PayFit et le RGPD / AI Act : l'IA de paie et de gestion RH sous surveillance

Présentation et données traitées

PayFit est une plateforme française de paie et de gestion RH pour les TPE/PME (bulletins, congés, notes de frais, administration du personnel). Ses fonctions d'IA assistent la production de la paie et l'automatisation des tâches RH.

PayFit traite des données RH particulièrement sensibles : identité, rémunération, IBAN, cotisations, absences et arrêts (parfois données de santé indirectes). Éditeur français : hébergement en Europe, ce qui écarte l'exposition au CLOUD Act pour les traitements concernés.

Les risques pour votre entreprise

Deux plans : la sensibilité des données de paie (accès, conservation) et la qualification AI Act des fonctionnalités. Un usage strictement paie/administratif est peu risqué au sens de l'AI Act ; un usage d'évaluation, de décision ou de suivi bascule en haut risque.

Principaux risques RGPD :

• Sensibilité des données de paie ; accès à cloisonner (moindre privilège).
• Durées de conservation (référentiel CNIL RH).
• Décision automatisée éventuelle (article 22) selon les fonctionnalités.
• En France, la mise en place d'un outil d'IA traitant les données des salariés ou affectant leurs conditions de travail suppose l'information-consultation préalable du CSE (article L2312-38 du code du travail) et le respect de la proportionnalité (article L1121-1).

Les obligations RGPD

1. Signer/vérifier le DPA PayFit ; confirmer l'hébergement UE.
2. Cloisonner les accès à la paie ; définir les durées de conservation.
3. Informer les salariés ; informer-consulter le CSE si l'outil affecte les conditions de travail.
4. Inscrire au registre ; AIPD si traitement à risque.
5. Impliquer le DPO ; former les équipes RH. Pas de DPO en interne ? Notre DPO externalisé pilote registre, AIPD et encadrement de vos outils d'IA.

Les obligations AI Act

C'est ici que l'AI Act change tout. L'Annexe III du règlement (UE) 2024/1689 classe à HAUT RISQUE la quasi-totalité des usages RH algorithmiques : diffusion ciblée d'offres, tri et évaluation des candidatures, décisions de recrutement, d'affectation, de promotion ou de fin de contrat, et suivi/évaluation de la performance. Pleine application le 2 août 2026. En tant que déployeur, l'employeur doit : utiliser l'outil conformément à la notice, assurer une supervision humaine effective, surveiller le fonctionnement, conserver les journaux (logs), informer les personnes et — point clé — informer les travailleurs et leurs représentants avant la mise en service (article 26). Une analyse d'impact sur les droits fondamentaux (FRIA, article 27) est requise. Interdiction absolue : la reconnaissance des émotions sur le lieu de travail est prohibée. Voir le guide AI Act.

Risques AI Act : basculement en haut risque d'une fonctionnalité d'évaluation/décision non identifiée ; défaut d'information des salariés/CSE (article 26) ; tout module d'analyse émotionnelle (interdit).

Cybersécurité et bonnes pratiques

Risques cyber : données de paie = cible de fraude au virement ; accès à cloisonner, comptes à sécuriser ; NIS 2 selon la taille.

Bonnes pratiques : exploiter l'ancrage européen de PayFit et le DPA ; cartographier les fonctionnalités IA (distinguer paie/admin = faible risque et évaluation/décision = haut risque) ; information du CSE et des salariés, supervision humaine des décisions ; charte IA, registre, formation à la littératie IA.

Checklist :

• DPA PayFit + hébergement UE confirmés, accès paie cloisonnés, durées de conservation définies
• Fonctionnalités IA cartographiées (haut risque ?), CSE informé/consulté, salariés informés
• AIPD si traitement à risque, aucun module d'analyse émotionnelle, équipes RH formées

Sanctions, conclusion et recommandations

Sanctions cumulables : RGPD (jusqu'à 20 M€ ou 4 % du CA mondial) ; AI Act (jusqu'à 35 M€ ou 7 % pour les pratiques interdites, 15 M€ ou 3 % pour la non-conformité d'un système à haut risque). S'ajoutent le risque prud'homal et le délit d'entrave en cas de défaut d'information/consultation du CSE.

Recommandation : PayFit offre un socle rassurant (éditeur et hébergement UE). L'essentiel se joue sur la qualification AI Act : identifiez précisément ce que fait chaque fonctionnalité IA. Comparez avec les autres SIRH : Lucca, Personio, Workday. Voir aussi l'IA en recrutement et le comparatif des outils d'IA.