L’essor des outils d’IA dans le recrutement, l’évaluation, la mobility interne ou la formation oblige les fonctions RH à changer de posture. Il ne s’agit plus seulement d’“utiliser un outil”, mais de qualifier juridiquement le système, d’identifier les données qu’il traite et de vérifier si ses effets peuvent toucher les droits des personnes. Dans cette logique, l’IA Act et le RGPD ne se concurrencent pas : ils se complètent, l’un encadrant le système, l’autre encadrant la donnée.
Ce que change l’IA Act
L’IA Act repose sur une logique de proportionnalité : plus le risque est élevé, plus les exigences sont fortes. Le texte distingue notamment les systèmes interdits, les systèmes à haut risque, les systèmes à risque limité et les systèmes à risque minimal. Pour les RH, la vigilance est maximale dès qu’un système intervient dans des processus sensibles liés à l’accès à l’emploi, à l’évolution de carrière ou à l’évaluation des personnes.
En pratique, cela signifie qu’un outil RH n’est pas évalué uniquement pour sa performance, mais pour son impact potentiel sur la santé, la sécurité, les droits fondamentaux et la non-discrimination. Le règlement vise donc autant la conception du système que son usage réel dans l’entreprise. C’est un point essentiel pour les équipes RH : un outil “d’aide” peut basculer dans une catégorie à obligations renforcées dès lors qu’il influence une décision humaine importante.
Classer les IA RH
La classification des systèmes RH doit partir de l’usage concret, pas du discours commercial du fournisseur. Le tri de CV, l’analyse faciale lors d’entretiens vidéo, le scoring de performance ou les outils d’aide aux décisions de promotion et de licenciement sont typiquement considérés comme à haut risque dans les sources consultées. À l’inverse, un chatbot RH de premier niveau, un générateur de descriptifs de poste ou un outil d’aide à la formation relèvent plutôt d’un risque limité.
Les usages les plus anodins, comme la correction orthographique, la traduction de contenus RH ou certains filtres anti-spam, sont généralement rangés en risque minimal. L’enjeu pratique consiste donc à documenter le degré d’autonomie du système, le type de données utilisées, le public concerné et l’effet attendu sur la décision finale. Dès qu’un système réalise du profilage de personnes physiques dans un contexte RH, la prudence doit être maximale.
S’entraîner à catégoriser
Pour une équipe RH, la meilleure méthode consiste à travailler par cas d’usage. Voici un exercice simple de catégorisation :
• Un chatbot interne qui répond aux questions sur les congés : risque limité.
• Un outil qui rédige une fiche de poste à partir d’un intitulé métier : risque limité ou minimal selon le niveau d’autonomie et l’absence de décision individuelle.
• Un mateur qui classe automatiquement les candidatures et écarte certains CV : haut risque.
• Une solution qui analyse la vidéo d’un entretien pour inférer des traits comportementaux : haut risque.
• Un outil de recommandation de formation basé sur l’historique de parcours, sans décision automatique : risque limité, à condition de conserver un contrôle humain réel.
L’intérêt de cet exercice est de forcer l’équipe à raisonner en termes de finalité, d’effet sur la personne et de niveau d’automatisation. Ce réflexe devient indispensable car le même outil peut changer de catégorie selon son usage exact, ses données d’entrée et son degré d’influence sur la décision finale.
Articuler IA Act et RGPD
Le RGPD s’applique dès qu’un système traite des données personnelles, ce qui est presque toujours le cas en RH. Cela implique notamment de définir une finalité précise, une base légale, une durée de conservation, et de tenir à jour le registre des traitements. Les pratiques de prudence évoquées dans les sources sont claires : ne pas injecter de données identifiantes dans un LLM public, utiliser des alias, et encadrer strictement les données collaborateur utilisées.
La complémentarité entre les deux textes est forte : l’IA Act demande de maîtriser le système, tandis que le RGPD impose de maîtriser la donnée et les droits des personnes. En RH, cela signifie qu’un projet d’IA doit être vérifié sur deux plans à la fois : d’une part la conformité du système au regard de son niveau de risque, d’autre part la conformité du traitement au regard des exigences du RGPD. Certaines situations appellent aussi un contrôle humain effectif, notamment lorsque l’outil peut produire des effets juridiques ou quasi juridiques sur la personne.
Bonnes pratiques RH
Avant tout déploiement, il faut qualifier le cas d’usage, documenter les données utilisées, vérifier le rôle exact du fournisseur et identifier les impacts possibles sur les candidats ou salariés. Il est aussi fortement recommandé d’informer les personnes concernées, de prévoir une intervention humaine significative, et d’anticiper la consultation des instances représentatives lorsque l’outil modifie les conditions de travail ou les processus RH. Pour les projets sensibles, la conformité doit être pensée dès la conception, et non après le démarrage.
En résumé, l’enjeu n’est pas seulement d’“autoriser” ou d’“interdire” l’IA en RH. Il s’agit de bâtir une gouvernance capable de classer les cas d’usage, de sécuriser les traitements et de maintenir la confiance des collaborateurs comme des candidats. C’est cette combinaison entre innovation, traçabilité et contrôle humain qui fera la différence dans les organisations les plus matures.