Conformité du recrutement & des RH : AI Act (haut risque) & RGPD

Pourquoi le secteur « Recrutement & RH » est concerné

L’IA s’est diffusée dans les RH : tri de CV, scoring de candidats, entretiens analysés automatiquement, outils d’évaluation et de gestion de la performance. L’AI Act classe ces usages à haut risque, car ils décident de l’accès à l’emploi et de son évolution — des enjeux forts pour les droits des personnes.

Le risque central est la discrimination : un algorithme entraîné sur des données biaisées peut reproduire, voire amplifier, des discriminations à l’embauche ou dans les carrières. La maîtrise des biais et la supervision humaine sont donc au cœur des obligations.

En parallèle, le RGPD encadre le traitement des données de candidats (dont la conservation des candidatures non retenues) et de salariés, avec une vigilance sur les données sensibles, la surveillance et le profilage.

AI Act — l’IA RH à haut risque

L’AI Act classe à haut risque l’IA destinée au recrutement et à la sélection (diffusion ciblée d’offres, tri et évaluation des candidatures) ainsi qu’à la gestion des travailleurs (décisions de promotion ou de rupture, répartition des tâches, évaluation de la performance). Les obligations sont lourdes : gestion des risques, qualité des données, maîtrise des biais, supervision humaine, transparence, documentation.

L’employeur est déployeur ; l’éditeur de l’outil RH est fournisseur.

Obligations clés

• Qualifier les outils RH à IA (haut risque).
• Maîtrise des biais et qualité des données.
• Supervision humaine des décisions.
• Information des candidats et salariés.
• Documentation et évaluation de conformité (fournisseur).

RGPD — candidats et salariés

L’employeur et le cabinet de recrutement sont responsables de traitement pour les données de candidats et de salariés. Points de vigilance : la base légale, la durée de conservation des candidatures non retenues, la limitation des données collectées (pas de données sensibles non pertinentes), l’encadrement de la surveillance et du profilage.

Obligations clés

• Base légale et information des candidats et salariés.
• Durée de conservation des candidatures encadrée.
• Minimisation (éviter les données sensibles non pertinentes).
• Encadrement de la surveillance et du profilage RH.

Vue comparée des réglementations

Comment ces réglementations s’articulent

RH est le cas d’école du cumul RGPD / AI Act. Un outil de tri de CV combine un traitement de données personnelles (RGPD : base légale, information, durée) et un système à haut risque (AI Act : maîtrise des biais, supervision, documentation). La non-discrimination est l’exigence qui traverse les deux textes.

La répartition des rôles est déterminante : l’éditeur de la solution RH (fournisseur) porte la conformité du système, l’employeur (déployeur) porte l’usage — information, supervision humaine effective et refus des décisions entièrement automatisées à effet significatif sans garanties.

Calendrier d’application

• 1RGPD. En vigueur ; vigilance sur conservation et surveillance.
• 2AI Act. haut risque : Obligations principales à partir du 2 août 2026 pour l’IA RH.

Sanctions encourues

Le cumul est lourd : AI Act jusqu’à 35 M€ ou 7 %, RGPD jusqu’à 20 M€ ou 4 %. À cela s’ajoute le risque prud’homal et le risque de discrimination, qui peut fonder des actions individuelles et collectives.

Un algorithme de recrutement biaisé cumule ainsi manquement AI Act, atteinte au RGPD et discrimination — un risque juridique à trois têtes.

Feuille de route de mise en conformité

• 1Inventorier les outils RH à IA. Recenser tri de CV, scoring, entretiens analysés, évaluation, et qualifier le haut risque.
• 2Maîtriser les biais. Auditer les données et les résultats des outils pour prévenir la discrimination.
• 3Assurer la supervision humaine. Garantir une décision humaine effective, sans automatisation intégrale à effet significatif.
• 4Sécuriser les traitements RGPD. Base légale, information, durées de conservation, minimisation.
• 5Répartir les rôles. Clarifier fournisseur (éditeur) et déployeur (employeur).

Comment Data Comply One accompagne le secteur

Data Comply One couvre RGPD et AI Act sur une plateforme unique, avec DPO externalisé, et accompagne les employeurs, cabinets et éditeurs RH sur l’articulation RGPD / AI Act et la maîtrise des biais.

DCO propose des modèles adaptés (registre RH, information candidats, documentation AI Act pour les outils de recrutement).

Questions fréquentes