L'IA Act, le règlement européen sur l'intelligence artificielle, classe à haut risque les systèmes d'IA utilisés pour recruter : offres ciblées, tri des candidatures, évaluation des candidats. Pour le cabinet ou l'équipe RH qui les utilise, les obligations s'appliquent le 2 décembre 2027 : l'omnibus numérique, en vigueur depuis le 27 juillet 2026, a repoussé la date du 2 août 2026.
Cet article dit ce que le règlement range dans le haut risque, ce qui revient à l'éditeur du logiciel et ce qui revient à celui qui l'utilise, ce qui s'applique déjà, et ce qu'il reste à préparer.
Calendrier vérifié le 11 novembre 2026, sur le règlement (UE) 2026/1744 du 8 juillet 2026 (omnibus numérique sur l'IA) et la page de la Commission européenne sur l'IA Act, mise à jour le 20 octobre 2026. Cet article ne remplace pas un conseil juridique.
Le calendrier de l'IA Act pour le recrutement
Le règlement (UE) 2024/1689 est entré en vigueur le 1er août 2024, mais ses règles s'appliquent par étapes. Pour le recrutement, trois dates comptent : 2025 pour les interdictions, 2026 pour la transparence, et décembre 2027 pour les obligations du haut risque, après le report décidé par l'omnibus numérique.
| Date | Ce qui s'applique |
|---|---|
| 1er août 2024 | Entrée en vigueur du règlement |
| 2 février 2025 | Pratiques interdites (dont la reconnaissance des émotions au travail) et maîtrise de l'IA |
| 2 août 2025 | Règles des modèles d'IA à usage général et gouvernance |
| 2 août 2026 | Transparence (article 50) : dire à une personne qu'elle échange avec une IA |
| 2 décembre 2027 | Systèmes à haut risque de l'annexe III, dont le recrutement |
| 2 août 2028 | Systèmes à haut risque intégrés à des produits réglementés (annexe I) |
Le texte consolidé est sur EUR-Lex (règlement (UE) 2024/1689).
Ce que l'omnibus numérique a changé
La Commission a proposé le 19 novembre 2025 de simplifier la mise en œuvre de l'IA Act. Le texte a été adopté sous la forme du règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel le 24 juillet 2026, et il est entré en vigueur le 27 juillet 2026.
Pour le recrutement, son effet principal est le report : les obligations du haut risque de l'annexe III passent du 2 août 2026 au 2 décembre 2027. Les interdictions déjà en vigueur ne bougent pas. L'omnibus a aussi allégé l'enregistrement des systèmes et reformulé l'article 4 : fournisseurs et déployeurs prennent des mesures pour développer la maîtrise de l'IA des personnes qui utilisent ces systèmes pour leur compte.
Ce que l'annexe III range dans le haut risque
Le point 4 de l'annexe III vise l'emploi. Il classe à haut risque les systèmes d'IA destinés au recrutement ou à la sélection de personnes, en particulier pour publier des offres d'emploi ciblées, analyser et filtrer les candidatures, et évaluer les candidats. Il vise aussi la promotion, la fin d'un contrat et l'évaluation de la performance.
Concrètement, une fonction d'IA qui note un candidat face à un poste, classe des candidatures ou les filtre entre dans ce champ. Un fichier de candidats, une recherche par mots-clés ou un agenda d'entretiens, sans IA qui évalue, n'y entrent pas.
L'exception de l'article 6, et sa limite
L'article 6 prévoit une sortie : un système de l'annexe III n'est pas à haut risque s'il n'influence pas réellement la décision, par exemple s'il accomplit une tâche procédurale étroite ou une tâche préparatoire. Le fournisseur qui s'en prévaut doit documenter son analyse avant la mise sur le marché.
La limite est écrite dans le même article : un système de l'annexe III qui fait du profilage de personnes est toujours à haut risque. Évaluer un candidat sur ses aptitudes professionnelles est, en règle générale, du profilage au sens du RGPD. Un score de candidat a donc peu de chances d'échapper au haut risque.
Fournisseur ou déployeur : qui porte quoi
Le règlement répartit les obligations entre deux rôles. Le fournisseur développe le système d'IA et le met sur le marché sous son nom : c'est l'éditeur du logiciel. Le déployeur l'utilise sous sa propre autorité : c'est le cabinet de recrutement ou l'entreprise qui recrute. La plupart des obligations techniques pèsent sur le premier, l'usage sur le second.
Le fournisseur conçoit un système qui permet le contrôle humain et garde des journaux, le documente, fait évaluer sa conformité, l'enregistre dans la base de l'Union et remet au déployeur une notice d'utilisation.
Le déployeur, selon l'article 26 :
- utilise le système conformément à la notice du fournisseur ;
- confie le contrôle humain à des personnes qui ont la compétence, la formation et l'autorité nécessaires ;
- veille à ce que les données qu'il y met soient pertinentes et représentatives, quand il les contrôle ;
- surveille le fonctionnement du système, prévient le fournisseur et suspend l'usage s'il présente un risque ;
- garde les journaux générés par le système au moins six mois ;
- informe les représentants du personnel et les salariés concernés avant une mise en service sur le lieu de travail, quand il est employeur ;
- informe les personnes visées par une décision prise ou aidée par le système.
L'article 86 ajoute un droit pour le candidat : obtenir du déployeur une explication claire du rôle de l'IA dans une décision qui l'affecte.
Quand un cabinet devient fournisseur
L'article 25 fait d'un déployeur un fournisseur dans trois cas : il met son nom ou sa marque sur un système à haut risque, il le modifie de façon substantielle, ou il change la destination d'un système d'IA qui devient alors à haut risque. Utiliser un assistant d'IA généraliste pour classer des candidatures peut relever de ce dernier cas : vérifiez-le avec votre conseil avant d'en faire une méthode.
Ce qui s'applique déjà en recrutement
Plusieurs règles de l'IA Act sont déjà en vigueur pour un recruteur. Depuis le 2 février 2025, l'article 5 interdit la reconnaissance des émotions sur le lieu de travail, et l'article 4 attend des équipes qu'elles maîtrisent l'IA qu'elles utilisent. Depuis le 2 août 2026, l'article 50 impose qu'une personne sache qu'elle échange avec une IA.
La reconnaissance des émotions est interdite dès le recrutement. Les lignes directrices de la Commission sur les pratiques interdites le disent en toutes lettres : la notion de lieu de travail couvre les candidats pendant la sélection, et utiliser la reconnaissance des émotions pendant le recrutement est interdit. Un outil d'entretien vidéo qui déduit le stress ou l'enthousiasme d'un candidat à partir de son visage ou de sa voix tombe sous cette interdiction.
Un assistant conversationnel se présente comme une IA. Un agent qui répond aux candidats sur un site carrière ou par message doit être conçu pour que la personne sache qu'elle échange avec une IA.
Les sanctions prévues
L'article 99 fixe des plafonds d'amende par catégorie de manquement. Le plus élevé vise les pratiques interdites : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial. Les manquements du déployeur à l'article 26 vont jusqu'à 15 millions d'euros ou 3 %. Pour une PME, le plafond retenu est le plus bas des deux.
Les sanctions sont prononcées par les autorités nationales que chaque État désigne. Elles s'ajoutent à celles du RGPD, qui restent applicables à toute donnée de candidat.
IA Act et RGPD : les deux s'appliquent
L'IA Act ne remplace aucune règle du RGPD. Un outil de tri par IA reste soumis à l'article 22, qui interdit en principe d'écarter un candidat par une décision entièrement automatisée, et à l'obligation d'informer chaque candidat de ce que vous faites de ses données, tri automatisé compris.
Le détail est dans notre article RGPD en recrutement : combien de temps garder un CV, et que dire au candidat.
Ce qu'un cabinet peut préparer d'ici décembre 2027
Le report laisse un peu plus d'un an. Le travail tient en cinq gestes, à faire avec votre DPO ou votre conseil, et il commence par savoir quels outils d'IA votre équipe utilise vraiment, y compris ceux qu'elle a adoptés sans le dire.
- Inventorier les usages de l'IA dans le recrutement : tri, score, rédaction, entretien, assistant conversationnel, et l'outil qui porte chacun.
- Qualifier chaque usage : interdit, haut risque, transparence seule, ou hors champ.
- Demander à chaque éditeur sa notice d'utilisation, sa qualification du système et la liste de ses fournisseurs d'IA.
- Nommer qui exerce le contrôle humain et le former : qui relit les candidatures qu'un outil place en bas de liste, qui peut suspendre l'outil.
- Mettre à jour l'information des candidats et, si vous êtes employeur, prévoir l'information des représentants du personnel.
Pour comparer les outils sur ces points, voir notre checklist du logiciel de recrutement conforme.
Dans Marvin
Marvin vous aide à préparer ces étapes, en documentant ses fonctions d'IA et en laissant la décision à l'équipe. La qualification de vos usages et la conformité de votre organisation restent de votre responsabilité, avec votre DPO ou votre conseil.
- La fiche du système d'IA, sur demande. Les fournisseurs d'IA et la fiche du système d'IA font partie du Trust Pack, avec le DPA, les mesures de sécurité et le plan de continuité. Les fournisseurs sont aussi nommés sur la page IA responsable.
- Aucun entraînement sur vos données. Marvin n'utilise pas vos données pour entraîner des modèles d'IA ; ses fournisseurs travaillent sur des offres API qui excluent par défaut l'entraînement.
- Un envoi validé par vous, par défaut. Quand l'assistant IA prépare un message ou une inscription en séquence, vous voyez l'aperçu et vous validez avant que Marvin n'exécute.
- Un score ne fait refuser personne. Une automatisation fondée sur un score peut faire avancer un candidat vers une étape en cours, au-dessus d'un seuil que vous fixez ; sous ce seuil, rien ne se passe. Elle ne peut ni le refuser ni le passer en placé.
- L'historique de chaque fiche garde les actions de l'équipe, avec leur auteur et leur heure.
Les données sont hébergées en France, chez Scaleway à Paris ; les sous-traitants, fournisseurs d'IA compris, sont listés dans le DPA. Voir la page sécurité et Trust Pack.
FAQ
Quand l’IA Act s’applique-t-il aux outils de recrutement ?
Les obligations des systèmes à haut risque de l'annexe III, dont le recrutement, s'appliquent à partir du 2 décembre 2027. L'omnibus numérique sur l'IA, entré en vigueur le 27 juillet 2026, a repoussé cette date, fixée auparavant au 2 août 2026. Les pratiques interdites s'appliquent, elles, depuis le 2 février 2025.
Un logiciel de recrutement est-il un système d’IA à haut risque ?
Pas en tant que tel. L'annexe III vise les systèmes d'IA destinés à recruter ou sélectionner des personnes, notamment pour diffuser des offres ciblées, analyser et filtrer des candidatures ou évaluer des candidats. Une fonction d'IA qui classe ou note des candidats entre dans ce champ ; un fichier de candidats sans IA n'y entre pas.
Qui est le déployeur et qui est le fournisseur ?
Le fournisseur développe le système d'IA et le met sur le marché sous son nom : c'est l'éditeur du logiciel. Le déployeur l'utilise sous sa propre autorité dans son activité : c'est le cabinet ou l'entreprise qui recrute. Un déployeur devient fournisseur s'il met son nom sur le système, le modifie substantiellement ou change sa destination.
Quelles obligations pour un cabinet qui utilise un outil d’IA à haut risque ?
L'utiliser conformément à sa notice, confier le contrôle humain à des personnes compétentes, veiller à la pertinence des données qu'il y met, surveiller son fonctionnement, garder ses journaux au moins six mois, informer les candidats concernés et, pour un employeur, les représentants du personnel avant une mise en service sur le lieu de travail.
Qu’est-ce qui est déjà interdit en recrutement ?
Depuis le 2 février 2025, l'article 5 interdit les systèmes d'IA qui déduisent les émotions d'une personne sur le lieu de travail, sauf raisons médicales ou de sécurité. Les lignes directrices de la Commission précisent que cela vaut dès le processus de recrutement : analyser les émotions d'un candidat en entretien vidéo est interdit.
Quelles sanctions prévoit l’IA Act ?
Jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour une pratique interdite, et jusqu'à 15 millions d'euros ou 3 % pour un manquement aux obligations du déployeur. Pour une PME, c'est le plus bas des deux montants qui sert de plafond.