L'IA Act en RH : le véritable test de maturité numérique des entreprises françaises

Face à l'AI Act d'août 2026, que doivent déployer les entreprises pour éviter que la modification de leurs outils d'IA RH ne les requalifie en fournisseurs?

L’irruption de l’intelligence artificielle dans les processus RH – recrutement, évaluation de la performance, gestion des carrières – agit comme un révélateur brutal : la gouvernance de la donnée, pour la plupart des entreprises, reste un enjeu majeur.

Derrière les promesses d’efficacité, une réalité plus complexe émerge. Un algorithme de tri de CV peut reproduire des biais implicites liés à la géographie ou aux parcours atypiques. Un outil de people analytics peut orienter des décisions sensibles sur la base de corrélations fragiles. Dans ces situations, la question n’est plus technique, elle devient juridique et managériale : qui est responsable ?

À l’approche de l’entrée en application des obligations "haut risque" de l’AI Act en août 2026, cette question devient structurante. Elle engage non seulement la conformité réglementaire, mais aussi la continuité des décisions RH.

Le piège de la requalification : de déployeur à fournisseur

Le Règlement (UE) 2024/1689 classe explicitement les systèmes RH parmi les usages à haut risque (Annexe III, point 4). Beaucoup d’entreprises pensent limiter leur exposition en s’appuyant sur des solutions du marché. Cette lecture est incomplète et comporte un véritable angle mort résidant dans l’Article 25 de ce texte.

Beaucoup d'organisations s'imaginent qu'en achetant une solution sur l'étagère, elles transfèrent le risque sur le fournisseur (provider). C'est une grave erreur de lecture. Si vos équipes techniques ou vos équipes RH procèdent à une "modification substantielle" – le terme exact de l’article 25 –, l'entreprise subit une requalification juridique immédiate. C’est le cas si elle fait du fine-tuning agressif, si elle réentraîne le modèle sur des données internes non prévues à l'origine ou si elle détourne l'usage initial de l'outil.

Dès lors, elle bascule du statut de déployeur (deployer) à celui de fournisseur. Cette requalification entraîne un basculement de responsabilité majeur : l’entreprise ne se contente plus d’utiliser un système, elle en porte les obligations structurelles lourdes (marquage CE, système de gestion des risques, documentation technique exhaustive).

D'autant qu'en France, le droit du travail ne s'efface pas. L’article L.1132-1 sur la non-discrimination et l’article 22 du RGPD – qui prohibe les décisions exclusivement automatisées et impose une supervision humaine réelle – forment un bouclier juridique strict. Si un manager se contente d'un "clic de validation" aveugle sur une recommandation de la machine, la décision sera requalifiée devant les prud'hommes. C'est l'absence de supervision humaine effective, pourtant imposée par l'article 26 de l'AI Act, qui condamnera l'entreprise.

La fin du "solutionnisme technologique" : Les leçons de la jurisprudence

Le solutionnisme technologique – cette tendance très française à croire qu'un outil va régler un problème managérial profond – se heurte aujourd'hui au droit européen. Les signaux faibles étaient pourtant là dès le début de la décennie :

L'affaire Deliveroo à Bologne (2020) : L'algorithme "Frank", en pénalisant les livreurs absents sans intégrer la notion de droit de grève ou de maladie, a démontré qu'un modèle mathématique aveugle au contexte produit de la discrimination systémique.

L'amende de l'autorité néerlandaise (2021) : 2,75 millions d’euros de sanction pour un système de profilage basé sur la double nationalité.

Biais de recrutement : Plus récemment, les analyses juridiques intègrent les redressements liés aux discriminations de genre et d'âge provoquées par des IA de pré-sélection ayant appris sur des historiques de données d'entreprise non nettoyés, reproduisant ainsi les plafonds de verre du passé.

Ce que ces affaires nous donnent à voir dans le champ RH, c’est que le risque algorithmique touche directement à l’obligation de sécurité de l’employeur (article L.4121-1 du Code du travail). Un management dicté par des métriques algorithmiques opaques génère une charge mentale et des risques psychosociaux dont l’entreprise est légalement et pénalement responsable. À l'ère des réseaux sociaux et des actions de groupe, le coût réputationnel peut s'avérer bien supérieur aux sanctions financières.

Plan d'exécution : les 7 chantiers de la conformité RH

Face à ces enjeux, la réponse doit être organisationnelle et immédiate. Voici la feuille de route opérationnelle à déployer pour structurer vos défenses contractuelles, techniques et managériales.

1. Cartographier les usages IA RH

Identifier et recenser tous les systèmes utilisés, directement ou indirectement, dans les processus RH (recrutement, mobilité, évaluation, formation, planification des horaires). L’objectif est d’obtenir une vision exhaustive, incluant le Shadow AI (outils gratuits ou informels utilisés par les équipes sans aval officiel de l'entreprise).

2. Classifier les niveaux de risque

Qualifier chaque outil selon les critères de l’AI Act pour prioriser les efforts :

Système à haut risque (Annexe III) : Recrutement, gestion des contrats, évaluation des performances.

Usage à transparence requise : Agents conversationnels (chatbots) d'accueil des candidats.

Usage à faible impact : Génération de trames de fiches de poste via IA générative générale.

3. Auditer les modifications et verrouiller l'architecture technique

Analyser techniquement les pratiques internes pour désamorcer définitivement le risque de requalification de l'Article 25. La DSI doit mettre en place un "Garde-Fou" (Guardrail) architectural strict :

Le gel des hyperparamètres et des pipelines d'entraînement : Séparez l'accès au modèle (l'inférence) de toute capacité de réentraînement. Bloquez les droits d'accès (Rights Management) pour s'assurer qu'aucune donnée d'évaluation interne ne vienne modifier les poids du modèle sous-jacent.

L'implémentation du "RAG" plutôt que du "Fine-tuning" : Si vous devez connecter l'IA aux fiches de postes de l'entreprise ou au droit du travail interne, privilégiez l'architecture RAG (Retrieval-Augmented Generation). Le RAG fournit des documents de contexte à l'IA au moment de la question sans jamais modifier la structure ou l'entraînement de l'algorithme sous-jacent. Le RAG maintient votre statut de déployeur ; le fine-tuning vous fait basculer fournisseur.

4. Mettre en place une traçabilité décisionnelle et un logging immuable

Formaliser une chaîne de responsabilité infalsifiable et auditable : Données d’entrée $\rightarrow$ Traitement algorithmique $\rightarrow$ Arbitrage humain motivé.

Sur le plan technique : Installez un système de logs centralisé et infalsifiable qui enregistre l'ensemble des requêtes, des données d'entrée fournies et des versions de modèles utilisées. Ce journal de bord constitue votre preuve absolue face à la CNIL ou aux inspecteurs du travail que le système n'a pas été modifié.

Sur le plan managérial : Chaque décision RH sensible (refus de candidature, évaluation, sanction) doit faire l'objet d'un suivi traçable expliquant l'arbitrage final de l'intervenant humain.

5. Structurer une gouvernance tripartite et sociale (Cellule "AI Clearing")

La technique ne suffit pas, il faut imposer un protocole de validation interne en créant un comité "AI Clearing" obligatoire. Aucun outil d'IA RH ne doit être déployé, mis à jour ou connecté à une nouvelle base de données sans le feu vert de cette cellule transverse réunissant :

La DSI : Garant de la non-modification de l'architecture.

Le Juridique / DPO : Garant du respect de l'Art. 25 AI Act et de l'Art. 22 RGPD.

La DRH : Garant du respect du Code du travail.

Cette instance pilote également les analyses d'impact sur les droits fondamentaux (Fundamental Rights Impact Assessment - FRIA). De plus, en application directe de l'article 26 paragraphe 7, l'entreprise doit présenter au Comité Social et Économique (CSE) une cartographie claire et vulgarisée des systèmes utilisés, démontrant précisément comment l'humain garde le contrôle. Un dialogue social transparent élimine le risque d'actions de groupe pour discrimination algorithmique.

6. Refondre les contrats fournisseurs : Le "Pacte de Non-Modification"

Le premier réflexe consiste à verrouiller juridiquement la frontière de votre usage pour prouver, en cas de contrôle, que vous êtes resté dans les clous fixés par l'éditeur. Le modèle commercial "en l'état" (as is) et les plafonds de responsabilité dérisoires ne sont plus adaptés. Les directions juridiques doivent négocier :

L'annexe d'usage strict (Scope of Use) : Intégrez une annexe technique co-rédigée par la DSI et la DRH qui liste précisément l'usage de l'outil. L'éditeur doit valider par écrit que cet usage entre dans sa "destination prévue" (intended purpose).

La clause de responsabilité sur le fine-tuning : Interdisez aux équipes internes d'y toucher en autonomie. Contractualisez le fait que tout entraînement complémentaire, interfaçage (API) ou ajustement de poids du modèle soit exécuté par l'éditeur lui-même, afin qu'il l'intègre dans sa propre boucle de conformité (marquage CE).

Les clauses d'audit et d'indemnisation : Exigez la mise à disposition de la documentation technique du fournisseur (liée à l'Art. 6 et l'Annexe III) ainsi qu'une clause d'indemnisation totale si le système s'avère non conforme après intégration de vos données standard.

7. Former les managers au protocole "Zéro Boîte Noire"

La supervision humaine imposée par l'article 26 de l'AI Act ne doit pas se résumer à une validation de pure forme (le syndrome du "clic aveugle"). Les recruteurs et les managers doivent être formés à comprendre les limites statistiques des modèles et à détecter les biais potentiels.

Déployez une charte interne stipulant qu'une recommandation d'IA doit être systématiquement analysée et faire l'objet d'un arbitrage critique. Si l'IA propose un Top 3 de candidats, le recruteur doit être en mesure de consigner et d'argumenter par écrit les raisons humaines pour lesquelles il valide ou invalide ce choix.

Vers une maturité numérique responsable

L’AI Act ne freine pas l’innovation. Il impose une montée en maturité. Les entreprises les plus performantes ne seront pas celles qui automatisent le plus, mais celles qui maîtriseront le mieux leurs processus décisionnels.

Pour les DRH, cela implique un changement de posture indispensable. Il ne s’agit plus d’adopter des outils de productivité, mais de piloter des systèmes à risque. La performance RH de demain reposera moins sur la puissance intrinsèque des algorithmes que sur la qualité, la rigueur et la responsabilité de leur supervision humaine.