AI Act et données salariés : croisement avec le RGPD

AI Act et données salariés : ce que le croisement avec le RGPD change vraiment

Utiliser l'IA sur des données de salariés vous expose à deux réglementations qui ne disent pas la même chose et ne s'appliquent pas au même moment. Le RGPD et le code du travail encadrent déjà vos traitements RH, aujourd'hui, sans délai. L'AI Act ajoute une couche d'obligations dont la plus lourde, celle des systèmes à haut risque, ne s'appliquera que le 2 décembre 2027. En pratique, le risque immédiat pour une PME ne vient presque jamais de l'AI Act.

C'est le point que la plupart des contenus sur le sujet manquent. Beaucoup d'articles publiés en 2025 annoncent encore une échéance en août 2026 pour les systèmes IA à haut risque en emploi. Cette date n'existe plus. Le règlement (UE) 2026/1744, dit Digital Omnibus sur l'IA, est entré en vigueur le 27 juillet 2026 et a repoussé les obligations des systèmes autonomes listés à l'annexe III au 2 décembre 2027. Si vous avez bâti votre plan de conformité RH sur l'ancien calendrier, il faut le reprendre. Pour la vue d'ensemble, notre guide de conformité AI Act pour PME détaille le cadre complet ; ici, nous nous concentrons sur le point précis où l'IA touche les données de vos salariés.

Ce qui s'applique déjà, et ce qui attend décembre 2027

Trois blocs d'obligations sont en vigueur aujourd'hui, et aucun ne dépend du calendrier des systèmes à haut risque.

Le premier bloc, c'est le RGPD. Il ne s'est jamais arrêté. Toute donnée de salarié ou de candidat passée dans un outil d'IA reste un traitement de données personnelles, avec base légale, finalité, durée de conservation, registre des traitements et droits des personnes. L'article 22 du RGPD encadre en plus les décisions entièrement automatisées, ce qui touche directement le tri de candidatures.

Le deuxième bloc, c'est le code du travail. Trois articles structurent tout dispositif qui observe l'activité des salariés : l'article L.1121-1 (proportionnalité des restrictions aux libertés), l'article L.1222-4 (information des salariés) et l'article L.2312-8, II, 4° (information du CSE avant la mise en œuvre de nouvelles technologies de contrôle). Ces textes sont antérieurs à l'IA et s'appliquent sans attendre quoi que ce soit.

Le troisième bloc vient de l'AI Act lui-même, mais pas de la partie haut risque. L'article 4, applicable depuis le 2 février 2025, impose un niveau suffisant de maîtrise de l'IA aux personnes qui utilisent ces systèmes pour votre compte. Cela inclut votre équipe RH. Notre article sur l'article 4 et la formation IA obligatoire précise ce que « niveau suffisant » veut dire concrètement. L'article 5, sur les pratiques interdites, s'applique aussi depuis février 2025 et concerne directement le travail : la reconnaissance des émotions sur le lieu de travail est interdite, sauf raisons médicales ou de sécurité.

Pour le détail de toutes les échéances, voir notre calendrier complet de l'AI Act.

Quels usages IA en RH basculent réellement en haut risque

L'annexe III point 4 du règlement ne visait pas « l'IA en RH » mais quatre familles d'usages précises, et la plupart des outils utilisés en PME n'en font pas partie.

Sont classés à haut risque les systèmes destinés au recrutement ou à la sélection de personnes, notamment pour publier des offres ciblées, analyser et filtrer les candidatures et évaluer les candidats. Sont également visés les systèmes servant à décider d'une promotion ou d'un licenciement, à attribuer des tâches sur la base du comportement individuel ou de traits de personnalité, et à suivre ou évaluer les performances et le comportement dans le cadre de la relation de travail.

La ligne de partage tient au rôle du système, pas à la technologie. Demander à un assistant conversationnel de reformuler une offre d'emploi ne produit aucune évaluation de personne : ce n'est pas un usage haut risque. Faire résumer par le même outil les notes d'un entretien que le recruteur a lui-même prises, non plus. En revanche, brancher un outil qui attribue un score de compatibilité à chaque CV et remonte un classement, même si un humain valide ensuite, vous fait entrer dans le champ de l'annexe III. Le texte parle de systèmes destinés à filtrer et évaluer les candidats, sans exiger que la décision finale soit automatisée. Notre article sur les systèmes IA à haut risque détaille les critères de qualification.

Trois cas qui font hésiter en pratique :

• Un ATS qui trie par mots-clés sans modèle d'IA : ce n'est pas un système d'IA au sens du règlement, donc pas de qualification annexe III. Mais le RGPD et l'article 22 s'appliquent pleinement si le tri écarte des candidatures sans intervention humaine.
• Un outil de mesure de productivité : un logiciel qui compte le nombre de dossiers traités et le transmet de façon transparente au manager sur une base trimestrielle est considéré par la CNIL comme proportionné. Le même comptage en temps réel, salarié par salarié, bascule vers la surveillance constante et devient excessif.
• Un assistant IA généraliste utilisé par un manager pour rédiger une évaluation annuelle : ce n'est pas le système qui évalue, c'est le manager. Mais si le contenu de l'évaluation est généré à partir de données de performance importées dans l'outil, vous créez un traitement non déclaré et, potentiellement, un usage d'évaluation au sens de l'annexe III.

Les données salariés : le vrai piège est en amont de l'AI Act

Dans la grande majorité des PME que nous auditons, le problème n'est pas la qualification haut risque mais le passage de données RH dans des outils grand public.

Un DRH qui colle un tableau de rémunérations dans une version gratuite d'un assistant IA pour en tirer une analyse transmet des données personnelles, parfois sensibles, à un sous-traitant non contractualisé, souvent hors Union européenne, sans base légale identifiée et sans que le registre des traitements en porte la trace. Cela ne relève pas de l'AI Act. Cela relève du RGPD, et c'est sanctionnable aujourd'hui.

Les points de contrôle concrets, dans l'ordre où nous les traitons :

1. Le compte utilisé. Un compte professionnel avec engagement de non-entraînement sur vos données, ou rien. Les offres grand public prévoient généralement l'inverse par défaut.
2. La localisation et les transferts. Hébergement, sous-traitants ultérieurs, mécanisme de transfert hors UE. À documenter, pas à supposer.
3. Le périmètre des données. Pas de données de santé, pas d'appartenance syndicale, pas d'origine, pas d'évaluation disciplinaire dans un prompt. Ces catégories relèvent de l'article 9 du RGPD et leur traitement est interdit par principe.
4. L'inscription au registre. Tout usage récurrent d'un outil d'IA sur des données RH est un traitement et doit y figurer. Notre méthode pour cartographier ses systèmes IA donne le template que nous utilisons en mission.
5. L'analyse d'impact. Une AIPD devient nécessaire dès qu'un traitement automatisé évalue des personnes à une échelle significative, ce qui est presque toujours le cas d'un outil de présélection.

Le sujet du shadow IA est ici central. Une politique d'usage écrite et diffusée coûte peu et règle une bonne part du problème : nous proposons un modèle de politique IA en entreprise directement réutilisable.

Information des salariés et du CSE : deux obligations qui se cumulent

L'AI Act et le code du travail imposent chacun une information préalable, avec des périmètres et des calendriers différents. Elles ne se remplacent pas.

Côté AI Act, l'article 26, paragraphe 7, prévoit qu'avant la mise en service ou l'utilisation d'un système à haut risque sur le lieu de travail, le déployeur employeur informe les représentants des travailleurs et les travailleurs concernés qu'ils seront soumis à son utilisation. Cette obligation suit le calendrier des systèmes à haut risque, donc décembre 2027 pour les usages de l'annexe III.

Côté code du travail, l'obligation est immédiate et plus large. Selon la CNIL, un dispositif de contrôle de l'activité du personnel doit remplir trois conditions cumulatives : passer le test de justification et de proportionnalité, être soumis aux instances représentatives du personnel selon les règles en vigueur, et être porté à la connaissance des salariés avant sa mise en place. La consultation du CSE est obligatoire dans les entreprises de 50 salariés et plus, préalablement à la mise en œuvre. La CNIL cite comme illicite l'installation d'une badgeuse ou d'un système de vidéosurveillance sans consultation préalable du CSE dans une entreprise de cette taille. Le raisonnement est identique pour un outil d'IA qui suit l'activité.

Sur la forme de l'information, une note diffusée en réunion ne suffit pas à prouver la conformité. L'employeur doit pouvoir démontrer le respect de ces conditions : détail de l'analyse de nécessité et de proportionnalité, cycle de vie des données, mesures prises pour l'information et l'exercice des droits. Notre article sur la notice d'information IA donne la structure attendue et les mentions à ne pas oublier.

Décision automatisée : où passe exactement la ligne rouge

L'article 22 du RGPD interdit par principe qu'une décision produisant des effets juridiques ou affectant significativement une personne soit prise sur le seul fondement d'un traitement automatisé.

Appliqué au recrutement, cela signifie qu'un outil de tri ne peut pas écarter seul une candidature. L'intervention humaine doit être réelle, pas formelle. Un recruteur qui valide en bloc une liste de rejets produite par un score, sans examiner les dossiers, ne constitue pas une intervention humaine significative : la décision reste automatisée dans les faits. Le RGPD exige de plus que la personne concernée puisse obtenir une intervention humaine, exprimer son point de vue et contester la décision.

Trois conséquences opérationnelles :

• Le seuil de score ne doit pas déclencher de rejet automatique. Il peut ordonner une pile, pas la vider.
• Le recruteur doit disposer d'un moyen de comprendre pourquoi un candidat est mal classé, sinon son examen est décoratif. C'est aussi ce que l'AI Act appellera la supervision humaine effective à partir de décembre 2027.
• La procédure de contestation doit exister et être communiquée aux candidats, pas seulement figurer dans une politique interne.

Pour comprendre l'articulation générale des deux textes, notre comparatif AI Act et RGPD reprend les différences de logique : le RGPD protège la personne et ses données, l'AI Act encadre le produit et son cycle de vie.

La PME sans DPO ni CSE : qui fait quoi

Une entreprise de trente salariés n'a ni délégué à la protection des données obligatoire, ni CSE, ni juriste interne. Ce n'est pas une dispense d'obligations, c'est une répartition différente des rôles.

Ce que nous mettons en place dans ce cas de figure, et qui tient en quelques jours de travail :

• Un responsable identifié. Une personne nommée, généralement le dirigeant ou le responsable administratif, qui porte le sujet et détient le registre. Sans DPO obligatoire, la responsabilité du responsable de traitement reste entière.
• Un inventaire des usages IA en RH. Un tableau de dix lignes suffit au départ : outil, finalité, données concernées, qui l'utilise, compte professionnel ou non.
• Une politique d'usage d'une page. Ce qui est autorisé, ce qui est interdit, quel compte utiliser, quelles données ne jamais saisir.
• Une information écrite aux salariés. Même sans CSE, l'article L.1222-4 du code du travail s'applique : les salariés doivent être informés des dispositifs de collecte les concernant.
• Une session de formation courte. L'article 4 de l'AI Act vise votre équipe, pas votre prestataire. Une demi-journée bien ciblée traite l'essentiel des risques d'usage.

Notre guide AI Act pour TPE et PME détaille cette trajectoire allégée, et l'article sur l'évaluation de conformité décrit les étapes réelles quand vous n'avez pas de service juridique.

Sanctions et contrôles : ce qui vous menace réellement en 2026

Le risque de sanction porte aujourd'hui sur le RGPD et le code du travail, pas sur les obligations haut risque de l'AI Act, qui ne sont pas encore applicables.

Le RGPD prévoit des amendes administratives pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. En pratique, les montants prononcés contre des PME françaises se comptent en dizaines de milliers d'euros, mais la CNIL utilise de plus en plus la procédure de sanction simplifiée : elle avait prononcé 23 nouvelles sanctions par cette voie entre janvier et début juillet 2026.

Surtout, le recrutement figure parmi les thématiques de contrôle prioritaires de la CNIL pour 2026. Environ 20 % de ses contrôles annuels relèvent de ces thématiques, et ceux-ci portent explicitement sur les systèmes de prise de décision automatisée, l'information des candidats et les durées de conservation. La CNIL indique viser prioritairement les grandes entreprises et les cabinets de recrutement, mais elle précise aussi que cette campagne préfigure son futur rôle d'autorité de surveillance de marché dans le champ « travail » au titre du règlement sur l'IA. Autrement dit, les pratiques qu'elle relève cette année dessinent la doctrine qui s'appliquera ensuite à tous.

Du côté de l'AI Act, l'article 5 sur les pratiques interdites est déjà sanctionnable jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial. C'est le seul volet du règlement qui expose une PME à une amende dès aujourd'hui sur un sujet RH, via l'interdiction de la reconnaissance des émotions au travail. Les autres obligations, y compris celles du déployeur, sont plafonnées à 15 millions d'euros ou 3 % et suivront le calendrier de décembre 2027. Notre article sur les sanctions de l'AI Act détaille les barèmes par type de manquement.

Questions fréquentes

Peut-on utiliser ChatGPT ou un assistant IA équivalent pour des tâches RH ?

Oui, avec un compte professionnel offrant une garantie de non-entraînement sur vos données et un périmètre de données défini. Rédiger une offre d'emploi, préparer une grille d'entretien ou reformuler une note de service ne pose pas de difficulté. Analyser des CV réels, des évaluations nominatives ou des données de rémunération dans un outil grand public expose à un manquement RGPD. Notre article sur la conformité AI Act de ChatGPT traite le paramétrage en détail.

Faut-il consulter le CSE avant de déployer un outil d'IA en RH ?

Dans une entreprise de 50 salariés et plus, oui, si l'outil constitue un dispositif de contrôle de l'activité ou une nouvelle technologie affectant les conditions de travail. L'article L.2312-8, II, 4° du code du travail impose l'information du CSE avant la mise en œuvre de nouvelles technologies de contrôle. En dessous de 50 salariés, l'obligation de consultation du CSE ne s'applique pas, mais l'information individuelle des salariés au titre de l'article L.1222-4 reste due.

Un outil de scoring de CV est-il interdit ?

Non. Il est classé à haut risque par l'annexe III point 4 du règlement, ce qui déclenche des obligations de documentation, de supervision humaine et de conservation des journaux à partir du 2 décembre 2027. Il est en revanche interdit, dès aujourd'hui, de laisser ce scoring décider seul du rejet d'une candidature : c'est l'article 22 du RGPD qui s'y oppose.

La reconnaissance des émotions en entretien est-elle légale ?

Non sur le lieu de travail. L'article 5 de l'AI Act interdit les systèmes d'inférence des émotions sur le lieu de travail et dans les établissements d'enseignement, sauf raisons médicales ou de sécurité. Cette interdiction s'applique depuis le 2 février 2025 et l'entretien de recrutement pour un poste dans l'entreprise entre dans ce périmètre.

Combien de temps conserver les CV analysés par une IA ?

La durée n'est pas allongée par l'usage de l'IA. Elle reste alignée sur la finalité du traitement, soit deux ans après le dernier contact pour une candidature spontanée ou un vivier, selon la doctrine de la CNIL, à condition que le candidat en soit informé. Les durées de conservation font partie des points que la CNIL contrôle explicitement en 2026 sur le recrutement.

Que se passe-t-il si notre prestataire de paie utilise de l'IA sans nous le dire ?

Vous restez responsable de traitement pour les données de vos salariés. Il faut vérifier le contrat de sous-traitance, obtenir la description des traitements automatisés effectués et, le cas échéant, faire mettre à jour l'annexe technique. Un prestataire qui refuse de documenter ses usages IA est un point de risque à porter par écrit.

Faut-il former toute l'entreprise ou seulement l'équipe RH ?

L'article 4 de l'AI Act vise les personnes qui utilisent des systèmes d'IA pour le compte de l'entreprise. Si seules trois personnes aux RH utilisent ces outils, l'obligation porte sur elles. En pratique, l'usage se diffuse vite et nous recommandons de couvrir d'abord les fonctions qui manipulent des données personnelles : RH, commercial, direction.

Comment GrowthPerf accompagne les PME sur ce sujet

Nous intervenons sur ce croisement AI Act, RGPD et code du travail avec un format court, calibré pour des structures qui n'ont ni DPO ni service juridique.

L'audit RH commence par un inventaire des usages IA réels, y compris ceux dont la direction n'a pas connaissance. Nous qualifions ensuite chaque usage : hors périmètre, traitement RGPD à régulariser, ou futur haut risque au sens de l'annexe III. À la sortie, vous avez un registre à jour, une politique d'usage diffusable, les documents d'information pour les salariés et le CSE, et une liste priorisée de ce qui doit être corrigé avant décembre 2027.

La formation vient compléter le dispositif. Notre programme d'acculturation IA pour les entreprises couvre l'obligation de l'article 4 et les réflexes de manipulation de données personnelles, et le parcours IA opérationnelle va plus loin pour les équipes qui construisent leurs propres usages. GrowthPerf est certifié Qualiopi, ce qui ouvre la prise en charge par votre OPCO.

Le plus efficace reste de commencer par un état des lieux. Un audit gratuit de 30 minutes suffit à savoir si vos usages IA en RH sont déjà en infraction ou simplement à documenter. Pour le cadre complet du règlement, reprenez notre guide de conformité AI Act pour PME et associations qui recense l'ensemble des obligations par échéance.