AI Act et recrutement : ce qu'il faut vérifier avant de laisser une IA trier vos candidats

Depuis le printemps, une confusion circule dans les directions RH françaises : certains pensent être déjà en infraction depuis le 2 août 2026, d'autres pensent que le recrutement vient d'être retiré de la liste des usages à haut risque. Les deux sont faux. La classification n'a pas bougé ; seul le calendrier d'une partie des obligations a changé, et il reste exactement trois points à vérifier dès maintenant.

Le recrutement, classé « haut risque » depuis l'origine du texte

Le règlement (UE) 2024/1689 sur l'intelligence artificielle, entré en vigueur le 1er août 2024, classe en Annexe III les systèmes d'IA « destinés à être utilisés pour le recrutement ou la sélection de personnes physiques » — qu'il s'agisse de cibler des offres d'emploi, de filtrer des candidatures ou d'évaluer des candidats. Cette classification n'a jamais été remise en question et ne l'est toujours pas. Ce qui a changé, c'est uniquement la date à laquelle les obligations complètes qui en découlent deviennent exigibles.

Le report de juin 2026 : ce qui a changé, et ce qui n'a pas changé

Le 16 juin 2026, le Parlement européen a adopté l'amendement « Digital Omnibus », confirmé par le Conseil de l'UE le 29 juin 2026. Son objet : donner aux entreprises plus de temps pour cartographier leurs systèmes d'IA, évaluer leur niveau de risque et documenter leur gouvernance, avant l'entrée en vigueur des obligations les plus lourdes.

Ce que ce report ne change pas : il ne retire aucune catégorie de la liste des usages à haut risque, il ne supprime aucune obligation — il en repousse l'exigibilité. Les entreprises conservent par ailleurs leurs obligations existantes, comme la formation à la culture IA de leurs équipes.

Trois choses qui s'appliquent déjà, aujourd'hui

Le report ne concerne qu'une partie du règlement. Trois obligations, indépendantes du calendrier « haut risque », sont déjà exigibles.

1. La transparence de l'article 50, depuis le 2 août 2026. Un candidat doit être informé qu'il interagit avec un système d'IA (un chatbot de présélection, par exemple), et tout contenu généré par IA publié sans révision humaine doit être identifié comme tel. Les systèmes déjà en service au 2 août 2026 disposaient d'un délai supplémentaire jusqu'au 2 décembre 2026 pour s'y conformer.

2. L'interdiction de la reconnaissance d'émotions au travail, depuis le 2 février 2025. L'article 5 du règlement interdit les systèmes d'inférence des émotions sur le lieu de travail, avec des exceptions médicales et de sécurité très limitées. Cette interdiction est en vigueur depuis plus d'un an et demi — elle ne fait pas partie du report de juin 2026.

3. L'article 22 du RGPD, depuis 2018. Indépendamment du règlement IA, le RGPD restreint déjà les décisions entièrement automatisées produisant des effets juridiques ou significatifs sur une personne — une candidature rejetée sans intervention humaine en fait partie. Cette obligation est antérieure au règlement IA et totalement indépendante de son calendrier.

Ce qui arrive au 2 décembre 2027

À cette date, les obligations complètes de l'Annexe III s'appliqueront pleinement au recrutement. Elles couvrent notamment :

• Une supervision humaine documentée, assurée par du personnel compétent et habilité, capable de réellement réexaminer et, le cas échéant, d'annuler une décision assistée par IA — pas une validation mécanique.
• L'information des candidats sur l'usage de l'IA dans le processus qui les concerne, et sur les fonctions actives du système.
• Une gouvernance des données d'entraînement : représentativité, analyse du risque de discrimination avant mise en service.
• Une traçabilité des décisions, avec conservation des journaux d'activité pendant au moins six mois et une procédure de détection et d'escalade des incidents.
• Une documentation technique complète couvrant les usages autorisés, les limites du système et les procédures de contrôle.

Les sanctions prévues pour un manquement à ces obligations atteignent 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu — au même niveau que les sanctions RGPD les plus lourdes.

Pourquoi attendre 2027 est une mauvaise idée

Quatorze mois peuvent sembler confortables. Ils ne le sont pas pour qui part de zéro : cartographier ses outils, documenter une gouvernance, auditer un fournisseur et former des évaluateurs à une supervision réelle — et non à une validation de façade — prend du temps. Et le calendrier 2027 ne dispense de rien avant cette date : la transparence et l'interdiction de la reconnaissance d'émotions s'appliquent dès aujourd'hui, et un contrôle ou un contentieux sur ces deux points est possible dès maintenant.

C'est le principe sur lequel nous avons construit SELECT : aucune analyse faciale ni émotionnelle à aucun moment du processus, un candidat systématiquement informé qu'il passe un entretien mené par un évaluateur IA, une évaluation documentée critère par critère — vidéo, transcription, notation — et une décision qui reste, dans tous les cas, entre les mains du recruteur. Ce n'est pas une anticipation du règlement de 2027 : c'est une conception qui s'y conforme déjà sur les points qui comptent.

Ce que ça signifie concrètement pour vous

Si vous utilisez ou évaluez un outil d'entretien ou de présélection assisté par IA, quatre questions à poser dès maintenant, indépendamment de l'échéance 2027 :

1. L'outil analyse-t-il le visage ou les émotions du candidat, même partiellement ? Si oui, c'est déjà un problème de conformité, pas un sujet pour 2027.
2. Le candidat est-il explicitement informé qu'il interagit avec un système d'IA ? C'est exigible depuis le 2 août 2026.
3. Un humain peut-il réellement modifier ou rejeter l'évaluation produite par l'IA, et pas seulement la valider ? C'est déjà une exigence du RGPD, et ce sera renforcé en 2027.
4. Le fournisseur peut-il documenter son système — données d'entraînement, limites, procédures de contrôle ? S'il ne le peut pas aujourd'hui, il aura du mal à le pouvoir dans quatorze mois.

Questions fréquentes

En résumé

Le recrutement reste, et restera, une catégorie à haut risque du règlement européen sur l'IA. Seule l'échéance des obligations les plus lourdes a bougé, du 2 août 2026 au 2 décembre 2027. Trois vérifications ne peuvent pas attendre cette date : l'absence d'analyse faciale ou émotionnelle, l'information du candidat sur l'usage de l'IA, et la capacité réelle d'un humain à revoir la décision.