L'AI Act et l'annexe III §4 : pourquoi le recrutement est dans le viseur

Le Règlement (UE) 2024/1689, dit AI Act, structure les systèmes d'IA en quatre niveaux : risque inacceptable (interdit), risque élevé (lourdement encadré), risque limité (transparence) et risque minimal. L'annexe III liste huit domaines où un système d'IA est automatiquement présumé à risque élevé. Le §4 vise l'emploi et la gestion de la main-d'œuvre.

Concrètement, le texte couvre deux familles de systèmes : ceux « destinés à être utilisés pour le recrutement ou la sélection de personnes physiques, en particulier pour placer des offres d'emploi ciblées, analyser et filtrer les candidatures et évaluer les candidats », et ceux qui prennent des décisions affectant les conditions de travail, la promotion ou la rupture des relations contractuelles. Le périmètre est donc large : il englobe les outils d'ATS dopés à l'IA, les scoring engines de matching, les analyseurs de lettres de motivation, les chatbots qualificateurs, et même les solutions de sourcing prédictif sur LinkedIn.

J'ai vu trop de DRH penser que « ce n'est qu'un assistant qui suggère ». La grille d'analyse de la Commission est sans ambiguïté : dès que la sortie du système influence matériellement la décision du recruteur — classement, shortlist, score, étiquette — le système est en annexe III §4. Le critère n'est pas « l'humain reste-t-il dans la boucle » (article 14 du règlement), mais « le système est-il conçu pour analyser, filtrer ou évaluer ».

Les enjeux juridiques sont triples. D'abord la conformité substantielle : système de gestion des risques, qualité des jeux de données, documentation technique, journalisation, transparence, supervision humaine, robustesse (articles 9 à 15 du règlement). Ensuite la responsabilité : la PME qui déploie l'outil devient « déployeur » au sens de l'article 26 et hérite d'obligations propres, notamment d'analyse d'impact sur les droits fondamentaux (FRIA, article 27). Enfin les sanctions : jusqu'à 35 M€ ou 7 % du CA mondial pour les violations les plus graves selon l'article 99.

Les limites de l'IA dans le tri de CV : ce qui fait basculer en risque élevé

La question opérationnelle est rarement « peut-on utiliser l'IA en recrutement », mais « quelle granularité fonctionnelle me fait basculer en annexe III ». Voici la cartographie que j'utilise en audit.

Bascule certaine en annexe III §4 : un moteur qui attribue un score de fit poste/candidat, un outil qui classe les CV par ordre décroissant de pertinence, un agent qui rédige une recommandation textuelle (« candidat à retenir », « profil junior »), un système de matching sémantique entre offre et candidatures qui produit un ranking, ou tout dispositif qui filtre automatiquement avant qu'un humain ne voie le CV.

Zone grise à documenter : extraction structurée d'informations factuelles (années d'expérience, diplômes, localisation) sans pondération qualitative, génération de questions d'entretien à partir d'un CV, anonymisation des données sensibles (nom, photo, âge), traduction automatique de candidatures internationales. Ces usages peuvent rester hors §4 si l'IA n'émet aucun jugement d'aptitude et si la décision reste intégralement humaine sur des CV non hiérarchisés par la machine.

Hors annexe III §4 : transcription d'un échange téléphonique avec un candidat, rédaction d'accusés de réception, planification d'entretiens, génération d'offres d'emploi standardisées (sans ciblage discriminant), reformulation d'une fiche de poste, ou outils d'aide à la rédaction interne aux recruteurs.

Les pratiques interdites (article 5) restent un point d'attention : interdiction des systèmes de notation sociale, des techniques subliminales et — depuis le 2 février 2025 — de la reconnaissance d'émotions sur le lieu de travail. Un outil qui prétendrait analyser l'enthousiasme d'un candidat à partir de sa voix dans une vidéo asynchrone tombe sous cette interdiction, indépendamment de l'annexe III.

Pour le détail de la qualification, je renvoie aux lignes directrices de la Commission européenne sur les systèmes à haut risque, en consultation jusqu'au 23 juin 2026, qui apportent des exemples concrets de classification. Pour une vue d'ensemble du règlement, consultez aussi notre hub AI Act et le glossaire IA.

Conformité IA : les obligations concrètes si vous restez dans l'annexe III §4

Certaines DRH veulent assumer pleinement le statut « risque élevé » pour conserver un outil de scoring performant. C'est défendable, mais il faut mesurer le coût de mise en conformité avant 2027.

Côté fournisseur du système (article 16 du règlement), si vous développez ou faites développer l'outil en interne : système de gestion des risques tout au long du cycle de vie (article 9), gouvernance des données d'entraînement et de validation (article 10), documentation technique conforme à l'annexe IV (article 11), journalisation automatique des événements (article 12), transparence et notice d'utilisation (article 13), supervision humaine effective (article 14), exactitude, robustesse et cybersécurité (article 15), système de gestion de la qualité (article 17), conservation de la documentation pendant 10 ans (article 18), évaluation de conformité avant mise sur le marché (article 43), marquage CE et déclaration UE de conformité, enregistrement dans la base de données européenne.

Côté déployeur — c'est-à-dire l'entreprise utilisatrice — les obligations de l'article 26 imposent : utilisation conforme à la notice, supervision humaine confiée à des personnes compétentes, monitoring du fonctionnement, conservation des logs pendant six mois minimum, information des travailleurs et de leurs représentants avant déploiement (point capital en France, qui croise les obligations CSE du Code du travail), information des candidats faisant l'objet d'une décision les concernant, et — pour les organismes de droit public ou prestataires de services essentiels — réalisation d'une analyse d'impact sur les droits fondamentaux (FRIA, article 27).

Le RGPD se superpose intégralement. La CNIL a publié en avril 2024 des recommandations spécifiques pour l'IA dans le recrutement : base légale (généralement l'intérêt légitime, qualifié par un test de mise en balance), AIPD obligatoire pour tout système d'IA présentant un risque élevé pour les droits des personnes, information renforcée des candidats, droit d'opposition et droit à intervention humaine en cas de décision entièrement automatisée (article 22 RGPD).

Pour un cabinet d'audit AI Act sur votre dispositif RH, IAPRO travaille avec Regulia.fr qui produit la cartographie réglementaire et la documentation technique annexe IV. Voir aussi notre calculateur ROI IA pour chiffrer l'investissement.

Cas pratiques : trois architectures de tri CV conformes que j'ai déployées

Pour rendre tout cela concret, voici trois architectures réelles tirées de missions IAPRO menées en 2025.

Cabinet d'expertise comptable, 22 collaborateurs, recrutement de 8 collaborateurs/an. L'outil déployé : Mistral 7B Instruct quantizé en Q4, hébergé sur un mini-serveur on-premise (32 Go RAM, GPU consumer), accessible via OpenWebUI. Fonctions activées : extraction structurée des données factuelles du CV (formations, expériences, certifications DCG/DSCG, mobilité), anonymisation automatique (nom, photo, date de naissance, adresse), génération d'une fiche de synthèse sans recommandation. Le recruteur reçoit toutes les fiches dans l'ordre d'arrivée, sans aucun classement. Résultat : 6 h gagnées par campagne, hors annexe III §4 parce que l'IA ne hiérarchise pas et n'évalue pas.

PME industrielle, 85 salariés, métiers techniques. Outil : Llama 3.1 8B + RAG sur la base interne des fiches de poste, déployé sur Ollama. Fonctions : génération d'offres d'emploi à partir des descriptions de poste internes, formulation neutre validée par un test sur grille de biais (genre, âge, origine), génération de questions techniques personnalisées pour l'entretien. Aucun tri de candidatures. Le matching entre CV reçus et besoins reste manuel. Coût d'installation : 14 800 € HT, ROI atteint en 7 mois sur la seule économie de rédaction d'offres.

ETI services BtoB, 380 salariés, volume mensuel de 400 candidatures. Le DRH voulait absolument du matching automatique. Décision assumée : le système entre en annexe III §4. Architecture : Qwen 2.5 14B fine-tuné avec LoRA sur historique anonymisé, audit complet annexe IV par Regulia, journalisation conservée 24 mois, AIPD CNIL formalisée, supervision humaine documentée avec checkpoint obligatoire avant tout écartement, information explicite des candidats au moment du dépôt. Coût de mise en conformité initiale : 38 000 € HT (audit + documentation + intégration RH/CSE). Gain net annuel après mise en conformité : 1,4 ETP RH soit environ 58 000 €.

Le choix dépend de votre volume, de votre tolérance au risque réglementaire et de votre capacité à financer un audit complet. Notre page métiers RH détaille d'autres configurations.

Équité algorithmique : comment ne pas reproduire des biais à grande échelle

Un système de tri CV n'est pas neutre par défaut. Si vous l'entraînez sur l'historique de vos recrutements et que ce dernier reflète une sur-représentation masculine dans les postes techniques, le modèle apprendra à pénaliser silencieusement les CV féminins. Le cas d'école d'Amazon abandonné en 2018 reste l'archétype.

L'article 10 du Règlement (UE) 2024/1689 impose des exigences précises sur la qualité des données d'entraînement : représentativité, pertinence, exactitude, complétude statistique, examen préalable des biais possibles. Pour la France, le Défenseur des droits et la CNIL ont publié des recommandations conjointes : ne jamais utiliser de données sensibles directes ni de proxies (nom de famille, photo, adresse, scolarité dans certains quartiers, prénom genré) sans test de proxy discrimination ; documenter les choix de variables ; tester l'équité par sous-groupes protégés (genre, âge, origine, handicap) avec des métriques type taux de sélection différentiel ou egalized odds.

Concrètement, dans une PME, je recommande trois mesures minimales avant tout déploiement : anonymisation systématique des champs sensibles en amont de l'IA, audit de biais sur un échantillon de 500 candidatures historiques avec sortie quantifiée, et procédure d'escalade humaine documentée pour tout candidat éliminé sur critères automatiques. La responsabilité juridique est partagée entre fournisseur (qualité du modèle) et déployeur (usage et supervision).

ROI et impact : combien rapporte vraiment un tri CV assisté par IA

Le marketing des éditeurs vous promet 70 % de gain de temps. La réalité d'une PME française est plus nuancée. Voici les chiffres que je constate sur 18 missions menées en 2024-2025.

Volume mensuel candidatures Temps tri actuel (manuel) Temps tri avec IA conforme hors §4 Économie horaire/mois
20-50 5 h 2 h 3 h
50-150 14 h 5 h 9 h
150-400 38 h 14 h 24 h
> 400 passer en annexe III §4 assumée, gain net 0,8-1,5 ETP

Le ROI dépend du coût horaire RH (entre 35 et 75 € HT selon le niveau) et du coût d'installation IAPRO (entre 4 800 € pour un setup OpenWebUI + Mistral 7B et 24 000 € pour une architecture RAG + LoRA personnalisée). Sur les missions hors annexe III §4, l'amortissement se situe entre 4 et 11 mois. En annexe III §4 assumée, comptez 14 à 22 mois en ajoutant les coûts de mise en conformité.

Au-delà du temps, le gain qualitatif est réel : meilleure structuration de la donnée candidat, traçabilité des décisions, harmonisation des pratiques entre recruteurs. Et le risque évité d'une sanction CNIL ou marché européen pèse lourd dans un dossier comité de direction. Pour modéliser votre cas, utilisez le calculateur ROI IA IAPRO.

Outils et formations : se faire accompagner sans repartir de zéro

Le ministère de l'Économie référence un écosystème dense d'aides et de formations sur sa page dédiée à l'IA en entreprise. Pour un service RH, je recommande la combinaison suivante.

Formations à activer en premier : le MOOC Objectif IA d'OpenClassrooms (6 h, gratuit), pour donner une culture commune à l'équipe RH ; les modules Bpifrance de 15 minutes sur la pertinence de l'IA pour un cas d'usage ; les fiches pédagogiques IA générative de France Num, qui clarifient les coûts, sécurité et compétences requises.

Financements à mobiliser : le programme IA Booster France 2030 de Bpifrance combine diagnostic data-IA (13 000 € HT pris en charge à 50 %), étude d'opportunité (13 000 € HT à 50 %) et accompagnement au déploiement (jusqu'à 60 000 € HT à 50 %). En Hauts-de-France, le Pass Cyber Investissement complète. En Île-de-France, le Pack IA. En Région Sud, Mon assistant IA. Le détail des dispositifs régionaux figure sur notre hub aides et notre simulateur d'aides.

Crédit d'impôt et fiscalité : pour les développements internes, le Crédit d'Impôt Recherche (CIR) et Crédit d'Impôt Innovation (CII) peuvent couvrir 30 % à 50 % des dépenses éligibles selon les cas. Les OPCO (Atlas, 2i, Constructys selon votre branche) financent les formations IA de votre équipe RH.

L'erreur classique est de financer un outil sans financer la formation des utilisateurs. Une équipe RH qui ne comprend pas la sortie du modèle ne saura ni la critiquer ni la défendre devant un candidat ou un CSE.

Enjeux futurs : ce que le calendrier 2026-2028 change pour vos décisions

Le calendrier d'application du Règlement (UE) 2024/1689 vient d'être révisé par l'AI Omnibus. Les règles applicables aux systèmes à haut risque listés en annexe III — donc le tri CV — entrent en application le 2 décembre 2027, et non plus en août 2026 comme initialement prévu. Pour les systèmes intégrés à des produits soumis à la législation harmonisée (annexe I), c'est le 2 août 2028.

Ce report de 16 mois n'est pas une dispense, c'est une fenêtre pour préparer sérieusement. Trois jalons à anticiper.

Avant fin 2026 : cartographier tous les outils RH utilisant de l'IA, y compris dans les SaaS existants (votre ATS dispose-t-il déjà d'un module de matching ? votre solution de paie a-t-elle ajouté de l'IA générative ?). Demandez à vos éditeurs leur position vis-à-vis de l'annexe III §4 et leur plan de mise en conformité — un éditeur qui ne sait pas répondre devient un risque contractuel.

Premier semestre 2027 : choisir entre trois trajectoires (reconfigurer le périmètre fonctionnel hors §4, abandonner l'outil concerné, ou assumer la mise en conformité annexe III avec audit complet). Cette décision doit remonter en comité de direction et au DPO.

Avant le 2 décembre 2027 : pour les outils maintenus en annexe III §4, finaliser la documentation technique annexe IV, l'AIPD CNIL, l'information CSE, la formation des recruteurs à la supervision humaine, et l'inscription dans la base de données européenne.

Les normes harmonisées CEN-CENELEC en cours de finalisation (notamment JTC 21) fourniront des présomptions de conformité utiles. Surveillez aussi les actes d'exécution de la Commission sur la documentation technique simplifiée pour les PME (article 11(1) prévoit cette possibilité). Notre veille AI Act suit ces publications.

FAQ — Tri CV IA conforme et annexe III §4

Quels sont les risques juridiques d'utiliser l'IA pour trier les CV ?

Un système d'IA qui analyse, filtre ou évalue des candidatures relève de l'annexe III §4 du Règlement (UE) 2024/1689. Les sanctions pour non-conformité atteignent 35 M€ ou 7 % du CA mondial (article 99). S'ajoutent les sanctions CNIL pour manquements RGPD (jusqu'à 4 % du CA mondial) et les actions en discrimination devant les juridictions civiles ou pénales.

Comment éviter les catégories 'risque élevé' de l'annexe III §4 ?

En reconfigurant le périmètre fonctionnel : pas de classement, pas de score, pas de recommandation d'écartement. Limitez l'IA à l'extraction factuelle, l'anonymisation, la traduction ou la génération d'offres d'emploi. Toute fonction qui hiérarchise les candidats ou influence matériellement la décision du recruteur fait basculer en annexe III §4, même si un humain valide ensuite.

Quelles sont les obligations de conformité pour un outil d'IA de tri de CV en annexe III §4 ?

Pour le déployeur (article 26) : supervision humaine compétente, monitoring, journalisation 6 mois minimum, information des travailleurs et du CSE avant déploiement, information des candidats, AIPD CNIL, FRIA pour certains acteurs. Pour le fournisseur (articles 9 à 17) : gestion des risques, qualité des données, documentation technique annexe IV, marquage CE, enregistrement dans la base européenne.

L'IA peut-elle être utilisée pour évaluer les compétences techniques sans enfreindre l'AI Act ?

L'évaluation de compétences est explicitement couverte par l'annexe III §4. Un test technique automatisé qui produit une note d'aptitude est en risque élevé. Une alternative consiste à utiliser l'IA pour générer les questions ou les exercices, mais à conserver une correction humaine ou un système de correction automatique non-IA (réponses exactes/erronées sur QCM technique objectif).

Quels sont les outils et formations disponibles pour s'assurer de la conformité ?

Le MOOC Objectif IA (OpenClassrooms, 6 h), les modules Bpifrance, les fiches France Num sur l'IA générative, le programme IA Booster France 2030. Pour la conformité réglementaire spécifique, IAPRO propose un audit AI Act métier RH en partenariat avec Regulia. Les OPCO (Atlas pour les services, 2i pour l'industrie) financent ces formations dans le cadre du plan de développement des compétences.

Comment garantir l'équité des algorithmes de tri de CV ?

Trois mesures minimales : anonymisation des champs sensibles en amont (nom, photo, âge, adresse), audit de biais sur 500 candidatures historiques avec métriques d'équité par sous-groupe protégé, et procédure d'escalade humaine pour toute élimination automatique. L'article 10 du Règlement (UE) 2024/1689 et les recommandations conjointes Défenseur des droits/CNIL encadrent précisément ces tests.

Quel est le ROI d'un outil d'IA pour le tri de CV ?

Pour une PME recevant 50 à 150 candidatures par mois, l'économie est de 9 heures RH mensuelles, soit environ 4 200 € par an pour un coût horaire de 39 € HT. Un setup OpenWebUI + Mistral 7B hors annexe III §4 s'amortit en 5 à 8 mois. En annexe III §4 assumée, l'amortissement passe à 14-22 mois en intégrant les coûts d'audit et de documentation technique.

Quelles sont les prochaines évolutions réglementaires pour l'IA dans le recrutement ?

Les règles annexe III s'appliquent à partir du 2 décembre 2027 selon le calendrier révisé par l'AI Omnibus. Les normes harmonisées CEN-CENELEC JTC 21 fourniront des présomptions de conformité courant 2026-2027. La Commission européenne finalise des lignes directrices spécifiques, en consultation jusqu'au 23 juin 2026. La CNIL devrait actualiser ses recommandations RH IA en parallèle.

L'IA peut-elle remplacer totalement le tri manuel des CV ?

Non, et le Règlement (UE) 2024/1689 l'interdit dans l'esprit : l'article 14 impose une supervision humaine effective sur tout système à haut risque, et l'article 22 du RGPD donne au candidat un droit d'opposition à toute décision entièrement automatisée produisant des effets juridiques. Un outil 100 % automatisé sans intervention humaine documentée vous expose à la fois aux sanctions AI Act et CNIL.

Quel rôle joue la standardisation dans la conformité des systèmes d'IA de recrutement ?

Les normes harmonisées publiées au JOUE confèrent une présomption de conformité (article 40 du règlement). Le comité CEN-CENELEC JTC 21 finalise des normes sur la gestion des risques IA, la qualité des données, la transparence, la supervision humaine. S'appuyer sur ces normes simplifie la documentation technique annexe IV et facilite l'évaluation de conformité, particulièrement pour les PME qui n'ont pas de département conformité dédié.

Pour aller plus loin avec IAPRO

Si vous voulez sécuriser vos pratiques RH avant le 2 décembre 2027, IAPRO propose un audit flash AI Act métier RH (cartographie de vos outils existants, qualification annexe III §4, plan de mise en conformité) à partir de 2 400 € HT, éligible au cofinancement IA Booster France 2030 et aux dispositifs régionaux Hauts-de-France. Pour les structures qui souhaitent installer un outil souverain on-premise (Mistral, Llama, Qwen), notre formule installation démarre à 4 800 € HT. Contactez-nous pour un échange initial de 30 minutes sans engagement.

Liens utiles