Utiliser l'IA sur des données de salariés vous expose à deux réglementations qui ne disent pas la même chose et ne s'appliquent pas au même moment. Le RGPD et le code du travail encadrent déjà vos traitements RH, aujourd'hui, sans délai. L'AI Act ajoute une couche d'obligations dont la plus lourde, celle des systèmes à haut risque, ne s'appliquera que le 2 décembre 2027. En pratique, le risque immédiat pour une PME ne vient presque jamais de l'AI Act.
Lire le guide complet
AI Act 2026 : le guide de conformité complet pour PME et associations
Répondez à quelques questions et obtenez un diagnostic personnalisé avec des recommandations adaptées à votre secteur.
Évaluer ma maturité IAArticles liés
Approfondissez le sujet avec ces articles complémentaires.
L'AI Act (règlement UE 2024/1689) s'applique à votre PME ou association dès que vous utilisez un outil d'IA, même un simple abonnement ChatGPT. Depuis février 2025, vous devez former vos équipes ; le 2 août 2026, les obligations de transparence et le régime de sanctions entrent en application.
Utiliser l'IA sur des données de salariés vous expose à deux réglementations qui ne disent pas la même chose et ne s'appliquent pas au même moment. Le RGPD et le code du travail encadrent déjà vos traitements RH, aujourd'hui, sans délai. L'AI Act ajoute une couche d'obligations dont la plus lourde, celle des systèmes à haut risque, ne s'appliquera que le 2 décembre 2027. En pratique, le risque immédiat pour une PME ne vient presque jamais de l'AI Act.
C'est le point que la plupart des contenus sur le sujet manquent. Beaucoup d'articles publiés en 2025 annoncent encore une échéance en août 2026 pour les systèmes IA à haut risque en emploi. Cette date n'existe plus. Le règlement (UE) 2026/1744, dit Digital Omnibus sur l'IA, est entré en vigueur le 27 juillet 2026 et a repoussé les obligations des systèmes autonomes listés à l'annexe III au 2 décembre 2027. Si vous avez bâti votre plan de conformité RH sur l'ancien calendrier, il faut le reprendre. Pour la vue d'ensemble, notre guide de conformité AI Act pour PME détaille le cadre complet ; ici, nous nous concentrons sur le point précis où l'IA touche les données de vos salariés.
Trois blocs d'obligations sont en vigueur aujourd'hui, et aucun ne dépend du calendrier des systèmes à haut risque.
Le premier bloc, c'est le RGPD. Il ne s'est jamais arrêté. Toute donnée de salarié ou de candidat passée dans un outil d'IA reste un traitement de données personnelles, avec base légale, finalité, durée de conservation, registre des traitements et droits des personnes. L'article 22 du RGPD encadre en plus les décisions entièrement automatisées, ce qui touche directement le tri de candidatures.
Le deuxième bloc, c'est le code du travail. Trois articles structurent tout dispositif qui observe l'activité des salariés : l'article L.1121-1 (proportionnalité des restrictions aux libertés), l'article L.1222-4 (information des salariés) et l'article L.2312-8, II, 4° (information du CSE avant la mise en œuvre de nouvelles technologies de contrôle). Ces textes sont antérieurs à l'IA et s'appliquent sans attendre quoi que ce soit.
Le troisième bloc vient de l'AI Act lui-même, mais pas de la partie haut risque. L'article 4, applicable depuis le 2 février 2025, impose un niveau suffisant de maîtrise de l'IA aux personnes qui utilisent ces systèmes pour votre compte. Cela inclut votre équipe RH. Notre article sur l'article 4 et la formation IA obligatoire précise ce que « niveau suffisant » veut dire concrètement. L'article 5, sur les pratiques interdites, s'applique aussi depuis février 2025 et concerne directement le travail : la reconnaissance des émotions sur le lieu de travail est interdite, sauf raisons médicales ou de sécurité.
| Obligation | Texte | Applicable depuis / à partir du |
|---|---|---|
| Base légale, minimisation, droits des personnes | RGPD | 25 mai 2018 |
| Information des salariés et du CSE | Code du travail, L.1222-4 et L.2312-8 | En vigueur |
| Interdiction de la reconnaissance des émotions au travail | AI Act, article 5 | 2 février 2025 |
| Maîtrise de l'IA des utilisateurs | AI Act, article 4 | 2 février 2025 |
| Obligations des systèmes à haut risque en emploi | AI Act, annexe III point 4 et article 26 | 2 décembre 2027 |
| Systèmes à haut risque intégrés à des produits réglementés | AI Act, annexe I | 2 août 2028 |
Pour le détail de toutes les échéances, voir notre calendrier complet de l'AI Act.
L'annexe III point 4 du règlement ne visait pas « l'IA en RH » mais quatre familles d'usages précises, et la plupart des outils utilisés en PME n'en font pas partie.
Sont classés à haut risque les systèmes destinés au recrutement ou à la sélection de personnes, notamment pour publier des offres ciblées, analyser et filtrer les candidatures et évaluer les candidats. Sont également visés les systèmes servant à décider d'une promotion ou d'un licenciement, à attribuer des tâches sur la base du comportement individuel ou de traits de personnalité, et à suivre ou évaluer les performances et le comportement dans le cadre de la relation de travail.
La ligne de partage tient au rôle du système, pas à la technologie. Demander à un assistant conversationnel de reformuler une offre d'emploi ne produit aucune évaluation de personne : ce n'est pas un usage haut risque. Faire résumer par le même outil les notes d'un entretien que le recruteur a lui-même prises, non plus. En revanche, brancher un outil qui attribue un score de compatibilité à chaque CV et remonte un classement, même si un humain valide ensuite, vous fait entrer dans le champ de l'annexe III. Le texte parle de systèmes destinés à filtrer et évaluer les candidats, sans exiger que la décision finale soit automatisée. Notre article sur les systèmes IA à haut risque détaille les critères de qualification.
Trois cas qui font hésiter en pratique :
Dans la grande majorité des PME que nous auditons, le problème n'est pas la qualification haut risque mais le passage de données RH dans des outils grand public.
Un DRH qui colle un tableau de rémunérations dans une version gratuite d'un assistant IA pour en tirer une analyse transmet des données personnelles, parfois sensibles, à un sous-traitant non contractualisé, souvent hors Union européenne, sans base légale identifiée et sans que le registre des traitements en porte la trace. Cela ne relève pas de l'AI Act. Cela relève du RGPD, et c'est sanctionnable aujourd'hui.
Les points de contrôle concrets, dans l'ordre où nous les traitons :
Le sujet du shadow IA est ici central. Une politique d'usage écrite et diffusée coûte peu et règle une bonne part du problème : nous proposons un modèle de politique IA en entreprise directement réutilisable.
L'AI Act et le code du travail imposent chacun une information préalable, avec des périmètres et des calendriers différents. Elles ne se remplacent pas.
Côté AI Act, l'article 26, paragraphe 7, prévoit qu'avant la mise en service ou l'utilisation d'un système à haut risque sur le lieu de travail, le déployeur employeur informe les représentants des travailleurs et les travailleurs concernés qu'ils seront soumis à son utilisation. Cette obligation suit le calendrier des systèmes à haut risque, donc décembre 2027 pour les usages de l'annexe III.
Côté code du travail, l'obligation est immédiate et plus large. Selon la CNIL, un dispositif de contrôle de l'activité du personnel doit remplir trois conditions cumulatives : passer le test de justification et de proportionnalité, être soumis aux instances représentatives du personnel selon les règles en vigueur, et être porté à la connaissance des salariés avant sa mise en place. La consultation du CSE est obligatoire dans les entreprises de 50 salariés et plus, préalablement à la mise en œuvre. La CNIL cite comme illicite l'installation d'une badgeuse ou d'un système de vidéosurveillance sans consultation préalable du CSE dans une entreprise de cette taille. Le raisonnement est identique pour un outil d'IA qui suit l'activité.
Sur la forme de l'information, une note diffusée en réunion ne suffit pas à prouver la conformité. L'employeur doit pouvoir démontrer le respect de ces conditions : détail de l'analyse de nécessité et de proportionnalité, cycle de vie des données, mesures prises pour l'information et l'exercice des droits. Notre article sur la notice d'information IA donne la structure attendue et les mentions à ne pas oublier.
L'article 22 du RGPD interdit par principe qu'une décision produisant des effets juridiques ou affectant significativement une personne soit prise sur le seul fondement d'un traitement automatisé.
Appliqué au recrutement, cela signifie qu'un outil de tri ne peut pas écarter seul une candidature. L'intervention humaine doit être réelle, pas formelle. Un recruteur qui valide en bloc une liste de rejets produite par un score, sans examiner les dossiers, ne constitue pas une intervention humaine significative : la décision reste automatisée dans les faits. Le RGPD exige de plus que la personne concernée puisse obtenir une intervention humaine, exprimer son point de vue et contester la décision.
Trois conséquences opérationnelles :
Pour comprendre l'articulation générale des deux textes, notre comparatif AI Act et RGPD reprend les différences de logique : le RGPD protège la personne et ses données, l'AI Act encadre le produit et son cycle de vie.
Une entreprise de trente salariés n'a ni délégué à la protection des données obligatoire, ni CSE, ni juriste interne. Ce n'est pas une dispense d'obligations, c'est une répartition différente des rôles.
Ce que nous mettons en place dans ce cas de figure, et qui tient en quelques jours de travail :
Notre guide AI Act pour TPE et PME détaille cette trajectoire allégée, et l'article sur l'évaluation de conformité décrit les étapes réelles quand vous n'avez pas de service juridique.
Le risque de sanction porte aujourd'hui sur le RGPD et le code du travail, pas sur les obligations haut risque de l'AI Act, qui ne sont pas encore applicables.
Le RGPD prévoit des amendes administratives pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. En pratique, les montants prononcés contre des PME françaises se comptent en dizaines de milliers d'euros, mais la CNIL utilise de plus en plus la procédure de sanction simplifiée : elle avait prononcé 23 nouvelles sanctions par cette voie entre janvier et début juillet 2026.
Surtout, le recrutement figure parmi les thématiques de contrôle prioritaires de la CNIL pour 2026. Environ 20 % de ses contrôles annuels relèvent de ces thématiques, et ceux-ci portent explicitement sur les systèmes de prise de décision automatisée, l'information des candidats et les durées de conservation. La CNIL indique viser prioritairement les grandes entreprises et les cabinets de recrutement, mais elle précise aussi que cette campagne préfigure son futur rôle d'autorité de surveillance de marché dans le champ « travail » au titre du règlement sur l'IA. Autrement dit, les pratiques qu'elle relève cette année dessinent la doctrine qui s'appliquera ensuite à tous.
Du côté de l'AI Act, l'article 5 sur les pratiques interdites est déjà sanctionnable jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial. C'est le seul volet du règlement qui expose une PME à une amende dès aujourd'hui sur un sujet RH, via l'interdiction de la reconnaissance des émotions au travail. Les autres obligations, y compris celles du déployeur, sont plafonnées à 15 millions d'euros ou 3 % et suivront le calendrier de décembre 2027. Notre article sur les sanctions de l'AI Act détaille les barèmes par type de manquement.
Peut-on utiliser ChatGPT ou un assistant IA équivalent pour des tâches RH ?
Oui, avec un compte professionnel offrant une garantie de non-entraînement sur vos données et un périmètre de données défini. Rédiger une offre d'emploi, préparer une grille d'entretien ou reformuler une note de service ne pose pas de difficulté. Analyser des CV réels, des évaluations nominatives ou des données de rémunération dans un outil grand public expose à un manquement RGPD. Notre article sur la conformité AI Act de ChatGPT traite le paramétrage en détail.
Faut-il consulter le CSE avant de déployer un outil d'IA en RH ?
Dans une entreprise de 50 salariés et plus, oui, si l'outil constitue un dispositif de contrôle de l'activité ou une nouvelle technologie affectant les conditions de travail. L'article L.2312-8, II, 4° du code du travail impose l'information du CSE avant la mise en œuvre de nouvelles technologies de contrôle. En dessous de 50 salariés, l'obligation de consultation du CSE ne s'applique pas, mais l'information individuelle des salariés au titre de l'article L.1222-4 reste due.
Un outil de scoring de CV est-il interdit ?
Non. Il est classé à haut risque par l'annexe III point 4 du règlement, ce qui déclenche des obligations de documentation, de supervision humaine et de conservation des journaux à partir du 2 décembre 2027. Il est en revanche interdit, dès aujourd'hui, de laisser ce scoring décider seul du rejet d'une candidature : c'est l'article 22 du RGPD qui s'y oppose.
La reconnaissance des émotions en entretien est-elle légale ?
Non sur le lieu de travail. L'article 5 de l'AI Act interdit les systèmes d'inférence des émotions sur le lieu de travail et dans les établissements d'enseignement, sauf raisons médicales ou de sécurité. Cette interdiction s'applique depuis le 2 février 2025 et l'entretien de recrutement pour un poste dans l'entreprise entre dans ce périmètre.
Combien de temps conserver les CV analysés par une IA ?
La durée n'est pas allongée par l'usage de l'IA. Elle reste alignée sur la finalité du traitement, soit deux ans après le dernier contact pour une candidature spontanée ou un vivier, selon la doctrine de la CNIL, à condition que le candidat en soit informé. Les durées de conservation font partie des points que la CNIL contrôle explicitement en 2026 sur le recrutement.
Que se passe-t-il si notre prestataire de paie utilise de l'IA sans nous le dire ?
Vous restez responsable de traitement pour les données de vos salariés. Il faut vérifier le contrat de sous-traitance, obtenir la description des traitements automatisés effectués et, le cas échéant, faire mettre à jour l'annexe technique. Un prestataire qui refuse de documenter ses usages IA est un point de risque à porter par écrit.
Faut-il former toute l'entreprise ou seulement l'équipe RH ?
L'article 4 de l'AI Act vise les personnes qui utilisent des systèmes d'IA pour le compte de l'entreprise. Si seules trois personnes aux RH utilisent ces outils, l'obligation porte sur elles. En pratique, l'usage se diffuse vite et nous recommandons de couvrir d'abord les fonctions qui manipulent des données personnelles : RH, commercial, direction.
Nous intervenons sur ce croisement AI Act, RGPD et code du travail avec un format court, calibré pour des structures qui n'ont ni DPO ni service juridique.
L'audit RH commence par un inventaire des usages IA réels, y compris ceux dont la direction n'a pas connaissance. Nous qualifions ensuite chaque usage : hors périmètre, traitement RGPD à régulariser, ou futur haut risque au sens de l'annexe III. À la sortie, vous avez un registre à jour, une politique d'usage diffusable, les documents d'information pour les salariés et le CSE, et une liste priorisée de ce qui doit être corrigé avant décembre 2027.
La formation vient compléter le dispositif. Notre programme d'acculturation IA pour les entreprises couvre l'obligation de l'article 4 et les réflexes de manipulation de données personnelles, et le parcours IA opérationnelle va plus loin pour les équipes qui construisent leurs propres usages. GrowthPerf est certifié Qualiopi, ce qui ouvre la prise en charge par votre OPCO.
Le plus efficace reste de commencer par un état des lieux. Un audit gratuit de 30 minutes suffit à savoir si vos usages IA en RH sont déjà en infraction ou simplement à documenter. Pour le cadre complet du règlement, reprenez notre guide de conformité AI Act pour PME et associations qui recense l'ensemble des obligations par échéance.