Rippling et le RGPD / AI Act : quand RH, IT et IA se combinent
·
Mis à jour le ·
Par 
Aymeric Guyard · 9 min de lecture
En bref
- Rippling est une plateforme américaine unifiant RH, paie et IT (appareils, accès), dotée de fonctions d'IA. Sa force — tout relier — est aussi son risque : concentration de données RH et IT (vue panoptique sur les salariés), transferts hors UE (CLOUD Act) et usages à haut risque (recrutement, évaluation) voire monitoring. DPA, encadrement des transferts, proportionnalité du monitoring (article L1121-1) et information du CSE s'imposent.
Présentation et données traitées
Rippling (éditeur américain) unifie la gestion RH (paie, avantages), l'informatique (appareils, applications, accès) et des workflows, avec des fonctions d'IA d'automatisation et d'analyse.
Rippling traite des données RH (identité, paie, contrats) et IT (appareils, accès, activité), ce qui offre une vue très complète sur les salariés. Éditeur américain : exposition au CLOUD Act.
Les risques pour votre entreprise
La combinaison RH + IT crée un risque de surveillance des salariés (activité, appareils) qui doit rester proportionnée. S'ajoutent les transferts hors UE et les usages RH à haut risque.
Principaux risques RGPD :
- Monitoring des salariés (IT) : proportionnalité (article L1121-1), information, minimisation.
- Transfert hors UE (CLOUD Act).
- Usages RH à haut risque (recrutement, évaluation).
- Information-consultation du CSE (article L2312-38).
Les obligations RGPD
- Signer le DPA Rippling ; encadrer les transferts (SCC) ; vérifier la localisation.
- Limiter et justifier le monitoring (proportionnalité, information des salariés).
- Encadrer les usages RH à haut risque ; informer-consulter le CSE.
- Inscrire au registre ; AIPD (monitoring + usages RH).
- Impliquer le DPO ; former les équipes. Pas de DPO ? Voir notre DPO externalisé.
Les obligations AI Act
L'Annexe III classe à HAUT RISQUE les usages RH algorithmiques (recrutement, évaluation, suivi de performance). Pleine application le 2 août 2026. Obligations du déployeur : notice, supervision humaine, logs, information des travailleurs/représentants avant mise en service (article 26), FRIA (article 27). Interdiction : reconnaissance des émotions et analyse comportementale à des fins d'inférence au travail. Voir le guide AI Act.
Risques AI Act : usages RH à haut risque non qualifiés ; monitoring assimilable à une évaluation ; défaut d'information CSE/salariés ; modules d'analyse émotionnelle/comportementale (interdits).
Cybersécurité et bonnes pratiques
Risques cyber : concentration RH + IT = cible critique et vue panoptique ; transfert hors UE ; gestion des accès à sécuriser ; NIS 2 selon la taille.
Bonnes pratiques : encadrer les transferts (SCC), limiter strictement le monitoring (proportionnalité) ; qualifier les usages RH (haut risque ?), supervision humaine ; information CSE/salariés, minimisation des données IT ; charte IA, registre, formation IA, AIPD.
Checklist :
- DPA Rippling + transferts encadrés (SCC), monitoring limité et justifié (proportionnalité), salariés informés du monitoring
- Usages RH à haut risque qualifiés, CSE informé/consulté, AIPD réalisée, minimisation des données IT
- Aucun module d'analyse émotionnelle, équipes formées
Sanctions, conclusion et recommandations
Sanctions cumulables : RGPD (jusqu'à 20 M€ ou 4 %) ; AI Act (jusqu'à 35 M€ ou 7 % / 15 M€ ou 3 % / 7,5 M€ ou 1 %). S'ajoutent risque prud'homal et délit d'entrave (CSE).
Recommandation : Rippling est puissant par son unification RH-IT, mais cette vue complète sur les salariés exige une discipline stricte : proportionnalité du monitoring, encadrement des transferts, qualification des usages RH à haut risque, information du CSE et AIPD. Comparez avec Deel et Workday. Voir le comparatif des outils d'IA.
Passez à l’action
Évaluez le niveau de risque RGPD et AI Act de vos usages de Rippling avec l'auto-diagnostic Data Comply One.
Découvrir le logiciel AI Act →Tester ma conformité gratuitement