L'émergence d'un double cadre réglementaire : AI Act et RGPD

Le décor réglementaire de la fonction RH a changé de nature en 2024. Jusqu'alors, la conformité reposait sur le Code du travail, les conventions collectives et le Règlement (UE) 2016/679 (RGPD). Depuis la publication du Règlement (UE) 2024/1689 au Journal officiel de l'Union européenne le 12 juillet 2024, et son amendement par l'accord omnibus numérique du 7 mai 2026, un second texte s'impose : l'AI Act.

Le RGPD et l'AI Act ne se concurrencent pas, ils s'empilent. Le premier protège la donnée personnelle dans l'absolu : finalité, base légale, durée de conservation, droits des personnes. Le second encadre le système technique qui traite cette donnée : gestion des risques, robustesse, transparence vis-à-vis de l'utilisateur, supervision humaine, journalisation automatique. Une plateforme de tri de CV peut être impeccable côté RGPD (consentement candidat, finalité claire, durée bornée) et totalement défaillante côté AI Act (absence de documentation technique, biais non testé, pas de notice d'utilisation au sens de l'article 13).

Dans un dossier que j'ai audité l'an dernier pour un groupe industriel de 400 salariés, l'éditeur SaaS du logiciel de recrutement présentait un registre RGPD parfait. La FRIA (Fundamental Rights Impact Assessment) prévue par l'article 27 de l'AI Act n'avait jamais été réalisée. Conséquence : impossibilité de prouver l'absence de discrimination indirecte sur les candidats de plus de 50 ans, exposition à un contrôle CNIL et à un contentieux prud'homal potentiel. Pour une vue d'ensemble actualisée des obligations PME, je renvoie au guide AI Act pour les PME françaises de Regulia, qui détaille article par article ce que je résume ici.

Cette articulation explique aussi pourquoi le DPO (data protection officer) ne suffit plus seul : il faut un binôme DPO + référent AI Act, ou un DPO formé spécifiquement aux obligations du nouveau règlement. Voir notre page formation AI Act dédiée aux fonctions RH pour comprendre cette gouvernance bicéphale.

Pourquoi les systèmes d'IA en RH sont classés « haut risque »

L'annexe III du Règlement (UE) 2024/1689 liste explicitement, en son point 4, les systèmes d'IA destinés à être utilisés pour le recrutement, la sélection (tri de CV, évaluation de candidats), la prise de décisions affectant les conditions de travail (promotion, résiliation), l'attribution de tâches et l'évaluation des performances. Tous relèvent du régime haut risque. C'est massif : la quasi-totalité des cas d'usage RH cités par les DRH en entretien tombent dans ce périmètre.

Les obligations associées sont concrètes. Mises bout à bout, elles imposent :

  • Un système de gestion des risques continu (article 9), documenté et revu à chaque mise à jour du modèle, depuis la conception jusqu'au retrait du marché.
  • Une gouvernance des données d'entraînement, validation et test (article 10) : pertinence, représentativité, absence d'erreurs autant que possible, et examen des biais éventuels — ce point est crucial sur des historiques RH internes biaisés.
  • Une documentation technique exhaustive (article 11 + annexe IV) avant mise sur le marché : architecture du modèle, données utilisées, performances attendues, métriques de précision et de robustesse.
  • Une journalisation automatique (article 12) des événements pertinents tout au long du cycle de vie du système, conservée par le déployeur pendant au moins six mois.
  • Une transparence et une information de l'utilisateur (article 13) via une notice d'utilisation détaillée.
  • Une supervision humaine effective (article 14) intégrée à l'architecture du système.
  • Une robustesse, exactitude et cybersécurité (article 15) appropriées au cas d'usage.

Pour la France, ce régime haut risque de l'annexe III s'applique au 2 décembre 2027 — date reportée du 2 août 2027 par l'omnibus numérique du 7 mai 2026. C'est demain à l'échelle d'un projet RH d'envergure. Les DRH qui démarrent un appel d'offres SIRH augmenté en 2026 livreront en 2027, en pleine fenêtre d'application. Pour le détail du régime haut risque, je renvoie au dossier dédié sur Regulia.

La sensibilité spécifique des données RH au regard de la CNIL

Les données RH ne sont pas des données comme les autres. La CNIL, dans son dossier thématique Travail et données personnelles, identifie plusieurs zones d'attention particulière : contrôle des horaires, géolocalisation des véhicules de fonction, écoute des appels, vidéosurveillance interne, recrutement, gestion du personnel, élections professionnelles. Toutes touchent à des libertés fondamentales — vie privée au travail, droit syndical, libre choix professionnel.

L'autorité de contrôle française est exigeante sur trois points qui se renforcent à l'arrivée de l'IA :

  1. La proportionnalité : un outil intrusif (analyse vidéo en open space, scoring d'attitude en réunion) doit être justifié par une finalité légitime sérieuse, pas par la simple appétence technologique d'une direction.
  2. L'information loyale des salariés et des représentants du personnel : l'article L. 2312-38 du Code du travail impose la consultation du CSE sur tout moyen ou technique de contrôle de l'activité.
  3. La gestion des sous-traitants : la plupart des SIRH sont édités par des prestataires SaaS — souvent extra-européens. La cartographie des transferts et la base légale de chacun doivent être prouvées.

La CNIL a confirmé en 2024 que l'utilisation d'outils d'IA générative dans la fonction RH (génération de fiches de poste, synthèse d'entretiens, rédaction de comptes rendus d'évaluation) entre dans son champ de contrôle dès lors qu'une donnée personnelle de salarié est traitée. Une PME qui colle des CV bruts dans un LLM cloud non européen crée un transfert hors UE sans base juridique, plus un risque de mémorisation de données personnelles par le modèle (cas explicitement traité dans la fiche pratique CNIL n°13 sur le statut RGPD des modèles d'IA).

C'est l'un des arguments structurants pour le on-premise souverain que nous déployons chez IAPRO : Mistral 7B ou Llama 3 quantifié, Ollama et OpenWebUI sur serveur local, RAG indexant les référentiels métier internes. Aucune donnée ne sort de l'entreprise. Voir notre offre métiers fonctions support pour les architectures types DRH.

Le défi de l'entraînement : web scraping, anonymisation et finalité

L'AI Act ne dit rien sur la manière de constituer une base d'apprentissage : c'est le RGPD qui s'impose ici, et la CNIL a publié des fiches pratiques IA très précises. Pour une DRH qui veut entraîner ou affiner un modèle sur des données internes (historique de recrutement, descriptions de poste, évaluations passées), trois questions structurent la démarche.

Qualification juridique des acteurs. La fiche 1 de la CNIL impose de qualifier chaque intervenant : responsable de traitement, responsable conjoint, sous-traitant. Pour un déploiement IAPRO sur site, l'entreprise reste responsable de traitement, IAPRO est sous-traitant au sens de l'article 28 du RGPD avec contrat dédié. Pour un SaaS, la qualification dépend du contrat — beaucoup d'éditeurs se présentent à tort comme simples sous-traitants alors qu'ils réutilisent les données clients pour entraîner leurs propres modèles.

Base légale. L'intérêt légitime (article 6.1.f RGPD) est la base la plus fréquente, mais elle suppose un test de mise en balance documenté. La fiche 8 de la CNIL est claire : sans test ni mesures de mitigation, l'intérêt légitime ne tient pas devant un contrôle. Pour des données RH internes, on bascule souvent vers l'exécution du contrat de travail (article 6.1.b) ou l'obligation légale (article 6.1.c) selon l'usage. Le consentement (article 6.1.a) est généralement à proscrire pour les salariés, vu la subordination.

Anonymisation effective. La recommandation CNIL de février 2025 rappelle qu'un modèle entraîné sur des données anonymes sort du RGPD. Mais l'anonymisation au sens du G29 / EDPB est exigeante : irréversibilité, absence de réidentification par croisement, garanties techniques. Sur des historiques RH de PME (300-1 000 salariés), l'anonymisation est souvent illusoire — trop peu de monde, trop de signaux singuliers. La pseudonymisation reste alors la voie réaliste, avec maintien de la conformité RGPD.

Le moissonnage de données publiques pour enrichir un référentiel RH (par exemple, scraper LinkedIn pour augmenter une base de candidats) est explicitement encadré par la fiche 8 bis de la CNIL et reste hautement risqué.

Transparence et information : les nouvelles recommandations 2025 de la CNIL

Les recommandations de février 2025 de la CNIL apportent une grille pratique sur deux points opérationnels où je vois beaucoup d'angles morts : l'information des personnes et l'exercice de leurs droits.

Côté information, la CNIL distingue clairement l'information générale (suffisante pour les modèles de fondation entraînés sur des sources tierces hétéroclites) et l'information ciblée (obligatoire dès qu'un système d'IA prend une décision affectant individuellement un salarié ou un candidat). Pour une plateforme de tri de CV, l'information doit figurer dans l'annonce d'emploi, dans la politique de confidentialité candidat et idéalement dans un e-mail dédié au moment du dépôt. Le candidat doit savoir qu'un algorithme intervient, sur quels critères, avec quelle pondération humaine.

Côté droits, l'article 22 du RGPD (décision individuelle automatisée) se combine avec l'article 26 de l'AI Act (obligation pour le déployeur d'informer la personne concernée que le système haut risque est utilisé). Concrètement, un candidat refusé sur la base d'un score IA peut exiger :

  • d'être informé qu'un système d'IA a été utilisé,
  • d'obtenir une explication compréhensible des critères,
  • de demander une révision humaine de la décision,
  • d'exercer son droit d'opposition motivée.

Pour l'exercice des droits côté entraînement, la CNIL admet que l'effacement strict dans le modèle peut être techniquement impossible. Elle invite à privilégier l'anonymisation préventive et le filtrage en sortie (« empêcher la divulgation de données personnelles confidentielles par le modèle »). C'est typiquement le rôle des garde-fous (output filters, refus de prompt sensible) que nous configurons dans OpenWebUI sur les déploiements IAPRO. Pour les modèles documentaires utilisés en RH, voir aussi le référentiel des documents de conformité AI Act.

Supervision humaine et lutte contre les biais algorithmiques

L'article 14 de l'AI Act consacre la supervision humaine comme exigence essentielle des systèmes haut risque. Pour la fonction RH, ce n'est pas une formalité de PowerPoint : c'est un point de contrôle juridique majeur.

La supervision humaine effective suppose qu'une personne, identifiée et formée :

  • peut comprendre les sorties du système (pas de boîte noire totale),
  • peut décider de ne pas tenir compte de la sortie, l'écarter, l'inverser,
  • peut intervenir en temps réel sur le fonctionnement,
  • peut arrêter le système en cas de doute (« stop button »).

Pour un outil de scoring de candidats, cela impose un workflow où la recommandation algorithmique est étiquetée comme telle, où le recruteur humain valide explicitement et trace sa décision. Pas de « rejet automatique » muet en bout de tunnel.

Sur les biais, l'enjeu est triple : biais d'entraînement (historique RH déjà discriminant), biais d'algorithme (corrélations indirectes : code postal proxy d'origine, prénom proxy de genre), biais d'usage (recruteurs qui suivent aveuglément l'IA). Les obligations de test et de documentation (article 10 AI Act + jurisprudence CNIL) imposent désormais une métrique d'équité formalisée : disparate impact ratio, equal opportunity difference, ou autres indicateurs adaptés au cas d'usage.

Je recommande systématiquement aux DRH d'intégrer un comité éthique IA mixte (DRH, DPO, IRP, expert externe) qui valide la grille de critères avant mise en production et la réexamine chaque trimestre. Pour aller plus loin sur les secteurs particulièrement exposés, le panorama sectoriel Regulia propose une lecture par métier.

Cybersécurité et résilience : le rôle pivot de l'ANSSI

Un système d'IA RH est une cible de premier rang pour les attaquants : il concentre des données salariés, des historiques de rémunération, des évaluations confidentielles, des informations sur les recrutements stratégiques. L'ANSSI structure sa doctrine en trois axes qu'il faut décliner précisément en contexte RH :

Cybersécurité de l'IA. Le modèle lui-même peut être attaqué : empoisonnement des données d'entraînement, injection de prompt malveillant, extraction de données d'entraînement par requêtes ciblées, contournement des garde-fous. Les mesures à mettre en place : segmentation réseau, contrôle des accès, journalisation, tests d'intrusion adaptés. L'article 15 de l'AI Act exige un niveau de robustesse et de cybersécurité approprié.

Cybersécurité par l'IA. Inversement, l'IA peut renforcer la défense : détection d'anomalies dans les accès au SIRH, identification de tentatives d'exfiltration. Mais cette IA défensive doit elle aussi être conforme.

Cybersécurité face à l'IA. Les attaquants utilisent des IA pour automatiser le phishing ciblé sur les fonctions RH (faux candidats, faux CV piégés en PDF, deepfakes d'entretiens vidéo). Les DRH doivent former leurs équipes en conséquence.

L'ANSSI travaille à des schémas de certification dédiés et participe à l'INESIA, l'AI Safety Institute français. Pour une PME, suivre les recommandations ANSSI est aujourd'hui la meilleure base technique disponible en français. C'est cette logique que nous appliquons sur nos installations souveraines : chiffrement des bases, isolation des modèles, journalisation complète, sauvegardes hors ligne. Voir aussi notre approche de l'IA souveraine on-premise.

Méthodologie de mise en conformité : de l'AIPD à la certification

Voici la méthode IAPRO que j'applique en mission, depuis l'audit jusqu'à la mise en production. Elle tient en cinq étapes formalisées.

1. Cartographie des cas d'usage RH. Recensement exhaustif de tous les outils existants ou projetés : tri CV, chatbot RH, génération de fiches de poste, scoring de performance, prédiction de turnover, planification, paie augmentée. Pour chacun, classification AI Act (risque inacceptable, haut risque, transparence, faible) et qualification RGPD (donnée traitée, base légale, finalité).

2. Qualification juridique des fournisseurs. Identification du statut de chaque acteur (responsable, responsable conjoint, sous-traitant) et rédaction des contrats correspondants. Vérification des transferts hors UE et des clauses contractuelles types.

3. AIPD spécifique IA. L'analyse d'impact sur la protection des données est obligatoire dès qu'il y a évaluation systématique d'aspects personnels (recrutement, performance) ou traitement à grande échelle. Pour les systèmes haut risque AI Act, elle est doublée d'une FRIA (article 27) sur les droits fondamentaux. Les deux peuvent être consolidées en un document unique, à condition de couvrir les exigences de chaque texte.

4. Documentation technique + registre. Constitution du dossier technique (annexe IV AI Act), enregistrement du système dans la base de données européenne, mise à jour du registre des traitements RGPD (article 30) avec une rubrique dédiée IA.

5. Audit de robustesse et mise en production contrôlée. Tests de performance, tests d'équité (biais), tests de sécurité, validation par le comité éthique. Documentation des résultats. Formation des utilisateurs finaux (article 4 AI Act, applicable depuis le 2 février 2025). Mise en production avec supervision renforcée pendant trois à six mois.

Cette méthode prend en moyenne quatre à six mois pour une PME de 100-500 salariés équipée de deux à quatre outils RH augmentés. Le simulateur de coûts et d'aides est disponible sur notre calculateur ROI IA et la cartographie des financements possibles sur le hub aides.

ROI stratégique : transformer la contrainte en levier de confiance

La conformité AI Act + RGPD est souvent vécue comme un coût. C'est une lecture courte. Sur les missions que je conduis, je vois trois retours sur investissement mesurables.

Réduction du risque financier. Les sanctions AI Act sont massives : jusqu'à 15 M€ ou 3 % du chiffre d'affaires mondial pour la plupart des violations haut risque (article 99), 35 M€ ou 7 % pour les pratiques interdites. Côté RGPD, les amendes CNIL peuvent atteindre 20 M€ ou 4 % du CA mondial. À cela s'ajoutent les contentieux prud'homaux pour décisions discriminantes — le coût d'un dossier moyen tourne autour de 20 à 50 k€ hors préjudice d'image. Pour le détail des sanctions, voir le guide sanctions de Regulia.

Sécurisation des contrôles. Une DRH qui peut présenter à un agent CNIL une AIPD à jour, un registre IA, une FRIA documentée et des journaux de supervision humaine traverse un contrôle sans douleur. À l'inverse, l'absence de documentation transforme le contrôle en sanction quasi-automatique.

Marque employeur et productivité. Les candidats jeunes (Gen Z, millennials) sont sensibles à l'usage éthique de l'IA. Une politique transparente, communiquée, devient un argument de marque employeur dans les secteurs en tension (tech, santé, conseil). En interne, des salariés informés et associés au comité éthique adoptent plus vite les outils, ce qui améliore le ROI réel des projets IA.

C'est tout l'enjeu de l'IA souveraine on-premise que nous installons chez IAPRO : Mistral, Llama, Qwen sur infrastructure française, données qui ne sortent jamais de l'entreprise, conformité native. La formation Bpifrance / France Num sur la conformité IA, gratuite, est une bonne porte d'entrée pour les dirigeants qui veulent monter en compétence avant d'attaquer un projet.

FAQ — AI Act, RGPD et données RH

Quels sont les principaux risques juridiques d'une IA RH non conforme ?

Trois risques cumulatifs : sanctions CNIL (jusqu'à 20 M€ ou 4 % du chiffre d'affaires mondial), sanctions AI Act (jusqu'à 15 M€ ou 3 % du CA pour violations haut risque, 35 M€ ou 7 % pour pratiques interdites) et contentieux prud'homaux pour décisions discriminantes. S'ajoutent le risque réputationnel, la perte de confiance des salariés et la nullité possible d'une procédure de recrutement ou de licenciement fondée sur un système opaque.

L'utilisation d'un LLM pour rédiger des fiches de poste est-elle soumise à l'AI Act ?

Tout dépend de l'usage. La simple génération de texte par un LLM générique relève des obligations de transparence (article 50 AI Act, applicable au 2 août 2026) mais pas du régime haut risque. Si la fiche de poste est ensuite couplée à un système de matching de candidats avec décision automatisée, l'ensemble bascule en haut risque (annexe III, point 4). La frontière dépend de la chaîne décisionnelle complète, pas du seul outil de rédaction.

Comment garantir qu'un algorithme de recrutement ne discrimine pas les candidats ?

En combinant trois leviers. D'abord, l'audit de la base d'entraînement (représentativité, équilibre démographique, retrait des proxys sensibles). Ensuite, le calcul de métriques d'équité formalisées (disparate impact ratio, taux de sélection par groupe protégé) avant mise en production et en monitoring continu. Enfin, la supervision humaine effective avec traçabilité des décisions et possibilité de révision sur demande du candidat, conformément à l'article 22 du RGPD.

Est-il possible d'anonymiser totalement des données RH pour entraîner une IA ?

Rarement, sur des effectifs modestes. L'anonymisation au sens du Comité européen de la protection des données suppose l'irréversibilité et l'absence de réidentification par croisement. Sur 300 ou 1 000 salariés, les signaux singuliers (poste rare, parcours atypique, rémunération hors norme) rendent la réidentification triviale. La voie réaliste est la pseudonymisation, qui reste dans le périmètre RGPD mais réduit fortement le risque. Pour des historiques massifs (50 000+ salariés), l'anonymisation différentielle devient envisageable.

Quelle est la différence entre le rôle du DPO et celui du responsable conformité AI Act ?

Le DPO (article 37 RGPD) supervise la conformité aux règles de protection des données personnelles : finalité, base légale, droits des personnes, sécurité. Le responsable conformité AI Act — fonction non encore nommée par le règlement mais émergente — pilote la conformité technique du système d'IA : gestion des risques, documentation, FRIA, supervision humaine, journalisation. Les deux fonctions peuvent être portées par la même personne dans une PME, à condition d'une formation dédiée et d'une disponibilité suffisante.

Comment informer les salariés sur l'utilisation de leurs données par un outil d'IA générative ?

Par trois canaux complémentaires. Une mise à jour de la politique de confidentialité interne et de la notice RGPD remise au salarié à l'embauche. Une information collective via consultation du CSE (article L. 2312-38 du Code du travail) si l'outil constitue un moyen de contrôle de l'activité. Une information ponctuelle au moment d'un usage spécifique (par exemple, mention explicite qu'une synthèse d'entretien annuel sera générée par IA, avec validation humaine).

L'ANSSI peut-elle certifier un logiciel RH utilisant de l'intelligence artificielle ?

Pas directement aujourd'hui. L'ANSSI travaille à l'élaboration de schémas de certification dédiés aux systèmes d'IA, en lien avec l'INESIA et les partenaires européens. En attendant, les visas de sécurité existants (CSPN, qualification standard ou renforcée) peuvent couvrir certaines briques techniques d'un logiciel RH augmenté. Pour le système d'IA lui-même, la conformité AI Act passera par les normes harmonisées CEN/CENELEC en cours d'élaboration, auxquelles l'ANSSI contribue via l'AFNOR.

Quelles sont les obligations de documentation pour un système d'IA classé haut risque ?

L'annexe IV de l'AI Act détaille le contenu minimum : description générale du système, éléments détaillés du système et de son processus de développement (données utilisées, méthodes d'entraînement, validation, test), informations sur le suivi, le fonctionnement et le contrôle, description des risques résiduels, journalisation, version, gestion des modifications. Cette documentation doit être tenue à disposition des autorités pendant dix ans après la mise sur le marché. À cela s'ajoute la notice d'utilisation à fournir au déployeur (article 13).

Peut-on utiliser le web scraping pour nourrir une base de données RH interne ?

Avec une extrême prudence. La fiche pratique 8 bis de la CNIL impose plusieurs garanties : vérification que les données n'ont pas été collectées de manière manifestement illicite, respect des conditions générales des sites sources, information des personnes concernées, mise en balance avec leurs droits, exclusion des données sensibles. Pour des données RH (CV LinkedIn, profils GitHub, mentions presse), le risque juridique est élevé et la base légale fragile. Je le déconseille systématiquement aux entreprises que j'accompagne.

Comment gérer le droit à l'effacement des données au sein d'un modèle déjà entraîné ?

La CNIL reconnaît que l'effacement strict est souvent techniquement impossible une fois le modèle entraîné. Sa recommandation de février 2025 propose plusieurs voies : anonymisation préventive en amont de l'entraînement, filtrage en sortie pour empêcher la divulgation de données identifiantes, réentraînement périodique sans les données concernées, et documentation des efforts raisonnables consentis. Le refus d'exercice peut être justifié par l'impossibilité technique, à condition d'être documenté et proportionné.

Pour aller plus loin avec IAPRO

Si vous portez un projet d'IA RH — recrutement augmenté, chatbot collaborateur, génération assistée d'entretiens, scoring de mobilité — la fenêtre 2026-2027 est exactement la bonne pour cadrer la double conformité avant le déclenchement plein du régime haut risque au 2 décembre 2027. Nous proposons un audit AI Act + RGPD ciblé fonction RH sur une à deux semaines, suivi de l'installation d'une IA souveraine on-premise (Mistral / Llama / Qwen sur Ollama + OpenWebUI) avec RAG sur vos référentiels internes. Tout reste dans votre infrastructure, rien ne transite par un cloud extra-européen. Échangeons sur votre cas via la page contact IAPRO ou découvrez nos formules sur le hub métiers fonctions support.

Liens utiles