IA en RH et AI Act : obligations 2026 et échéance de décembre 2027

En 2026, l'intelligence artificielle n'est plus une option dans les processus RH : 52 % des DRH se déclarent en retard sur le sujet (baromètre privé WTW 2025). Pour les PME et ETI françaises, le déploiement d'outils IA RH (tri de CV, scoring de candidats, évaluation de performances, mesure de l'engagement) entre dans un cadre juridique strict dont les obligations principales s'appliqueront au 2 décembre 2027 : l'AI Act. Cet article fait le point, sources légales à l'appui, sur le calendrier, les obligations, les sanctions et le plan de conformité applicable.

Qu'est-ce que l'AI Act et pourquoi l'IA RH est-elle concernée ?

L'Artificial Intelligence Act (règlement UE 2024/1689) est le premier cadre juridique horizontal européen sur l'IA. Il s'applique à toutes les entreprises qui développent ou utilisent des systèmes d'IA sur le marché européen, quelle que soit leur taille.

En matière RH, le règlement vise spécifiquement les systèmes utilisés pour le recrutement et la sélection, l'évaluation des performances, la répartition des tâches, la surveillance et le contrôle des salariés.

Quelle est la situation réglementaire après le report ?

Quel est le calendrier officiel d'application de l'AI Act ?

Pourquoi l'IA RH est-elle classée à haut risque (Annexe III) ?

Selon l'Annexe III du règlement UE 2024/1689, les 8 domaines à haut risque sont :

1. Biométrie
2. Infrastructures critiques
3. Éducation et formation professionnelle
4. Emploi, gestion des travailleurs, accès à l'emploi non-salarié
5. Accès aux services privés essentiels et aux services publics essentiels
6. Répression
7. Migration, asile, contrôle aux frontières
8. Administration de la justice et processus démocratiques

En RH, sont concernés les systèmes d'IA utilisés pour : recrutement et sélection, évaluation des performances, décisions de promotion ou de licenciement, répartition des tâches, surveillance et contrôle des salariés.

Quelles sont les obligations du déployeur PME et ETI ?

L'AI Act distingue deux rôles principaux : le fournisseur (qui développe et met sur le marché le système d'IA) et le déployeur (qui l'utilise dans le cadre d'une activité professionnelle). La grande majorité des PME sont déployeurs : elles intègrent un SaaS, une API ou un module IA, sans développer le modèle.

Les 6 obligations principales du déployeur (Art. 26 et 27 du règlement)

• Supervision humaine effective : un humain doit pouvoir intervenir, ignorer, contredire ou écraser la décision automatisée
• Conservation des logs automatiquement générés par le système, pendant une durée appropriée et d'au moins six mois
• Information des personnes concernées (salariés, candidats) sur l'usage, la finalité et les traitements automatisés
• Information du CSE (comité social et économique) et représentants du personnel en cas de modification des conditions de travail (Art. L.2312-38 du Code du travail)
• Évaluation d'impact sur les droits fondamentaux (FRIA) : obligatoire pour le secteur public, recommandée dans le secteur privé
• Surveillance post-déploiement et signalement des incidents graves au fournisseur

La formation à l'IA est-elle déjà obligatoire en 2026 ?

La formation doit être proportionnée aux fonctions des collaborateurs et à l'usage des systèmes d'IA. Pour une PME ou ETI utilisant un outil IA en RH, cela implique de former : les DRH et RRH, les managers utilisateurs, les recruteurs et plus largement toute personne susceptible d'interpréter ou d'agir sur la base d'une sortie produite par l'IA.

Comment articuler AI Act, RGPD et Code du travail ?

Quelles sanctions en cas de non-conformité ?

Comment se mettre en conformité avec l'AI Act en 6 étapes ?

Étape 1 : Inventaire des systèmes IA utilisés en RH

Recenser tous les outils utilisant de l'IA : tri de CV, scoring, chatbot RH, mesure d'engagement, détection de signaux faibles, planification automatique. Inclure SaaS, modules IA intégrés au SIRH, API.

Étape 2 : Classer chaque outil par niveau de risque (Annexe III)

Confronter chaque outil à l'Annexe III du règlement. Les outils d'évaluation, de sélection ou de surveillance des salariés relèvent du haut risque par défaut.

Étape 3 : Documentation DPIA RGPD et FRIA AI Act

S'appuyer sur la PIA RGPD existante (CNIL) et la compléter par une évaluation d'impact sur les droits fondamentaux (FRIA) : obligatoire dans le secteur public, fortement recommandée dans le privé.

Étape 4 : Supervision humaine et conservation des logs

Mettre en place une supervision humaine effective (un humain peut écraser la décision IA) et conserver les logs automatiquement générés par le système (Art. 26 du règlement).

Étape 5 : Information du CSE et des salariés

Consulter le CSE en amont du déploiement (Art. L.2312-38 du Code du travail), informer les salariés et candidats sur l'usage de l'IA, la finalité et les traitements automatisés.

Étape 6 : Surveillance post-déploiement et signalement

Mettre en place un suivi continu du système, identifier les biais et incidents, signaler les incidents graves au fournisseur et, le cas échéant, à l'autorité nationale compétente (en France : CNIL).

Comment Humans Board aide-t-il les PME et ETI à se conformer ?

Ce que fait Humans Board sur les points visés par l'AI Act

• Analyse agrégée uniquement : aucun scoring individuel exposé, l'IA n'évalue pas un salarié nommément
• Résultats collectifs uniquement : les managers ne reçoivent que des tendances d'équipe
• Traitement IA respectueux de la vie privée, sur des données collectives
• Supervision humaine native : chaque alerte est revue par le manager, jamais automatisée seule
• Logs accessibles : journalisation conforme aux exigences de l'Art. 26 du règlement

Questions fréquentes

L'AI Act s'applique-t-il aux PME françaises qui utilisent simplement un logiciel RH avec IA ?

Oui. Une PME qui utilise un logiciel RH alimenté par l'IA (tri de CV, scoring, évaluation) est un déployeur au sens du règlement. Les obligations s'appliquent, même si la PME n'a pas développé le modèle. La conformité RGPD existante est une base utile.

Les obligations pour l'IA à haut risque sont-elles reportées ?

Oui. Le règlement « AI Omnibus », entré en vigueur en juillet 2026, reporte au 2 décembre 2027 l'application des obligations pour les systèmes à haut risque de l'Annexe III, dont l'IA utilisée en ressources humaines. L'obligation de formation à l'IA, elle, s'applique déjà depuis le 2 février 2025. Les entreprises prudentes se préparent sans attendre 2027. La veille réglementaire en ressources humaines prévient par e-mail dès qu'un texte officiel change une obligation.

Quelle est la différence entre un fournisseur et un déployeur ?

Le fournisseur développe et met sur le marché le système d'IA. Le déployeur l'utilise dans le cadre d'une activité professionnelle. La grande majorité des PME et ETI sont déployeurs : elles intègrent un SaaS ou une API sans développer le modèle.

L'obligation de formation à l'IA (Art. 4) est-elle applicable même sans système haut risque ?

Oui. L'article 4 du règlement impose une obligation générale de formation à l'IA pour le personnel des entreprises déployant ou fournissant des systèmes d'IA, quelle que soit la catégorie de risque. Cette obligation est entrée en vigueur le 2 février 2025.

Faut-il consulter le CSE avant de déployer un outil IA RH ?

Oui pour les entreprises de 50 salariés et plus. L'article L.2312-38 du Code du travail impose d'informer le CSE avant d'utiliser une méthode d'aide au recrutement et avant de mettre en place un traitement automatisé de gestion du personnel ; la consultation, elle, est requise avant la mise en œuvre d'un moyen permettant de contrôler l'activité des salariés.

Quelles sanctions risque une ETI en cas de non-conformité haut risque ?

Selon l'article 99 §4 du règlement, jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Pour les PME et startups, le montant le plus faible peut être retenu (Art. 99 §6).

Que fait Humans Board au regard de l'AI Act ?

Humans Board procède à une analyse agrégée uniquement, sans scoring individuel, et ses journaux sont accessibles. Les obligations du règlement européen pour l'intelligence artificielle à haut risque s'appliqueront au 2 décembre 2027.

Sources primaires : EUR-Lex : Règlement UE 2024/1689 (AI Act) · Service-Public.gouv.fr : AI Act : quels changements pour les entreprises · CNIL : IA et RGPD · Légifrance : Code du travail Art. L.2312-38 et L.4121-1 · Article 113 du règlement UE 2024/1689 (calendrier) · Article 99 (sanctions) · Article 26 (obligations déployeur) · Article 4 (formation) · Annexe III (8 domaines haut risque) · Règlement « AI Omnibus » (paquet Digital Omnibus), publié au Journal officiel de l'Union européenne et entré en vigueur en juillet 2026