IA et ressources humaines : ce que l'AI Act, le RGPD et le Code du travail vous imposent vraiment en 2026 (recrutement, évaluation, surveillance)

Introduction : la date a bougé, votre exposition n'a pas bougé

Depuis l'adoption du paquet « Digital Omnibus » par le Parlement européen le 16 juin 2026 puis par le Conseil le 29 juin 2026, un message circule dans les directions des ressources humaines : les obligations de l'AI Act sur les systèmes à haut risque sont repoussées à décembre 2027, nous avons le temps.

C'est vrai pour une partie du calendrier. C'est dangereux comme conclusion générale.

Parce qu'au moment où les DRH se rassurent sur une échéance européenne lointaine, la CNIL a fait du recrutement sa priorité de contrôle pour 2026. Elle l'a annoncé le 3 avril 2026, et elle a été explicite : ces contrôles préfigurent son futur rôle d'autorité de surveillance du marché dans le champ du « travail » sous l'AI Act. Le régulateur français n'attend pas décembre 2027. Il regarde vos outils de tri de CV, de scoring et d'évaluation maintenant, sur le fondement du RGPD — qui, lui, n'a jamais été repoussé.

Et le Code du travail, encore moins. L'information-consultation du CSE avant la mise en place d'un dispositif de traitement automatisé des données du personnel, l'information individuelle préalable à tout dispositif de contrôle de l'activité, la transparence des méthodes de recrutement : tout cela s'applique déjà, indépendamment de toute date AI Act.

Cet article relie les trois cadres qui s'appliquent simultanément à l'IA dans la fonction RH — AI Act, RGPD et Code du travail — et en tire une méthode opérationnelle.

1. La cartographie des usages de l'IA en RH

L'IA en ressources humaines n'est pas un projet futur. Elle est déjà là, souvent achetée par bloc dans un SIRH ou un ATS, rarement identifiée comme « système d'IA » par ceux qui l'utilisent. Cinq familles d'usage :

• Le sourcing et la diffusion d'offres. Les plateformes qui ciblent la diffusion d'annonces selon les caractéristiques des destinataires. C'est ici que naissent des biais de diffusion invisibles.
• Le tri et le scoring des candidatures. Les ATS qui classent, notent, présélectionnent ou rapprochent un CV d'une fiche de poste. L'usage le plus répandu et le plus contrôlé.
• L'évaluation en entretien ou en test. Analyse automatisée de réponses, tests algorithmiques, analyse d'entretien vidéo. Certains outils basculent dans l'interdit.
• La gestion de la relation de travail. Promotion, mobilité, attribution des tâches selon le comportement, rupture du contrat.
• Le suivi et la surveillance de l'activité. Mesure de la productivité, scoring de performance, détection d'anomalies. Le terrain le plus sensible.

La première erreur, avant même la conformité, est de ne pas savoir combien de ces systèmes tournent dans l'organisation. On ne met pas en conformité ce qu'on n'a pas inventorié — c'est un problème d'inventaire avant d'être un problème de droit.

2. Le premier tri : interdit, haut risque, ou risque limité ?

a) Les pratiques interdites (article 5) — applicables depuis le 2 février 2025

La reconnaissance des émotions au travail. L'article 5, paragraphe 1, point f interdit l'usage de systèmes d'IA destinés à inférer les émotions d'une personne physique sur son lieu de travail. Cela couvre les outils qui prétendent détecter le stress, l'engagement, la sincérité d'un candidat en entretien vidéo. L'interdiction est en vigueur depuis le 2 février 2025 et n'a pas été repoussée par le Digital Omnibus. Une exception étroite existe pour un objectif médical ou de sécurité strict (fatigue d'un conducteur, d'un pilote, d'un opérateur de machine dangereuse) — jamais pour évaluer la « motivation » d'un candidat.

La notation sociale et certaines inférences sensibles sont également interdites.

Sanction : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial.

b) Les systèmes à haut risque (annexe III, point 4)

L'annexe III, point 4 classe à haut risque les systèmes destinés :

• au recrutement ou à la sélection (publier des offres ciblées, analyser et filtrer les candidatures, évaluer les candidats) ;
• aux décisions affectant les conditions de la relation de travail, la promotion ou la résiliation ;
• à l'attribution des tâches selon le comportement individuel ou des traits de personnalité ;
• au suivi et à l'évaluation des performances et du comportement des travailleurs.

En clair : la quasi-totalité des outils d'IA RH « utiles » tombe dans le haut risque. Le haut risque n'interdit pas — il oblige.

c) Le risque limité (article 50)

Les systèmes qui interagissent avec des personnes (chatbots RH) doivent être signalés comme tels. Un candidat qui échange avec un « assistant de recrutement » doit savoir qu'il parle à une machine.

3. Ce que le Digital Omnibus a changé — et ce qu'il n'a pas changé

Ce qu'il a changé. Adopté le 16 juin 2026 (Parlement) et le 29 juin 2026 (Conseil), il reporte les obligations sur les systèmes à haut risque de l'annexe III au 2 décembre 2027 (2028 pour l'IA embarquée de l'annexe I). Les obligations de transparence de l'article 50 sont décalées au 2 décembre 2026.

Ce qu'il n'a PAS changé :

1. L'article 5 (pratiques interdites) reste applicable depuis février 2025.

2. L'article 4 (maîtrise de l'IA) reste applicable depuis février 2025.

3. Le RGPD s'applique intégralement, sans report. C'est le fondement des contrôles CNIL 2026.

4. Le Code du travail s'applique intégralement, sans report.

Le report vous donne du temps pour la documentation lourde du haut risque, pas pour l'exposition immédiate.

4. Le RGPD : le cadre qui mord aujourd'hui

La décision individuelle automatisée (article 22). Un rejet de candidature décidé par un algorithme sans intervention humaine réelle est, sauf exception, illicite. Attention au piège : une « validation humaine » qui entérine le score de la machine n'est pas une intervention humaine au sens du RGPD.

La minimisation et la finalité. On ne collecte que les données pertinentes pour évaluer l'aptitude professionnelle. Un outil qui aspire les réseaux sociaux ou infère l'origine, la santé ou les opinions dépasse la finalité.

La transparence. Le candidat et le salarié doivent être informés de l'existence du traitement, de sa logique, et de leurs droits — dont celui de demander une intervention humaine.

L'AIPD (article 35). Un traitement d'IA RH à grande échelle portant sur l'évaluation de personnes remplit plusieurs critères de la liste EDPB : l'analyse d'impact est obligatoire avant la mise en œuvre.

5. Le Code du travail : l'étage que l'AI Act ne remplace pas

L'information-consultation du CSE. Déployer un outil d'IA d'évaluation ou de surveillance sans consulter le CSE au préalable expose à un délit d'entrave et à la suspension du dispositif (art. L.2312-38).

L'information individuelle préalable. Aucun dispositif de contrôle de l'activité n'est opposable au salarié s'il n'en a pas été informé (art. L.1222-4). Un scoring de productivité déployé en catimini est inopposable.

La transparence des méthodes de recrutement. Les méthodes d'aide au recrutement doivent être portées à la connaissance du candidat et être pertinentes au regard de la finalité.

La convergence avec l'article 26. En décembre 2027, l'AI Act imposera au déployeur d'informer les représentants des travailleurs avant la mise en service d'un système à haut risque. Anticiper le dialogue social français, c'est se préparer à l'AI Act.

6. La CNIL, autorité de surveillance du marché « travail »

Sa priorisation du recrutement en 2026 n'est pas un contrôle RGPD isolé : c'est un banc d'essai de sa future compétence AI Act. Les entreprises contrôlées cette année le sont sur le fondement du RGPD, mais avec une grille de lecture qui préfigure les exigences de l'annexe III. Se mettre en conformité RGPD aujourd'hui, c'est construire l'essentiel de la conformité AI Act de demain.

7. La méthode SiyadAI en 7 étapes

1. Inventorier tous les systèmes d'IA RH. Du sourcing à la surveillance, en incluant les fonctions d'IA embarquées dans les logiciels RH généralistes, souvent activées par défaut.

2. Qualifier chaque système : interdit / haut risque / limité. Documenter la qualification et sa justification.

3. Éliminer l'interdit immédiatement. Tout module d'analyse émotionnelle doit être désactivé sans délai.

4. Sécuriser le socle RGPD. Base légale, finalité, minimisation, durées de conservation, intervention humaine réelle (art. 22), AIPD documentée.

5. Organiser le dialogue social. Informer et consulter le CSE avant tout déploiement ; informer individuellement les personnes. Conserver la trace.

6. Documenter la supervision humaine et la journalisation. Qui supervise, comment un score peut être contredit, comment les décisions sont tracées.

7. Maintenir un registre vivant et un plan de montée en compétence. Rejouer la grille à chaque nouvel outil.

Cinq de ces sept étapes sont des problèmes d'inventaire et de traçabilité.

8. Cas concret : une ETI de 900 salariés

Une ETI industrielle a déployé un ATS doté d'un moteur de matching qui score et classe les candidatures, plus un module d'entretien vidéo asynchrone qui « analyse l'engagement ».

Diagnostic. Le module d'analyse d'engagement infère un état émotionnel : interdit (art. 5), à couper immédiatement. Le moteur de scoring : haut risque (annexe III.4). La présélection s'appuie exclusivement sur le score : violation probable de l'article 22. Aucune AIPD : manquement RGPD. CSE jamais consulté : risque de délit d'entrave et inopposabilité. Candidats non informés : manquement à la transparence.

Ordre des actions. (1) Couper le module émotionnel le jour même. (2) Réintroduire une vraie main humaine capable d'écarter le score. (3) Lancer l'AIPD. (4) Inscrire l'outil à l'ordre du jour du prochain CSE. (5) Mettre à jour la mention d'information candidats. (6) Documenter le tout dans le registre.

Résultat : l'entreprise passe d'une exposition « pratique interdite + décision automatisée illicite + défaut de dialogue social » à un dossier défendable — sans changer d'outil, en changeant de gouvernance.

9. Sources officielles

• Règlement (UE) 2024/1689 (AI Act) — articles 4, 5, 6, 26, 50 ; annexe III, point 4.
• Digital Omnibus — adoption : Parlement européen le 16 juin 2026, Conseil le 29 juin 2026.
• CNIL — thématiques de contrôle prioritaires 2026 (recrutement), communication du 3 avril 2026.
• RGPD — articles 22 (décision automatisée) et 35 (AIPD).
• EDPB / CEPD — lignes directrices sur la prise de décision automatisée.
• Code du travail — art. L.1221-8, L.1221-9, L.1222-4, L.2312-38.

Conclusion : le bon réflexe n'est pas d'attendre 2027, c'est d'inventorier en 2026

L'IA RH est le seul domaine où les trois cadres se superposent parfaitement, et où la partie la plus lourde de l'AI Act est repoussée tandis que les deux autres mordent déjà. Le report a créé une illusion de répit ; le contrôle CNIL 2026 la dissipe.

Le premier geste n'est pas juridique, il est cartographique : savoir combien de systèmes d'IA tournent dans votre fonction RH, où, et dans quelle case ils tombent.