Dans quelques semaines, l'AI Act entre en application complète pour les systèmes à risque élevé — dont font partie la majorité des outils d'IA RH. Ce règlement européen impose des obligations concrètes à toutes les entreprises, y compris les PME. Voici ce que vous devez savoir, et surtout ce que vous devez faire.
L'AI Act est le premier règlement européen encadrant l'intelligence artificielle. Adopté en 2024, il classe les systèmes d'IA en 4 niveaux de risque et impose des obligations proportionnées. C'est la première réglementation mondiale de ce type, et elle s'applique à toute organisation déployant de l'IA sur le territoire européen.
Février 2025 : interdiction des pratiques IA prohibées (scoring social, manipulation).
Août 2025 : obligations de transparence pour les modèles de IA générative.
Août 2026 : application complète pour les systèmes à risque élevé — dont la majorité des outils d'IA RH.
Août 2027 : extension à certains systèmes spécifiques.
Nous sommes à un mois de l'échéance critique pour les RH.
L'AI Act s'applique à toute organisation qui déploie un système d'IA, pas seulement aux éditeurs de logiciels. Une PME de 50 salariés utilisant un outil de tri automatisé de CV est concernée au même titre qu'un grand groupe. La taille de l'entreprise n'exempte pas : seules certaines micro-activités de recherche bénéficient d'allègements.
Les 3 critères qui rendent votre PME concernée : vous utilisez un outil qui prend des décisions ou assiste des décisions sur des personnes (recrutement, évaluation, promotion), vous utilisez un outil d'IA générative (ChatGPT, Copilot, etc.), vous traitez des données personnelles via un système algorithmique.
| Système IA | Niveau de risque | Obligations principales |
|---|---|---|
| Recrutement automatisé (tri CV, scoring candidats) | Risque élevé | Documentation complète, transparence, surveillance humaine, audit des biais. |
| Évaluation des performances par IA | Risque élevé | Information des salariés, droit d'explication, contestation possible. |
| Décisions de promotion automatisées | Risque élevé | Traçabilité des critères, validation humaine obligatoire. |
| Analyse prédictive du turnover | Risque élevé | Qualité des données, information des personnes concernées. |
| Chatbot RH avec conseils individuels | Risque limité | Transparence sur le caractère artificiel de l'interaction. |
| Outils de formation adaptative par IA | Risque élevé | Documentation, évaluation de l'impact sur les parcours. |
| Surveillance des salariés par IA | Risque élevé | Information CSE, proportionnalité, respect RGPD. |
Créez une fiche pour chaque système IA : finalité, données utilisées, logique de décision, performances, limites. Cette documentation doit être tenue à disposition des autorités.
Informez clairement les personnes concernées lorsqu'un système IA est utilisé pour les évaluer, les recruter ou prendre des décisions les concernant. C'est une obligation légale, pas une option.
Un humain doit pouvoir comprendre, contester et outrepasser les décisions assistées par IA. L'IA ne décide jamais seule dans les systèmes à risque élevé.
Garantissez que les données d'entraînement et d'utilisation sont représentatives, exemptes de biais discriminatoires, et documentées. C'est le point le plus technique.
Tenez un registre traçant l'utilisation des systèmes IA : qui a pris quelle décision, sur quelle base, à quelle date. Ce registre sert de preuve en cas de contrôle.
> À noter : Au-delà des amendes, le risque réputationnel est souvent plus grave. Une PME sanctionnée pour usage non conforme d'IA RH s'expose à une crise de confiance avec ses salariés, ses candidats et ses clients.
Listez tous les systèmes IA utilisés dans votre entreprise, y compris les outils SaaS "gratuits" comme ChatGPT ou Copilot. Beaucoup de PME découvrent que leurs équipes utilisent déjà de l'IA sans que la direction le sache.
Appliquez la grille de classification de l'AI Act à chaque système identifié. Priorisez les systèmes à risque élevé : ce sont eux qui imposent les obligations les plus lourdes.
Créez les fiches techniques obligatoires pour chaque système à risque élevé. Finalité, données, logique, performances, limites. Cette étape est la plus chronophage.
Mettez à jour votre DUERP, informez le CSE (consultation obligatoire), diffusez une note interne expliquant quels systèmes IA sont utilisés et pourquoi. La transparence est une obligation, pas une option.
Désignez les personnes habilitées à valider, contester ou outrepasser les décisions assistées par IA. Formez-les. Documentez le processus.
Mettez en place le registre d'activités. Planifiez une réévaluation annuelle de chaque système IA. La conformité n'est pas un état, c'est un processus continu.
Les PME qui anticipent la conformité dès maintenant gagneront la confiance de leurs salariés, de leurs candidats et de leurs clients. Elles seront prêtes pour les contrôles, protégées contre les sanctions, et positionnées comme des employeurs responsables. La conformité n'est pas un coût : c'est un investissement dans votre réputation.
Oui. L'AI Act s'applique à toute organisation qui déploie un système d'IA sur le territoire européen, quelle que soit sa taille. Une PME de 50 salariés utilisant un outil de tri automatisé de CV est concernée au même titre qu'un grand groupe.
Les systèmes IA utilisés pour le recrutement, l'évaluation des performances, les décisions de promotion, l'analyse prédictive du turnover et la surveillance des salariés sont classés à risque élevé par l'AI Act. Ils imposent documentation, transparence et surveillance humaine.
Les sanctions peuvent atteindre 35 millions d'euros ou 7% du chiffre d'affaires mondial pour les pratiques interdites, 15 millions d'euros ou 3% du CA pour les systèmes à risque élevé non conformes, et 7,5 millions d'euros ou 1% du CA pour la fourniture d'informations inexactes aux autorités.
Non. L'AI Act et le RGPD sont complémentaires. Le RGPD encadre la protection des données personnelles, l'AI Act encadre les systèmes d'IA. Une PME utilisant de l'IA RH doit respecter les deux réglementations simultanément.
Commencez par un audit : listez tous les systèmes IA utilisés dans votre entreprise, même les outils SaaS gratuits. Classez-les selon le niveau de risque. Priorisez ensuite les systèmes à risque élevé pour la documentation et la transparence. Un expert peut accélérer cette phase de cadrage.