AI Act et recrutement : ce que la loi impose en 2026

L'AI Act est entré en application par vagues depuis 2024, et la phase qui concerne le recrutement est désormais opposable. Pour les équipes RH et leurs DPO, ce n'est plus un sujet de veille, c'est un sujet d'audit.

On a écrit ce guide pour répondre aux questions qu'on entend en démo depuis six mois : qu'est-ce que la loi impose au quotidien, qu'est-ce qui devient non-conforme dans les pratiques actuelles, et que demander à un éditeur RH avant de signer.

Pourquoi le recrutement est classé "haut risque"

L'AI Act classe les systèmes d'IA par niveau de risque. Le recrutement, le tri de CV et l'évaluation de candidats sont placés dans la catégorie haut risque (annexe III du règlement).

Pour les entreprises, cela se traduit par cinq obligations cumulatives :

• Documenter le système (objectif, données utilisées, métriques).
• Tracer les décisions assistées par IA.
• Pouvoir expliquer à un candidat, en termes humains, pourquoi sa candidature a été classée d'une certaine manière.
• Garantir une supervision humaine effective, avec capacité d'opposition à la décision algorithmique.
• Conduire une évaluation d'impact sur les droits fondamentaux avant déploiement.

C'est l'ensemble de ces exigences qui change la manière dont l'IA peut être utilisée dans une équipe recrutement, pas seulement la conformité RGPD habituelle.

Le scoring opaque est terminé

C'est l'évolution la plus structurante. Un système qui produit un score numérique sur un candidat sans pouvoir l'expliquer en facteurs humainement intelligibles tombe dans le rouge.

Le candidat A obtient un matching de 87 %, le candidat B obtient 64 %.

Si vous ne pouvez pas dire en langage clair ce qui produit ce 87 % et ce 64 %, vous n'avez pas un outil conforme. Vous avez un outil qui prend une décision que personne, pas même vous, ne peut justifier devant un candidat ou une autorité.

Beaucoup d'outils affichent un score sous prétexte qu'il est "calculé sur 12 critères pondérés". Si la pondération n'est ni montrée, ni modifiable, ni justifiable individuellement, on reste dans le scoring opaque. Le travail de documentation derrière ne suffit pas : ce que l'utilisateur voit, c'est un chiffre, et ce chiffre n'est pas explicable au sens de la loi.

L'IA générative grand public devient piégée

Le second changement, moins visible mais aussi déterminant, concerne les modèles d'IA générative grand public dont l'origine est extra-européenne. Pas parce que la technologie est mauvaise, mais parce que :

• Les données envoyées au modèle quittent l'UE.
• L'historique de la conversation peut être utilisé pour l'entraînement selon les comptes et options.
• Aucune garantie sérieuse n'existe sur l'effacement réel des données après usage.
• Aucune trace n'est conservée côté éditeur pour répondre à un audit DPO ou CNIL.

Les équipes recrutement contournent, et mal.

C'est devenu une pratique courante. Le recruteur copie-colle un CV anonymisé à la main, ou utilise une extension tierce, ou demande à l'IA de générer une trame d'entretien à partir d'une fiche de poste sans bien savoir où repart la donnée. Le DPO ferme les yeux ou s'agace, et personne n'est conforme.

Les six questions à poser avant d'acheter un outil RH

Si vous évaluez un outil RH qui intègre de l'IA, voici les questions à poser et à faire écrire au contrat, avant signature.

1. Localisation des données. Où sont stockées et traitées les données candidat ? L'éditeur peut-il garantir qu'aucune donnée ne quitte l'UE ?
2. Entraînement. Les données client servent-elles à entraîner un modèle ? Si oui, sous quelles conditions, et peut-on s'y opposer par défaut ?
3. Modèle utilisé. Quel modèle d'IA fait tourner l'outil ? Est-il auditable, ou est-ce une boîte noire fournie par un tiers ?
4. Explicabilité. L'outil produit-il des scores ? Si oui, peut-on voir les critères qui les composent ? Si non, comment les décisions sont-elles présentées au recruteur ?
5. Conservation. Combien de temps les données candidat sont-elles conservées ? L'éditeur respecte-t-il le droit à l'effacement avec preuves ?
6. Audit. L'éditeur peut-il fournir des logs sur demande pour un audit DPO ou une mise en demeure ?

Si une seule de ces réponses reste floue, vous êtes en zone grise.

Le DPO devient prescripteur

Avant l'AI Act, le DPO arrivait souvent en fin de processus : audit après l'achat, hochement de tête sur les CGU, lettre type. Désormais, c'est lui qui doit valider l'évaluation de risque (DPIA / EIPD) avant déploiement du système.

Pour une direction recrutement, cela signifie quatre choses :

• Embarquer le DPO dès l'évaluation d'un outil RH, pas après le pilote.
• Lui fournir la documentation technique de l'éditeur (modèle, données, hébergement).
• Mettre à jour le registre des traitements pour intégrer le nouveau système.
• Prévoir un canal d'opposition explicite pour le candidat.

Les équipes qui sautent ces étapes s'exposent à un risque opérationnel concret. Un signalement candidat, un contrôle CNIL ou un courrier d'une autorité européenne suffit pour déclencher une demande de mise en conformité immédiate, qui peut bloquer l'outil pendant des semaines.

La souveraineté passe de bonus à critère filtrant

L'AI Act n'oblige pas formellement à choisir un éditeur européen. Mais en pratique, un éditeur hébergé en UE, avec un modèle qui ne sort pas les données du territoire, simplifie l'ensemble du dossier de conformité d'un ordre de grandeur.

C'est pour cela que la mention "hébergement France" passe, depuis 2025, de bonus marketing à critère filtrant dans les RFP des cabinets et des ESN. Les pages produit des éditeurs RH qui n'affichent pas clairement où sont stockées les données candidat se font éliminer en première lecture.

Ce qui rend Hirify simple à valider côté DPO

• Hébergement 100 % France sur Scalingo (datacenter Paris). Les données candidat ne quittent pas le territoire européen.
• Aucun score opaque. Hirify ne montre pas de % de matching. Le Hub restitue des critères qualifiés (compétence, expérience, contrainte exprimée par le candidat) que le recruteur lit comme une fiche.
• Décisions explicables. Chaque enrichissement de fiche candidat est traçable jusqu'à l'extrait de transcript d'entretien qui le justifie.
• Pas de réentraînement sur vos données. Par défaut, les données client ne servent pas à entraîner de modèle, et c'est écrit au contrat.
• Documentation prête. La fiche technique nécessaire au DPO pour mettre à jour le registre des traitements est fournie sur demande.

C'est ce wedge qu'on observe sur les cycles de vente depuis l'application de l'AI Act : moins de friction côté DPO, signature plus rapide, déploiement réellement utilisé. Sans cette couche, on voit souvent le DPO bloquer un outil trois mois après l'achat, et la valeur n'est jamais livrée.

À retenir

• Le recrutement est haut risque au sens AI Act : explicabilité, traçabilité, supervision humaine sont obligatoires.
• Le scoring opaque est terminé. Tout chiffre synthétique doit pouvoir être décomposé en critères humainement intelligibles.
• L'IA générative grand public ne convient pas pour traiter des CV. La quasi-totalité des usages observés aujourd'hui sont non conformes.
• Le DPO devient prescripteur amont, plus seulement validateur aval. C'est lui qu'il faut embarquer en premier sur un choix d'outil.
• L'hébergement souverain simplifie tout le dossier de conformité. Ce n'est plus un bonus, c'est devenu un critère filtrant.