Lucca et le RGPD / AI Act : l'IA RH française face au haut risque
·
Par 
Aymeric Guyard · 9 min de lecture
En bref
- Lucca, éditeur français de logiciels RH (congés, notes de frais, entretiens, talents), ajoute des fonctions d'IA. Atout souverain : éditeur et hébergement européens. Vigilance AI Act : les modules d'entretiens, d'évaluation et de talents peuvent relever du haut risque (Annexe III), avec supervision humaine, information du CSE, contrôle des biais et AIPD. La reconnaissance des émotions en entretien est interdite.
Présentation et données traitées
Lucca édite une suite RH française modulaire (temps, congés, notes de frais, entretiens, talents). Ses fonctions d'IA assistent la saisie, l'analyse et la préparation des entretiens.
Données RH : identité, temps, absences, notes de frais, et — pour les modules talents — évaluations, objectifs, comptes rendus d'entretien. Éditeur français : hébergement en Europe.
Les risques pour votre entreprise
Le risque tient aux modules d'évaluation/talents : dès que l'IA assiste une évaluation, une promotion ou une décision RH, le régime haut risque s'applique.
Principaux risques RGPD :
- Données d'évaluation et d'entretien à protéger.
- Décision automatisée éventuelle (article 22).
- Durées de conservation (référentiel CNIL RH).
- Information-consultation du CSE (article L2312-38) et proportionnalité (article L1121-1).
Les obligations RGPD
- Vérifier le DPA Lucca ; confirmer l'hébergement UE.
- Encadrer les modules d'évaluation ; garantir la supervision humaine.
- Informer les salariés/CSE ; définir les durées de conservation.
- Inscrire au registre ; AIPD (probable pour l'évaluation).
- Impliquer le DPO ; former les managers. Pas de DPO ? Voir notre DPO externalisé.
Les obligations AI Act
Classement HAUT RISQUE (Annexe III) pour les usages RH algorithmiques : tri, évaluation des candidatures, décisions de promotion ou suivi de performance. Obligations du déployeur : supervision humaine, logs, information des travailleurs et des représentants avant la mise en service (article 26), FRIA (article 27). Interdiction : reconnaissance des émotions (article 5). Voir le guide AI Act.
Risques AI Act : modules d'évaluation/talents à haut risque non traités comme tels ; défaut d'information CSE/salariés ; analyse émotionnelle lors des entretiens (interdite).
Cybersécurité et bonnes pratiques
Risques cyber : comptes rendus d'entretien = données sensibles ; accès à cloisonner ; NIS 2 selon la taille.
Bonnes pratiques : exploiter l'ancrage européen ; traiter les modules d'évaluation en haut risque (supervision, documentation, contestation) ; information CSE/salariés ; charte IA, registre, formation IA.
Checklist :
- DPA Lucca + hébergement UE confirmés, modules d'évaluation traités en haut risque, supervision humaine des décisions
- CSE informé/consulté, salariés informés, AIPD réalisée, durées de conservation définies
- Aucun module d'analyse émotionnelle, managers formés
Sanctions, conclusion et recommandations
Sanctions cumulables : RGPD (jusqu'à 20 M€ ou 4 %) ; AI Act (jusqu'à 35 M€ ou 7 % pour les pratiques interdites, 15 M€ ou 3 % pour un système à haut risque non conforme). S'ajoutent risque prud'homal et délit d'entrave (défaut d'information CSE).
Recommandation : Lucca est un choix souverain solide, mais ses modules d'évaluation et de talents appellent le régime haut risque de l'AI Act : supervision humaine, information du CSE, AIPD et contrôle des biais. Comparez avec PayFit, Personio et Factorial. Voir le comparatif des outils d'IA.
Passez à l’action
Évaluez le niveau de risque RGPD et AI Act de vos usages de Lucca avec l'auto-diagnostic Data Comply One.
Découvrir le logiciel AI Act →Tester ma conformité gratuitement