Accueil / Guides

Ressources · 20 guides

Déployer l'IA RH
dans les règles.

Ce que les DRH demandent avant de signer : obligations, documents à exiger, étapes. Chaque guide répond d'abord en trois phrases, puis détaille, avec les textes officiels.

• AI Act et RH : ce qui change pour les outils d'IA

  Au 4 novembre 2026, le règlement européen sur l'IA classe à haut risque les systèmes utilisés pour le recrutement et la gestion des travailleurs, mais leurs règles ne s'appliqueront qu'à partir du 2 décembre 2027, date fixée par le règlement omnibus (UE) 2026/1744. La reconnaissance des émotions sur le lieu de travail est déjà interdite depuis le 2 février 2025, et les obligations de transparence (par exemple pour les agents conversationnels) s'appliquent depuis le 2 août 2026.

• Introduire une IA en entreprise : quand et comment consulter le CSE

  Au 4 novembre 2026, dans les entreprises d'au moins 50 salariés, le Code du travail prévoit que le CSE est informé et consulté sur l'introduction de nouvelles technologies (article L2312-8, II, 4°) et qu'il est informé avant l'introduction de traitements automatisés de gestion du personnel ou de techniques d'aide au recrutement (article L2312-38). Si l'outil permet de contrôler l'activité des salariés, le CSE doit être informé et consulté avant la décision de le mettre en œuvre.

• AIPD : réaliser l'analyse d'impact d'un outil d'IA RH

  Au 4 novembre 2026, une AIPD est obligatoire avant tout traitement susceptible d'engendrer un risque élevé (article 35 du RGPD). La CNIL l'exige notamment pour le profilage RH, comme l'aide au recrutement par algorithme, et considère qu'elle est toujours requise lorsqu'un traitement figurant sur sa liste repose sur un système d'IA, notamment en cas de profilage ou de décision automatisée.

• DPA et sous-traitance : ce que l'article 28 du RGPD impose au contrat

  Au 4 novembre 2026, l'article 28 du RGPD impose un contrat écrit entre l'employeur et tout fournisseur qui traite des données pour son compte. Ce contrat doit couvrir au moins huit points, dont les instructions documentées, la sécurité, l'accord préalable pour tout autre sous-traitant, la suppression ou le renvoi des données en fin de contrat et le droit d'audit.

• Informer les salariés d'un traitement par IA

  Au 4 novembre 2026, aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n'a pas été porté préalablement à sa connaissance (article L1222-4 du Code du travail). L'article 13 du RGPD fixe la liste des mentions à donner, dont l'existence d'une décision automatisée et la logique sous-jacente, et la CNIL recommande une information écrite.

• Décision automatisée et article 22 du RGPD : ce qu'une IA RH ne peut pas décider seule

  Au 4 novembre 2026, l'article 22 du RGPD pose le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé qui produit des effets juridiques ou affecte de manière significative la personne. Trois exceptions existent, et deux d'entre elles exigent au minimum une intervention humaine, la possibilité d'exprimer son point de vue et de contester la décision.

• Transferts de données RH hors de l'Union européenne

  Au 4 novembre 2026, un transfert de données personnelles hors de l'Union n'est permis que s'il repose sur un outil prévu par le chapitre V du RGPD : décision d'adéquation, clauses contractuelles types, règles d'entreprise contraignantes ou, à titre exceptionnel, une dérogation de l'article 49. Selon la CNIL, l'accès à distance depuis un pays tiers par une entité distincte constitue aussi un transfert.

• Durées de conservation des données RH : les repères officiels

  Au 4 novembre 2026, la CNIL publie un référentiel de durées de conservation pour la gestion des ressources humaines, publié le 2 avril 2026 et mis à jour le 20 mai 2026. Exemples : dossier d'un candidat non retenu archivé 5 ans à compter du recrutement sur le poste, à des fins de preuve en cas d'action en discrimination ; registre unique du personnel conservé 5 ans après le départ du salarié.

• Données de santé dans les échanges RH : arrêts, aptitude, aménagements

  Au 4 novembre 2026, les données de santé font partie des catégories particulières dont le traitement est en principe interdit (article 9 du RGPD), sauf exceptions, notamment l'exécution des obligations de l'employeur en droit du travail. Le référentiel CNIL de gestion du personnel limite ces données à des éléments précis, comme le motif d'arrêt pour accident du travail ou maladie professionnelle, la date de reprise ou l'avis d'aptitude.

• Boîte mail RH et IA : protéger la confidentialité des échanges avec les salariés

  Au 4 novembre 2026, le référentiel CNIL de gestion du personnel exclut tout contrôle individuel des communications émises ou reçues par les salariés, et la CNIL range l'analyse des flux de courriels sortants destinée à détecter des fuites d'information parmi les traitements soumis à AIPD obligatoire. Connecter une IA à une boîte RH impose donc de cadrer la finalité, les accès, l'hébergement et l'interdiction de réutilisation par le fournisseur.

• Registre des traitements : comment y inscrire un outil d'IA RH

  Au 4 novembre 2026, l'article 30 du RGPD impose de tenir un registre décrivant chaque traitement : finalités, catégories de personnes et de données, destinataires, transferts hors Union, délais d'effacement et mesures de sécurité. L'exemption prévue sous 250 employés ne s'applique pas aux traitements non occasionnels, à risque ou portant sur des données sensibles, ce qui est en pratique le cas de la plupart des traitements RH.

• Charte d'usage de l'IA en entreprise : contenu et procédure

  Au 4 novembre 2026, la CNIL recommande d'encadrer l'usage de l'IA générative par des politiques ou chartes internes et de familiariser les utilisateurs avec ses limites. Si la charte fixe des prescriptions générales et permanentes dans les domaines du règlement intérieur, elle est considérée comme une adjonction à celui-ci lorsqu'il existe et reste en tout cas soumise aux mêmes règles (article L1321-5 du Code du travail), dont l'avis du CSE.

• IA et non-discrimination : ce que le Code du travail impose

  Au 4 novembre 2026, l'article L1132-1 du Code du travail interdit toute mesure discriminatoire, directe ou indirecte, dans le recrutement, la rémunération, la formation, la promotion, l'évaluation de la performance, la sanction ou le licenciement, en visant plus de vingt critères dont l'âge, le sexe, l'origine et l'état de santé. Ces règles s'appliquent aux décisions de l'employeur, qu'elles soient préparées par un humain ou par un outil d'IA.

• IA et recrutement : les obligations de l'employeur

  Au 4 novembre 2026, le candidat doit être expressément informé, avant leur mise en œuvre, des méthodes et techniques d'aide au recrutement utilisées à son égard (article L1221-8 du Code du travail), et le CSE doit en être informé avant leur utilisation (article L2312-38). Les systèmes d'IA de recrutement sont classés à haut risque par le règlement européen sur l'IA, avec des règles applicables à partir du 2 décembre 2027.

• Sécurité d'un fournisseur d'IA RH : quoi exiger

  Au 4 novembre 2026, l'article 28 du RGPD n'autorise le recours qu'à des sous-traitants présentant des garanties suffisantes, et l'article 32 liste les mesures attendues : pseudonymisation, chiffrement, confidentialité, intégrité, disponibilité, rétablissement après incident et tests réguliers. La CNIL cite comme moyens de vérification les audits de sécurité, la visite des installations et les certifications.

• SecNumCloud et cloud de confiance : faut-il l'exiger pour un outil d'IA RH ?

  Au 4 novembre 2026, les textes consultés pour ce guide n'imposent pas de façon générale la qualification SecNumCloud à un employeur privé pour ses données RH. La vraie question est l'exposition des données à des autorités de pays tiers : l'article 48 du RGPD ne reconnaît leurs demandes que sur la base d'un accord international, et la CNIL indique que les mesures contractuelles seules suffisent rarement à empêcher un tel accès.

• Réversibilité : préparer la sortie d'un fournisseur d'IA RH

  Au 4 novembre 2026, l'article 28 du RGPD impose que le contrat prévoie la suppression ou le renvoi de toutes les données au terme de la prestation, selon le choix de l'employeur. La loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique plafonne en outre, pour les services d'informatique en nuage, les frais de transfert de données et de changement de fournisseur aux coûts réellement supportés, et impose des exigences d'interopérabilité et de portabilité.

• IA et conventions collectives : les limites d'un outil généraliste

  Au 4 novembre 2026, la règle applicable à un salarié dépend de sa convention collective, identifiée par son IDCC, et des accords d'entreprise qui, hors des 13 matières de l'article L2253-1 et des 4 matières de l'article L2253-2 du Code du travail, prévalent sur la branche (article L2253-3). Un outil généraliste qui ne connaît ni la convention ni les accords de l'entreprise peut donc donner une réponse fausse.

• Cahier des charges d'un assistant RH IA : les exigences à formuler

  Au 4 novembre 2026, un cahier des charges d'assistant RH IA doit couvrir quatre blocs : l'usage (questions traitées, sources, escalade), la conformité (contrat article 28, AIPD, durées de conservation, transferts), la sécurité (article 32 du RGPD, droits par rôle, journalisation) et la sortie (renvoi ou suppression des données). La CNIL recommande en outre de partir de besoins concrets et de s'opposer à la réutilisation des données d'usage.

• Mesurer le temps gagné par une IA RH : une méthode sans chiffre inventé

  Au 4 novembre 2026, aucun texte officiel ne fixe de gain de temps de référence pour l'IA en RH : la mesure doit partir de vos propres données. La méthode consiste à mesurer une situation de départ, puis les mêmes indicateurs après déploiement, sur des données agrégées, car un suivi individuel de l'activité imposerait l'information et la consultation du CSE (article L2312-38 du Code du travail).