SAP SuccessFactors et le RGPD / AI Act : le HCM à l'épreuve du haut risque

Présentation et données traitées

SuccessFactors est la solution de gestion du capital humain (HCM) de SAP : recrutement, performance, succession, formation, rémunération. Ses fonctions d'IA (dont l'assistant Joule) assistent le tri, l'analyse et les recommandations.

La suite traite des données de candidats et de salariés à grande échelle : CV, évaluations, objectifs, rémunération, plans de succession. SAP propose des centres de données dans l'UE ; il convient de confirmer l'activation et les sous-traitants.

Les risques pour votre entreprise

Le périmètre HCM cumule plusieurs usages à haut risque (recrutement, évaluation, décisions de carrière). Sans gouvernance stricte des accès et des usages, le risque est majeur.

Principaux risques RGPD :

• Recrutement/évaluation/succession : profilage et décisions (article 22).
• Périmètre large : gouvernance des accès critique.
• Biais ; information des personnes ; conservation.
• Information-consultation du CSE (article L2312-38) et proportionnalité (article L1121-1).

Les obligations RGPD

1. Vérifier le DPA SAP ; activer les centres de données UE ; contrôler les sous-traitants.
2. Encadrer les usages à haut risque (transparence, supervision, contestation).
3. Auditer les biais ; informer les personnes ; informer-consulter le CSE.
4. Inscrire au registre ; AIPD (fort probable).
5. Impliquer le DPO ; former les équipes RH. Pas de DPO ? Notre DPO externalisé pilote registre, AIPD et encadrement de vos outils d'IA.

Les obligations AI Act

L'Annexe III du règlement (UE) 2024/1689 classe à HAUT RISQUE la quasi-totalité des usages RH algorithmiques : diffusion ciblée d'offres, tri et évaluation des candidatures, décisions de recrutement, d'affectation, de promotion ou de fin de contrat, suivi/évaluation de la performance. Pleine application le 2 août 2026. Le déployeur doit : notice, supervision humaine effective, surveillance, logs, information des personnes et information des travailleurs et représentants avant mise en service (article 26), FRIA (article 27). Interdiction (article 5, depuis le 2 février 2025) : reconnaissance des émotions au travail, notation sociale, scraping facial non ciblé. Voir le guide AI Act.

Risques AI Act : multiples usages à haut risque non qualifiés ; défaut d'information CSE/salariés ; analyse émotionnelle (interdite).

Cybersécurité et bonnes pratiques

Risques cyber : concentration de données RH sensibles ; accès transverses à cloisonner ; NIS 2 selon la taille.

Bonnes pratiques : activer l'hébergement UE, DPA, chantier gouvernance des accès ; cartographier et qualifier chaque usage IA (haut risque ?) ; supervision, contestation, audit des biais, information CSE ; charte IA, registre, formation IA.

Checklist :

• DPA SAP + centres de données UE activés, usages à haut risque qualifiés et encadrés, gouvernance des accès (moindre privilège)
• Audit des biais, CSE informé/consulté, AIPD réalisée, personnes informées
• Aucun module d'analyse émotionnelle, équipes RH formées

Sanctions, conclusion et recommandations

Sanctions cumulables : RGPD (jusqu'à 20 M€ ou 4 %) ; AI Act (jusqu'à 35 M€ ou 7 % pour les pratiques interdites, 15 M€ ou 3 % pour un système à haut risque non conforme, 7,5 M€ ou 1 % pour informations inexactes). S'ajoutent risque prud'homal et délit d'entrave (CSE).

Recommandation : SuccessFactors bénéficie de l'ancrage européen de SAP, mais son périmètre HCM concentre plusieurs usages à haut risque. Activez l'UE, gouvernez les accès, qualifiez chaque usage, auditez les biais, informez le CSE et réalisez une AIPD. Comparez avec Workday, Personio. Voir le comparatif des outils d'IA.