L'AI Act classe l'IA RH en haut risque : ce que cela change concrètement
La réponse est sans ambiguïté : le règlement (UE) 2024/1689, dit AI Act, classe les systèmes d'IA utilisés en ressources humaines parmi les systèmes à haut risque à l'annexe III, point 4. Sont visés les outils qui interviennent dans le recrutement, la sélection, l'évaluation des performances, la promotion ou la cessation d'un contrat de travail. Cette qualification n'est pas symbolique : elle déclenche un ensemble d'obligations contraignantes pesant directement sur l'employeur en tant que déployeur.
Pour l'avocat qui conseille un client employeur, le premier réflexe est de qualifier l'outil utilisé. Un logiciel de tri de CV, un module d'évaluation annuelle alimenté par l'IA ou un système de détection d'absentéisme entrent tous dans le périmètre. La qualification détermine le régime applicable et, en cas de contrôle, la responsabilité.
Les obligations renforcées pour les systèmes d'IA à haut risque, dont ceux utilisés en RH, s'appliquent pleinement depuis le 2 août 2026. Les systèmes mis sur le marché avant cette date bénéficient d'un délai de mise en conformité jusqu'au 2 décembre 2027 pour la classification haut risque — mais pas pour les obligations de transparence, applicables dès le 2 août 2026.
Article 26 de l'AI Act : les 5 obligations du déployeur à connaître
L'employeur qui déploie un système d'IA RH est un déployeur au sens de l'AI Act. L'article 26 du règlement (UE) 2024/1689 condense ses obligations en onze paragraphes. Cinq sont décisifs pour la pratique du droit social.
1. Utilisation conforme aux instructions du fournisseur. L'employeur ne peut pas détourner un outil de son usage prévu. Utiliser un système de présélection comme outil de décision finale d'embauche constitue un manquement caractérisé, susceptible d'exposer l'entreprise à une sanction allant jusqu'à 15 M€ ou 3 % du chiffre d'affaires mondial.
2. Supervision humaine effective. L'article 26 impose d'affecter à la supervision des personnes physiques dotées des compétences, de la formation et de l'autorité nécessaires pour ne pas suivre la recommandation de l'IA. La supervision doit être réelle, pas formelle : un cadre validant systématiquement les sorties du système sans les examiner ne remplit pas cette obligation.
3. Journalisation et conservation des logs. Les journaux générés par le système d'IA doivent être conservés sous le contrôle du déployeur pendant au moins six mois. Ces logs constituent la preuve de conformité en cas de contrôle de l'autorité compétente.
4. Information des travailleurs et des candidats. Avant toute mise en service sur le lieu de travail, l'employeur doit informer les représentants des travailleurs et les salariés concernés qu'un système d'IA à haut risque les concerne. Cette obligation se cumule avec les exigences d'information du RGPD.
5. Analyse d'impact sur les droits fondamentaux (FRIA). Certains déployeurs sont tenus de réaliser une analyse d'impact sur les droits fondamentaux avant la mise en service. Pour les entreprises publiques ou celles utilisant l'IA dans des décisions affectant un grand nombre de personnes, cette analyse est obligatoire en vertu de l'article 27 de l'AI Act.
Un manquement aux obligations de supervision humaine ou d'information peut exposer l'employeur à une amende de 15 M€ ou 3 % du CA au titre de l'AI Act, cumulable avec 20 M€ ou 4 % du CA au titre du RGPD si une décision automatisée illicite est constatée — soit un risque combiné sans précédent en droit social.
RGPD article 22 : la décision automatisée reste le principal piège
Le RGPD n'a pas attendu l'AI Act pour encadrer les décisions algorithmiques en RH. L'article 22 du règlement (UE) 2016/679 interdit toute décision produisant des effets juridiques sur une personne — ou l'affectant de manière significative — lorsqu'elle repose exclusivement sur un traitement automatisé.
En droit du travail, la ligne de démarcation est nette : un licenciement prononcé sur la seule base d'un score algorithmique, une non-promotion décidée par un système d'évaluation sans examen humain réel, une mise à pied fondée sur une détection automatique d'anomalie — tous ces actes tombent sous l'article 22 et exposent l'employeur à des recours individuels des salariés, en plus des sanctions administratives de la CNIL.
La CNIL a rappelé ce cadre dans ses orientations sur les systèmes d'IA : l'intervention humaine requise doit être substantielle, pas purement formelle. Un « validateur » qui approuve les décisions de l'IA sans les examiner ne satisfait pas à l'exigence de l'article 22.
Le droit français ajoute une couche supplémentaire : l'article L. 1221-9 du Code du travail interdit déjà d'utiliser des méthodes de recrutement ne permettant pas d'apprécier objectivement les aptitudes professionnelles. Une IA de tri biaisée peut ainsi engager la responsabilité de l'employeur sur le terrain du droit commun, indépendamment du RGPD et de l'AI Act.
Consultation du CSE : l'obligation que les employeurs sous-estiment
Avant tout déploiement d'un outil d'IA impactant les conditions de travail, l'employeur doit informer et consulter le comité social et économique (CSE). Cette obligation découle des articles L. 2312-8 et L. 2312-38 du Code du travail, qui couvrent les technologies susceptibles d'avoir des répercussions sur l'emploi, la qualification ou les conditions de travail.
L'AI Act renforce cette obligation en exigeant spécifiquement, à l'article 26, paragraphe 7, que le déployeur informe les représentants des travailleurs avant la mise en service du système. Il ne s'agit pas d'une simple formalité : un déploiement sans consultation préalable peut être suspendu par voie judiciaire à la demande du CSE, et l'employeur s'expose à un délit d'entrave.
La consultation doit porter sur la nature du système, les données traitées, la logique de fonctionnement, les décisions susceptibles d'être prises ou influencées, et les mesures de supervision humaine en place. Le cabinet d'avocats en droit social qui accompagne un employeur doit donc préparer ce dossier de consultation en amont, non après le déploiement.
Analyser les contrats de travail avec l'IA : gains et précautions
Outre l'IA utilisée par l'employeur pour gérer ses salariés, l'avocat ou le juriste utilise l'IA pour analyser des contrats de travail. Ces deux usages obéissent à des régimes différents — et créent des risques différents.
L'analyse automatisée de contrats de travail par un outil d'IA permet de détecter les clauses à risque : clause de non-concurrence sans contrepartie financière suffisante, clause de mobilité géographique sans périmètre défini, clause résolutoire déguisée, clause d'exclusivité susceptible de requalification. Sur un contrat de 15 à 30 pages, l'IA réduit considérablement le temps de première lecture et améliore la constance de la détection.
Le risque pour l'avocat est ici différent : il porte sur la confidentialité des données. Soumettre un contrat de travail contenant des données personnelles d'un salarié à une IA cloud grand public constitue un traitement de données sans base légale adéquate au sens du RGPD, et potentiellement une violation du secret professionnel. La solution est l'IA locale : les données ne quittent jamais le cabinet ou le serveur de l'entreprise.
Un contrat de travail contient des données à caractère personnel (identité, rémunération, lieu de résidence, état de santé potentiel via des clauses d'aménagement). Le soumettre à une IA cloud sans accord de traitement des données conforme à l'article 28 du RGPD expose simultanément l'avocat et son client à une violation déclarable auprès de la CNIL.
| Confidentialité des données | Données transmises à des serveurs tiers, souvent hors UE | Données traitées exclusivement en local, aucune transmission externe |
| Conformité RGPD | Nécessite un DPA conforme art. 28, souvent absent en offre grand public | Conforme par architecture : pas de sous-traitance de données |
| AI Act déployeur | Obligations art. 26 applicables, documentation à exiger du fournisseur | Contrôle total sur le système, documentation interne maîtrisée |
| Secret professionnel | Risque de divulgation à des tiers non soumis au secret | Secret préservé : aucun tiers n'accède aux documents analysés |
| Traçabilité des analyses | Logs dépendants du fournisseur, accessibilité variable | Logs internes, disponibles immédiatement pour audit ou contrôle CNIL |
Checklist de conformité IA RH : ce que l'avocat doit vérifier
Lorsqu'un client employeur vous consulte sur le déploiement d'un outil d'IA RH, la revue de conformité suit une séquence précise. Voici les sept points de contrôle incontournables en 2026.
- Qualifier le système : l'outil intervient-il dans le recrutement, l'évaluation, la promotion ou la cessation du contrat ? Si oui, il est présumé haut risque au sens de l'annexe III de l'AI Act.
- Demander la documentation technique au fournisseur (art. 26 AI Act) : notice d'utilisation, registre de conformité, attestation CE si applicable. Un fournisseur qui ne peut pas la produire est un fournisseur à risque.
- Vérifier le DPA : l'accord de traitement des données (article 28 RGPD) couvre-t-il précisément les données RH traitées ? Prévoit-il la localisation des données en UE ?
- Organiser la consultation du CSE avant le déploiement : préparer le dossier de présentation (nature de l'outil, données traitées, logique de fonctionnement, mesures de supervision humaine).
- Désigner un superviseur humain identifié, formé et doté de l'autorité réelle pour ne pas suivre la recommandation de l'IA.
- Mettre en place la conservation des logs pour une durée minimale de 6 mois sous le contrôle de l'employeur.
- Vérifier si une FRIA (analyse d'impact sur les droits fondamentaux) est obligatoire en vertu de l'article 27 de l'AI Act, notamment pour les organismes publics ou les entreprises utilisant l'IA à grande échelle.
Cette checklist ne se substitue pas à un audit juridique complet, mais elle permet d'identifier rapidement les failles les plus exposantes. Pour l'analyse documentaire préparatoire — lecture des contrats, identification des clauses critiques, synthèse des obligations contractuelles vis-à-vis du fournisseur d'IA — une IA locale comme JurIAdoc permet de traiter les documents sans exposer les données confidentielles du client.
Questions fréquentes
Quels systèmes d'IA sont classés à haut risque en RH par l'AI Act ?
Un employeur peut-il utiliser l'IA pour décider d'un licenciement ?
Faut-il consulter le CSE avant de déployer un outil d'IA RH ?
Un avocat peut-il analyser des contrats de travail avec une IA cloud ?
Quelle est la sanction maximale pour un manquement à l'AI Act en RH ?
Comment vérifier si un fournisseur d'IA RH est conforme à l'AI Act ?
Conclusion : l'IA en droit du travail, un chantier de conformité à ouvrir maintenant
L'IA en droit du travail n'est plus un sujet prospectif. Depuis le 2 août 2026, les obligations de l'AI Act s'appliquent pleinement aux systèmes à haut risque — et les RH sont explicitement dans ce périmètre. Pour l'avocat ou le juriste qui conseille des employeurs, la maîtrise de ce triptyque — AI Act, RGPD article 22, consultation du CSE — est désormais une compétence de base, pas un avantage concurrentiel.
La bonne pratique s'articule autour de deux axes : accompagner les employeurs dans la mise en conformité de leurs outils IA RH, et choisir soi-même des outils d'analyse documentaire qui ne créent pas de risques supplémentaires. Sur ce second point, une IA locale comme JurIAdoc permet d'analyser contrats de travail, avenants et documentation RH sans jamais exposer les données confidentielles du client — condition non négociable du secret professionnel.