L’intelligence artificielle (IA) intervient désormais à presque toutes les étapes du parcours d’un collaborateur : rédaction d’offres d’emploi, tri de CV, entretiens vidéo, mobilité interne, formation, évaluation des performances ou planification des équipes. Ces usages permettent d’ accroître l’efficacité des fonctions RH, mais ils exposent également l’entreprise à des risques de discrimination, d’opacité, de surveillance excessive et de décisions difficilement contestables.
L’AI Act, ou règlement européen sur l’intelligence artificielle, encadre la conception, la commercialisation et l’utilisation des systèmes d’IA dans l’Union européenne. Il adopte une approche fondée sur les risques : plus un système est susceptible de porter atteinte aux droits fondamentaux, plus les exigences qui lui sont applicables sont strictes.
Dans les ressources humaines, certains systèmes sont expressément considérés comme à haut risque en vertu de l’AI Act. Les organisations doivent donc aller au-delà d’une simple politique d’usage de l’IA générative. Elles doivent en pratique identifier leurs systèmes, déterminer leur rôle ainsi que les obligations qui s’y rattachent, contrôler leurs fournisseurs, former les utilisateurs et conserver des preuves de conformité.
Voici sept actions concrètes pour structurer une démarche de conformité de l’IA dans les RH.
Point de vigilance sur le calendrier : l’application des exigences imposées par l’AI Act suit un calendrier échelonné dans le temps depuis l’entrée en vigueur du règlement le 1er août 2024.
- Les interdictions et les obligations liées à la maîtrise de l’IA s’appliquent depuis le 2 février 2025.
- Le 2 août 2025, commencent à s’appliquer les règles relatives aux modèles d’IA à usage général ainsi que celles relatives à la gouvernance européenne et nationale.
LLa majorité des dispositions devient applicable le 2 août 2026, parmi lesquelles notamment les règles de transparence.
- Néanmoins, certaines obligations suivent un calendrier spécifique. C’est le cas des obligations des systèmes d’IA à haut risque de l’annexe III de l’AI Act qui seront applicables à compter du 2 décembre 2027.
L’entreprise doit donc vérifier le calendrier applicable à chaque système et tenir compte des éventuelles évolutions réglementaires.
Pourquoi l’IA en matière RH est-elle particulièrement encadrée par l’AI Act ?
Les systèmes d’IA utilisés pour recruter, évaluer, affecter ou surveiller des travailleurs peuvent être classés à haut risque, car leurs résultats influencent directement l’accès à l’emploi et les conditions de travail.
L’annexe III de l’AI Act vise notamment les systèmes d’IA destinés à :
- recruter ou sélectionner des candidats ;
- diffuser des offres d’emploi de manière ciblée ;
- analyser ou filtrer des candidatures ;
- évaluer des candidats au cours d’un recrutement ;
- prendre des décisions concernant les conditions de travail ;
- décider d’une promotion, d’une mobilité ou d’une rupture de la relation contractuelle ;
- attribuer des tâches à partir du comportement ou de caractéristiques personnelles ;
- surveiller ou évaluer les performances et le comportement des travailleurs.
Un outil RH intégrant de l’IA n’est cependant pas automatiquement à haut risque. La qualification dépend de sa finalité, de son fonctionnement réel et de son influence sur la décision.
Par exemple, un assistant qui corrige uniquement l’orthographe d’une offre d’emploi ne présente pas le même niveau de risque qu’un système qui classe automatiquement les candidats selon leur probabilité de réussite.
L’exception doit toutefois être maniée avec prudence. Un système relevant d’un domaine à haut risque peut, dans certains cas, ne pas être considéré comme tel s’il accomplit une tâche procédurale limitée, améliore le résultat d’une activité humaine déjà réalisée, détecte des écarts sans remplacer l’évaluation humaine ou exécute une tâche préparatoire en vue d’une évaluation. Cette analyse doit être documentée. De plus, un système qui réalise du profilage de personnes physiques reste en tout état de cause considéré comme à haut risque.
Tableau de qualification des principaux usages RH
| Cas d’usage | Niveau de vigilance probable | Principal enjeu |
| Correction orthographique d’une offre | Limité | Confidentialité des données transmises |
| Génération d’une fiche de poste | Limité à modéré | Stéréotypes et validation humaine |
| Chatbot d’information pour candidats | Transparence | Informer la personne qu’elle interagit avec une IA |
| Tri ou classement automatisé de CV | Haut risque probable | Discrimination et accès à l’emploi |
| Scoring de candidats | Haut risque probable | Explicabilité et supervision humaine |
| Affectation des tâches selon le comportement | Haut risque probable | Conditions de travail et surveillance |
| Évaluation automatisée des performances | Haut risque probable | Décision individuelle et contestation |
| Analyse des émotions pendant un entretien | Usage interdit, sauf exception médicale ou de sécurité | Atteinte aux droits fondamentaux |
| Assistant génératif utilisé ponctuellement par un recruteur | À qualifier selon l’usage | Données personnelles, biais et dépendance au résultat |
Cette qualification ne peut pas être réalisée sur le seul nom du produit. Elle doit porter sur sa finalité, ses données d’entrée, ses résultats et la manière dont les équipes RH les utilisent de façon concrète.
Action 1 : inventorier tous les systèmes d’IA utilisés en matière de RH
La première action consiste à créer un inventaire centralisé des systèmes d’IA RH, y compris les outils achetés, les fonctionnalités intégrées aux logiciels existants et les usages non autorisés.
Une entreprise ne peut pas mettre en conformité des systèmes dont elle ignore l’existence. Or, de nombreux usages échappent aux processus achats et IT traditionnels.
Un outil de recrutement peut, par exemple, activer une nouvelle fonction de classement automatique sans que le DPO ou le responsable conformité en soit informé. Un recruteur peut également copier des CV dans un assistant d’IA générative grand public pour obtenir une synthèse.
L’inventaire IA doit couvrir l’intégralité des systèmes et modèles d’IA utilisés, y compris :
- les logiciels RH intégrant une fonction algorithmique ;
- les outils SaaS utilisés pour le recrutement ;
- les solutions de gestion des talents et de mobilité ;
- les assistants d’IA générative ;
- les outils d’analyse vidéo ou vocale ;
- les systèmes de planification automatisée ;
- les outils de suivi de la productivité ;
- les solutions développées en interne ;
- les expérimentations et preuves de concept ;
- les usages non officiellement approuvés, parfois qualifiés de Shadow AI.
Informations à documenter pour chaque système
Pour chaque système, l’entreprise devrait au minimum enregistrer :
- le nom du système et son fournisseur ;
- sa finalité prévue ;
- les personnes concernées ;
- les données traitées ;
- les résultats produits ;
- les décisions influencées ;
- le propriétaire métier ;
- les utilisateurs autorisés ;
- les pays de déploiement ;
- les interfaces avec le système d’information ;
- le niveau de risque présumé ;
- le statut du système : projet, test, production ou retraité.
Bonne pratique : intégrer une question relative à l’IA dans les formulaires d’achat, les revues fournisseurs, les analyses RGPD et les processus de gestion de projet. L’inventaire est alors alimenté en continu, plutôt que reconstitué une fois par an.
Action 2 : qualifier le rôle de l’entreprise et le niveau de risque de chaque usage
L’entreprise doit déterminer si elle agit comme fournisseur, déployeur, importateur ou distributeur, puis classifier chaque système selon les catégories de risque de l’AI Act.
Dans la majorité des projets RH, l’employeur sera un déployeur, c’est-à-dire une organisation qui utilise un système d’IA sous son autorité. Il peut néanmoins devenir fournisseur s’il développe un système, le commercialise, l’exploite sous son propre nom ou lui apporte une modification substantielle.
Cette distinction est essentielle, car les obligations d’un fournisseur de système à haut risque sont beaucoup plus étendues que celles d’un déployeur.
Les quatre niveaux à examiner
1. Pratiques interdites
Depuis le 2 février 2025, certaines pratiques sont interdites. Dans le contexte professionnel, le point le plus sensible concerne l’utilisation de systèmes pour inférer les émotions d’une personne sur son lieu de travail, sauf lorsque l’usage répond à des raisons médicales ou de sécurité.
Une solution prétendant mesurer la motivation, l’enthousiasme ou la sincérité d’un candidat à partir de son visage ou de sa voix doit donc déclencher une alerte immédiate.
2. Systèmes à haut risque
Le tri de candidatures, le scoring de candidats, l’évaluation des performances ou l’attribution algorithmique des tâches peuvent entrer dans cette catégorie, conformément à l’annexe III de l’AI Act.
3. Systèmes soumis à des obligations de transparence
Un chatbot de recrutement qui échange directement avec un candidat doit, selon les circonstances prévues par le règlement, permettre à celui-ci de comprendre qu’il interagit avec un système d’IA.
4. Systèmes à risque limité ou minimal
Un outil qui reformule simplement un courriel RH peut relever d’un risque plus faible. Cela ne dispense cependant pas l’entreprise de respecter le RGPD, la confidentialité, le droit du travail, la sécurité et ses propres règles internes.
Documenter la décision de classification
La fiche de qualification du système d’IA devrait permettre de répondre aux questions suivantes :
- Le système intervient-il dans une décision concernant une personne ?
- Influence-t-il l’accès à un emploi, une promotion ou une formation ?
- Procède-t-il à un classement, une recommandation ou un profilage ?
- Son résultat est-il réellement facultatif pour l’utilisateur ?
- Une personne peut-elle contester le résultat ?
- Le système analyse-t-il le comportement, la voix, le visage ou les émotions ?
- Une modification interne change-t-elle sa finalité initiale ?
- L’entreprise dispose-t-elle des éléments du fournisseur pour justifier la classification ?
Une validation humaine purement formelle ne suffit pas à réduire le risque. Si le recruteur suit systématiquement le classement produit par l’outil, le système exerce en pratique une influence déterminante.
Action 3 : réaliser une analyse d’impact croisée AI Act, droits fondamentaux et RGPD
Une analyse d’impact doit examiner simultanément les risques réglementaires, les atteintes possibles aux droits fondamentaux, la protection des données et les conséquences métier.
L’AI Act et le RGPD constituent deux règlementations complémentaires. A ce titre, un système peut respecter certaines exigences techniques de l’AI Act tout en présentant un traitement de données personnelles non conforme au RGPD.
Pour les usages RH sensibles, l’analyse devrait notamment couvrir :
- le risque de discrimination directe ou indirecte ;
- les biais dans les données d’entraînement ou d’évaluation ;
- les écarts de performance entre différentes personnes ou populations ;
- l’opacité des critères de classement ;
- la collecte excessive de données ;
- l’utilisation de données sensibles ;
- les transferts internationaux ;
- la conservation des candidatures et des résultats ;
- la sécurité des données ;
- le risque de décision automatisée au sens de l’article 22 du RGPD ;
- les possibilités de recours et de correction ;
- l’impact psychologique ou social de la surveillance.
Faut-il réaliser une AIPD ?
Une analyse d’impact relative à la protection des données, ou AIPD, est requise lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes.
Un système de scoring de candidats, d’analyse comportementale ou de surveillance des salariés est susceptible de remplir ce critère. L’analyse doit être menée avant le déploiement et mise à jour lorsque le système, ses données ou ses conditions d’utilisation évoluent.
Qu’en est-il de l’analyse d’impact sur les droits fondamentaux ?
L’AI Act prévoit, dans certaines situations, une analyse d’impact sur les droits fondamentaux pour des déployeurs de systèmes à haut risque. Cette obligation concerne notamment certains organismes publics et certaines entités privées fournissant des services publics.
Une entreprise privée ordinaire ne doit donc pas supposer automatiquement qu’elle est soumise à cette obligation formelle pour tous ses projets RH. Elle a néanmoins intérêt à adopter une méthode comparable pour identifier et traiter les risques de discrimination, d’atteinte à la vie privée ou d’absence de recours.
À éviter : conduire séparément quatre analyses qui se contredisent. Le DPO, le RSSI, les RH, le juridique, la conformité et les représentants métiers doivent partager un même référentiel de risques et de mesures de réduction afin d’assurer une gouvernance de l’IA efficace.
Action 4 : encadrer les fournisseurs et vérifier la documentation
Un employeur ne peut pas transférer sa responsabilité au fournisseur. Il doit obtenir les informations nécessaires pour utiliser le système conformément à sa finalité et contrôler ses risques.
Avant de sélectionner un outil d’IA RH, l’entreprise doit conduire une revue fournisseur structurée.
Questions à poser au fournisseur
- Quelle est la finalité prévue du système ?
- Le système est-il qualifié de système à haut risque ?
- Sur quelle base cette qualification a-t-elle été réalisée ?
- Quelles données ont servi à entraîner, tester et valider le système ?
- Quelles mesures permettent de détecter les biais ?
- Existe-t-il des résultats de tests par population pertinente ?
- Quels sont les taux d’erreur et les limites connues ?
- Comment les utilisateurs peuvent-ils interpréter les résultats ?
- Quels journaux sont générés et combien de temps sont-ils accessibles ?
- Le modèle ou ses composants peuvent-ils évoluer automatiquement ?
- Des données client sont-elles réutilisées pour entraîner le système ?
- Où les données sont-elles hébergées ?
- Quels sous-traitants interviennent ?
- Comment les incidents sont-ils signalés ?
- Quelles mesures de cybersécurité sont appliquées ?
- Le fournisseur peut-il apporter les preuves de conformité attendues ?
Clauses contractuelles prioritaires
Avant toute utilisation d’un outil d’IA, il est donc pertinent de prévoir au sein d’un contrat les éléments suivants :
- la finalité autorisée ;
- les usages interdits ;
- la répartition des rôles au titre de l’AI Act et du RGPD ;
- l’accès aux instructions d’utilisation ;
- la notification des modifications du modèle ;
- le maintien des performances ;
- la disponibilité des journaux ;
- la coopération en cas d’incident ;
- les droits d’audit ;
- les exigences de sécurité ;
- les conditions de réversibilité ;
- la suppression ou la restitution des données ;
- les responsabilités en cas de non-conformité.
Exemple opérationnel : si un fournisseur modifie son algorithme de classement des CV, l’entreprise doit pouvoir déterminer si les tests précédents restent valables. Une simple notification commerciale ne suffit pas lorsqu’un changement peut affecter les droits des candidats.
Action 5 : mettre en place une supervision humaine réelle
La supervision humaine doit permettre de comprendre, vérifier, contester et, si nécessaire, ignorer ou interrompre le résultat du système d’IA.
Le principe de l’u « humain dans la boucle » ne se résume pas à ajouter une case dans un processus.
Le superviseur doit disposer :
- des compétences nécessaires ;
- d’une autorité réelle pour modifier la décision ;
- du temps requis pour examiner le résultat ;
- d’informations sur les capacités et limites du système ;
- d’éléments permettant d’identifier une anomalie ;
- d’une procédure d’escalade ;
- d’un mécanisme pour enregistrer son arbitrage.
Prévenir le biais d’automatisation
Le biais d’automatisation correspond à la tendance à accorder une confiance excessive à la recommandation d’un outil simplement parce qu’elle paraît objective ou scientifique.
Pour limiter les biais, l’entreprise peut :
- masquer le score global lors de la première lecture d’un dossier ;
- obliger le recruteur à formuler sa propre appréciation ;
- afficher les limites et le niveau de confiance ;
- contrôler les taux de désaccord entre humains et système ;
- analyser les validations quasi systématiques ;
- réaliser des revues par échantillonnage ;
- imposer une seconde validation pour les décisions sensibles.
Exemple de procédure
Pour un outil qui recommande des candidats :
- le système produit une recommandation et non une décision définitive ;
- le recruteur examine les éléments objectifs du dossier ;
- il vérifie la cohérence de la recommandation ;
- il documente les motifs de sa décision ;
- un second examen est déclenché en cas d’anomalie ;
- le candidat dispose d’un canal pour demander une réévaluation.
Une organisation doit également vérifier si son dispositif conduit à une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou des effets significatifs similaires. Le cas échéant, il appartient à l’entreprise de s’assurer que les exigences prévues par l’article 22 du RGPD sont respectées.
Action 6 : informer et former les équipes, les salariés et leurs représentants
La conformité passe par une maîtrise suffisante de l’IA, des instructions adaptées aux fonctions et une information effective des personnes concernées.
Depuis le 2 février 2025, les fournisseurs et déployeurs doivent prendre des mesures pour assurer un niveau suffisant de maîtrise de l’IA, souvent désignée par l’expression AI Literacy, auprès des personnes qui utilisent ou exploitent des systèmes d’IA pour leur compte.
La formation doit être adaptée :
- aux connaissances des utilisateurs ;
- à leur expérience ;
- au contexte d’utilisation ;
- aux personnes ou groupes affectés ;
- au niveau de risque du système.
Parcours de formation recommandé
| Public | Compétences prioritaires |
| Recruteurs | Biais, consignes d’utilisation, données interdites, supervision |
| Managers | Interprétation des résultats, limites, recours des salariés |
| Équipe RH | Qualification des usages, documentation, surveillance |
| DPO | Données personnelles, AIPD, décisions automatisées |
| RSSI | Menaces, fournisseurs, accès, journalisation, incidents |
| Achats | Clauses AI Act, preuves fournisseurs, modifications |
| Direction | Responsabilités, arbitrage des risques, gouvernance |
| Développeurs et data scientists | Qualité des données, tests, traçabilité, suivi des performances |
Une formation générique de 30 minutes ne suffit pas pour les personnes qui utilisent un système à haut risque. Elles doivent comprendre les erreurs possibles, les conditions d’usage et les situations dans lesquelles arrêter ou escalader le traitement.
Informer les salariés et leurs représentants
Avant de mettre en service ou d’utiliser un système d’IA à haut risque sur le lieu de travail, le déployeur doit informer les représentants du personnel et les travailleurs concernés conformément aux règles et pratiques applicables.
Cette exigence de l’AI Act de maîtrise de l’IA s’ajoute donc aux obligations nationales en matière de droit du travail, d’information-consultation et de contrôle de l’activité des salariés.
Les candidats et collaborateurs doivent également recevoir les informations requises par le RGPD sur le traitement de leurs données. L’information doit être compréhensible, accessible et cohérente avec le fonctionnement réel du système.
Action 7 : organiser la surveillance, la traçabilité et la gestion des incidents
La conformité à l’AI Act n’est pas un contrôle unique avant lancement. Elle exige un suivi continu des performances, des impacts, des incidents et des évolutions du système.
Un système peut devenir plus risqué après son déploiement en raison :
- d’une nouvelle catégorie d’utilisateurs ;
- d’une modification de données ;
- d’une mise à jour du modèle ;
- d’un détournement de finalité ;
- d’une baisse de performance ;
- d’un changement réglementaire ;
- d’une dépendance croissante des équipes à ses recommandations.
Indicateurs utiles pour un système RH
L’entreprise peut suivre :
- la proportion de décisions suivant la recommandation de l’IA ;
- les taux de sélection à chaque étape ;
- les écarts de résultats entre groupes, dans le respect du cadre légal ;
- les faux positifs et faux négatifs ;
- les contestations et demandes de réexamen ;
- les corrections apportées par les utilisateurs ;
- les anomalies et indisponibilités ;
- les incidents de sécurité ;
- les plaintes ;
- les dérives de finalité ;
- la fréquence et l’impact des mises à jour.
Mettre en place une procédure d’incident IA
La procédure doit permettre de :
- détecter un comportement anormal ;
- suspendre l’usage si nécessaire ;
- préserver les journaux et les preuves ;
- analyser les personnes potentiellement affectées ;
- mobiliser les RH, le DPO, le RSSI, le juridique et la conformité ;
- informer le fournisseur ;
- déterminer les notifications réglementaires applicables ;
- corriger la décision ou le préjudice ;
- documenter les mesures préventives.
Pour les systèmes à haut risque, les déployeurs doivent conserver les journaux générés automatiquement lorsqu’ils sont sous leur contrôle. L’AI Act prévoit une conservation appropriée à la finalité, avec une durée minimale de six mois, sauf disposition contraire du droit de l’Union ou du droit national applicable.
Comment organiser la gouvernance de l’IA en matière de RH ?
La gouvernance doit attribuer les responsabilités, fixer des critères d’acceptation du risque et intégrer l’IA aux processus existants de conformité, de sécurité, d’achat et de contrôle interne.
La conformité ne peut pas reposer uniquement sur le DPO ou sur la direction des ressources humaines.
Une organisation efficace peut inclure :
- un sponsor au niveau de la direction ;
- un comité de gouvernance IA ;
- un propriétaire métier pour chaque système ;
- un responsable de la conformité AI Act ;
- le DPO pour les enjeux de données personnelles ;
- le RSSI pour la sécurité ;
- les achats pour le contrôle des fournisseurs ;
- le juridique pour les contrats et le droit du travail ;
- l’audit interne pour tester l’efficacité des contrôles ;
- les représentants du personnel selon le cadre applicable.
Matrice de gouvernance simplifiée
| Décision | Responsable principal | Contributeurs |
| Inscription à l’inventaire | Propriétaire métier | IT, achats, conformité |
| Classification AI Act | Conformité ou juridique | RH, DPO, RSSI |
| AIPD | DPO | RH, sécurité, métier |
| Validation fournisseur | Achats | Juridique, RSSI, conformité |
| Acceptation du risque | Direction ou délégataire | Comité IA |
| Mise en production | Propriétaire du système | RH, IT, conformité |
| Surveillance | Propriétaire métier | Risques, DPO, RSSI |
| Gestion d’un incident | Responsable désigné | Cellule multidisciplinaire |
L’ISO/IEC 42001, norme relative aux systèmes de management de l’intelligence artificielle, peut aider à structurer cette gouvernance. Elle apporte un cadre continu fondé sur les politiques, les responsabilités, l’évaluation des risques, les objectifs, les contrôles et l’amélioration continue.
L’alignement avec cette norme ne garantit pas, à lui seul, la conformité à l’AI Act. Il facilite néanmoins la démonstration d’une gouvernance cohérente et documentée.
Checklist de conformité AI Act pour l’IA dans les RH
Avant de déployer un système, vérifiez que :
- le système figure dans l’inventaire IA ;
- sa finalité est définie et validée ;
- le rôle de l’entreprise est identifié ;
- le niveau de risque est documenté ;
- l’absence de pratique interdite a été vérifiée ;
- les risques pour les droits fondamentaux ont été analysés ;
- la nécessité d’une AIPD a été évaluée ;
- le fournisseur a remis une documentation suffisante ;
- le contrat encadre les mises à jour et les incidents ;
- les données utilisées sont nécessaires et licites ;
- une supervision humaine effective est prévue ;
- les utilisateurs ont été formés ;
- les salariés et leurs représentants sont informés lorsque requis ;
- les journaux nécessaires sont disponibles ;
- des indicateurs de performance et d’équité sont définis ;
- une procédure de contestation existe ;
- une procédure de suspension et de gestion des incidents est testée ;
- une date de revue périodique a été fixée.
Calendrier opérationnel de mise en conformité
La priorité est de traiter immédiatement les pratiques interdites et la maîtrise de l’IA, puis de sécuriser la qualification et les contrôles des systèmes à haut risque.
| Échéance de référence | Principales dispositions |
| 1er août 2024 | Entrée en vigueur de l’AI Act |
| 2 février 2025 | Application des pratiques interdites et des obligations de maîtrise de l’IA |
| 2 août 2025 | Application de dispositions relatives aux modèles d’IA à usage général et à la gouvernance |
| 2 août 2026 | Application de la majorité des autres dispositions, sous réserve des calendriers spécifiques |
| 2 août 2027 | Application de certaines dispositions concernant notamment les systèmes d’IA classés comme étant à haut risque en vertu de l’article 6, paragraphe 2, et de l’annexe III |
| 2 août 2028 | Application des dispositions relatives aux systèmes d’IA classés à haut risque en vertu de l’article 6, paragraphe 1, et de l’annexe I |
Le calendrier concret dépend de la nature du système, de sa date de mise sur le marché, du rôle de l’organisation et des mesures transitoires applicables. En cas de doute, l’entreprise doit valider son analyse avec une expertise juridique spécialisée et consulter les textes officiels à jour.
6. À retenir
Points clés
- Les outils de recrutement, de sélection, d’évaluation, d’affectation et de surveillance peuvent être classés comme systèmes d’IA à haut risque.
- L’analyse des émotions sur le lieu de travail est en principe interdite, sauf raisons médicales ou de sécurité.
- Le RGPD, le droit du travail et l’AI Act s’appliquent de manière complémentaire.
- La responsabilité du déployeur ne disparaît pas lorsque l’outil est fourni par un éditeur externe.
- La supervision humaine doit être réelle, compétente et documentée.
Actions prioritaires
- Recenser tous les usages d’IA dans le domaine des RH.
- Identifier les pratiques potentiellement interdites.
- Classifier chaque système et documenter la décision finale.
- Réaliser les analyses d’impact nécessaires.
- Renforcer les contrats et les contrôles fournisseurs.
- Former les utilisateurs selon leur rôle.
- Suivre les performances, les contestations et les incidents.
Erreurs à éviter
- Se fier uniquement à la classification annoncée par le fournisseur.
- Considérer qu’une validation humaine formelle suffit.
- Oublier les fonctionnalités d’IA ajoutées à des logiciels déjà déployés.
- Utiliser des assistants grand public avec des CV ou des données de salariés.
- Limiter la conformité à une charte éthique sans contrôles opérationnels.
- Confondre conformité AI Act et conformité RGPD.
- Attendre l’échéance réglementaire pour constituer l’inventaire et les preuves.
8. Conclusion
La mise en conformité de l’IA en matière de RH avec l’AI Act ne consiste pas à interdire les nouveaux outils ni à ajouter une validation juridique à la fin d’un projet. Elle nécessite une démarche structurée qui relie réglementation, risques métier, gouvernance et opérations.
L’inventaire constitue le point de départ. La qualification réglementaire permet ensuite de proportionner les contrôles. Les analyses d’impact, la supervision humaine, la gestion des fournisseurs, la formation et la surveillance continue transforment enfin les exigences de l’AI Act en pratiques vérifiables.
Cette approche protège les candidats et les collaborateurs, mais aussi l’entreprise. Elle réduit les risques de discrimination, de contentieux, de perte de confiance et de déploiements impossibles à justifier.
Réalisez un diagnostic de votre gouvernance IA
Votre organisation utilise déjà des outils d’intelligence artificielle mais vous manquez de visibilité sur les risques, les responsabilités ou les exigences de conformité ?
Réalisez un diagnostic IA avec Naaia pour identifier vos usages, cartographier vos systèmes, évaluer vos risques et mettre en place une gouvernance adaptée aux exigences applicables en matière d’IA, et notamment celles de l’AI Act et d’ISO 42001.
