique entre les deux textes : l'article 22 du RGPD interdit déjà les décisions entièrement automatisées qui ont un effet juridique ou significatif sur une personne — sauf si la personne a donné son consentement explicite ou si un contrat le nécessite. Si votre outil de matching rejette automatiquement des candidats sans intervention humaine, vous êtes probablement déjà en infraction RGPD, indépendamment de l'EU AI Act.

Ce que dit le gouvernement français : le cadre national

La Direction Générale des Entreprises a publié un décryptage sur les publics concernés par le règlement. Pour les PME et TPE, le gouvernement français a mis en place un accompagnement spécifique — notamment via Bpifrance et les CCI — pour aider les petites structures à se préparer à la conformité.

Un point important pour les petits cabinets de recrutement : l'EU AI Act prévoit des exemptions et des obligations allégées pour les PME de moins de 10 salariés et les micro-entreprises en ce qui concerne certaines obligations documentaires. Mais l'obligation de transparence envers les candidats et la surveillance humaine s'appliquent à tous, quelle que soit la taille.

"Le report au 2 décembre 2027 des obligations spécifiques aux systèmes à haut risque utilisés en recrutement ne signifie pas qu'il faut attendre 2027 pour agir — les éditeurs de logiciels conformes construisent leur conformité maintenant, et les cabinets qui choisissent leurs outils aujourd'hui ont intérêt à vérifier la trajectoire de conformité de leurs fournisseurs."
— Gibson Dunn, analyse de l'accord Digital Omnibus

Les risques concrets si vous ignorez le sujet

"On a jusqu'à 2027, on verra plus tard." C'est le raisonnement qui va coûter cher à certains cabinets. Voici pourquoi agir maintenant est plus intelligent.

Les éditeurs de logiciels ATS et de matching IA qui ne se mettent pas en conformité d'ici décembre 2027 ne pourront plus légalement commercialiser leurs systèmes à haut risque dans l'UE sans conformité. Si votre logiciel de recrutement repose sur un éditeur qui ne prend pas le virage, vous vous retrouverez potentiellement avec un outil non conforme du jour au lendemain — ou un éditeur qui migre précipitamment et génère des bugs.

Les sanctions : pour les violations des obligations liées aux systèmes à haut risque, les amendes peuvent atteindre 30 millions d'euros ou 6 % du chiffre d'affaires mondial annuel (le montant le plus élevé). Pour un cabinet, la sanction réaliste serait bien inférieure — mais la mise en demeure, la publicité négative et le risque réputationnel avec les candidats sont des risques réels.

Le risque moins visible : les candidats auront des droits renforcés. Un candidat rejeté par un algorithme de matching pourra contester cette décision, demander une explication et une révision humaine. Si vos processus ne sont pas documentés, répondre à ces demandes sera compliqué — et coûteux en temps.

Ce que vous devriez faire maintenant (même si 2027 semble loin)

La checklist pragmatique pour les cabinets de recrutement français en 2026 :

1. Cartographier vos usages de l'IA. Quels outils utilisez-vous qui impliquent un traitement automatisé des candidatures ? Scoring de CV, matching, chatbots de pré-qualification, tests automatisés ? Identifiez lesquels tombent potentiellement dans la catégorie "haut risque".

2. Interroger vos fournisseurs de logiciels. Demandez à votre éditeur d'ATS ou de logiciel de matching quelle est leur trajectoire de conformité EU AI Act. Un éditeur sérieux devrait avoir une réponse claire. S'il ne sait pas de quoi vous parlez, c'est un signal d'alerte.

3. Vérifier votre conformité RGPD existante. Les obligations RGPD s'appliquent maintenant. Article 22 (décisions automatisées), information des candidats, durées de conservation — si vous n'êtes pas en ordre sur ces points, c'est la priorité immédiate avant même de penser à l'EU AI Act.

4. Documenter vos processus de décision. Commencer à documenter comment les décisions de recrutement sont prises — quelle part est automatisée, comment les consultants interviennent — vous prépare à la fois aux exigences futures de l'EU AI Act et à d'éventuelles demandes de candidats aujourd'hui.

5. Choisir des outils conçus pour la conformité. Un ATS de recrutement qui gère nativement les durées de rétention, les consentements et la traçabilité des décisions vous simplifie la vie maintenant et en 2027.

FAQ : EU AI Act et recrutement en France

Mon cabinet utilise ChatGPT pour rédiger des offres d'emploi. Est-ce concerné par l'EU AI Act ?

Non, pas au sens des systèmes à haut risque. Rédiger des offres d'emploi avec un outil d'IA générative n'implique pas de prise de décision sur des candidats individuels. Les obligations de transparence générales sur les modèles d'IA à usage général (à partir d'août 2025) concernent les éditeurs comme OpenAI, pas les utilisateurs finaux.

Si j'utilise LinkedIn Recruiter avec ses filtres IA, suis-je en infraction ?

Les filtres LinkedIn Recruiter facilitent votre recherche, mais la décision finale d'approcher ou non un candidat reste humaine. LinkedIn est l'opérateur du système — si qualification "haut risque" il y a, c'est à LinkedIn d'assurer la conformité de son outil. Votre responsabilité en tant qu'utilisateur est de ne pas exclure des candidats automatiquement et de documenter votre processus de sélection.

Quelle est la différence entre l'EU AI Act et le RGPD pour le recrutement ?

Le RGPD régit la protection des données personnelles — comment elles sont collectées, traitées, conservées et supprimées. L'EU AI Act régit les systèmes d'IA eux-mêmes — leur conception, leurs performances, leur transparence et leur supervision humaine. Un système d'IA de recrutement doit respecter les deux simultanément. Une violation RGPD peut exister sans violation EU AI Act, et vice-versa.

Les petits cabinets (moins de 5 personnes) sont-ils vraiment concernés ?

Si vous utilisez des outils de matching automatisé ou de scoring de candidats, oui. Les PME bénéficient d'obligations documentaires allégées sur certains points, mais les obligations de transparence envers les candidats et de surveillance humaine s'appliquent indépendamment de la taille. En pratique, les petits cabinets qui utilisent des outils conformes n'ont pas grand-chose à faire de leur côté — la charge de conformité repose d'abord sur les éditeurs de logiciels.

Mon éditeur d'ATS me dit qu'il est "conforme EU AI Act". Comment le vérifier ?

Demandez la documentation technique prévue par l'Annexe IV du règlement, le registre des risques, et leur politique de surveillance humaine. Un éditeur sérieux devrait pouvoir fournir au moins un résumé de ces éléments. La conformité complète ne sera exigée qu'en 2027, mais un éditeur qui n'a aucune documentation préparatoire aujourd'hui devrait vous alerter.

Pour aller plus loin

• Comparatif ATS 2026 pour cabinets de recrutement français — quels logiciels sont en bonne position sur la conformité EU AI Act
• Choisir un logiciel pour cabinet de recrutement — les critères de sélection qui intègrent la trajectoire réglementaire
• Matching sémantique Yena — comment notre IA de matching est conçue avec une supervision humaine au centre
• Tarifs Yena — à partir de 49 €/utilisateur/mois