AI Act et RH : ce qui change pour les outils d'IA (2026)

Au 4 novembre 2026, le règlement européen sur l'IA classe à haut risque les systèmes utilisés pour le recrutement et la gestion des travailleurs, mais leurs règles ne s'appliqueront qu'à partir du 2 décembre 2027, date fixée par le règlement omnibus (UE) 2026/1744. La reconnaissance des émotions sur le lieu de travail est déjà interdite depuis le 2 février 2025, et les obligations de transparence (par exemple pour les agents conversationnels) s'appliquent depuis le 2 août 2026.

Quels outils RH sont visés

Le règlement (UE) 2024/1689 explique, dans son considérant 57, que les systèmes d'IA utilisés pour le recrutement, la sélection, les décisions qui touchent aux conditions de travail, à la promotion ou à la rupture du contrat, à l'attribution des tâches et au suivi des personnes doivent être classés à haut risque. La raison avancée : ils peuvent peser fortement sur les perspectives de carrière et la surveillance des performances peut porter atteinte à la vie privée. La CNIL cite le recrutement parmi les exemples de systèmes à haut risque de l'annexe III. Un assistant qui répond à des questions générales n'entre pas forcément dans cette catégorie : tout dépend de l'usage réel.

Le calendrier au 4 novembre 2026

Selon la CNIL, mise à jour au 17 août 2026, les étapes sont les suivantes : interdiction des pratiques à risque inacceptable le 2 février 2025, règles sur les modèles d'IA à usage général le 2 août 2025, obligations de transparence le 2 août 2026, puis règles des systèmes à haut risque de l'annexe III, dont l'emploi, le 2 décembre 2027. Ce report résulte du règlement (UE) 2026/1744 du 8 juillet 2026, dit omnibus numérique sur l'IA, publié au Journal officiel de l'Union le 24 juillet 2026 et entré en vigueur le 27 juillet 2026. Les systèmes de l'annexe I relèvent du 2 août 2028. La CNIL signale aussi une échéance au 2 décembre 2026 pour le marquage des contenus générés par IA lorsque le système a été mis sur le marché avant le 2 août 2026.

Ce qui s'applique déjà à l'employeur

Parmi les pratiques interdites figure l'usage de systèmes visant à inférer les émotions d'une personne sur le lieu de travail, sauf raisons médicales ou de sécurité. L'article 4, réécrit par le règlement 2026/1744, demande aux fournisseurs et aux déployeurs de prendre des mesures pour favoriser la maîtrise de l'IA par leur personnel, sans exiger un niveau précis pour chaque personne. Enfin, la CNIL rappelle que le règlement IA ne remplace pas le RGPD : dès que des données personnelles sont traitées, les deux textes s'appliquent ensemble, par exemple pour un tri automatique de CV.

Sanctions et autorités

La CNIL indique que le règlement IA prévoit des amendes administratives pouvant aller jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial. Les manquements au RGPD restent sanctionnables de leur côté, jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial. Chaque État désigne ses autorités de surveillance du marché ; pour un grand nombre de systèmes à haut risque, la CNIL indique que le règlement désigne les autorités de protection des données (article 74).

À faire

Recenser les outils d'IA utilisés en RH et noter pour chacun s'il intervient dans le recrutement, l'évaluation, la promotion ou l'attribution des tâches.
Vérifier qu'aucun outil ne cherche à déduire les émotions des salariés, pratique interdite depuis le 2 février 2025.
Vérifier avec le fournisseur que l'outil signale clairement à l'utilisateur qu'il échange avec une IA : les obligations de transparence s'appliquent depuis le 2 août 2026 à certains systèmes, comme les agents conversationnels, et la CNIL recommande d'être transparent avec les utilisateurs.
Prévoir une action de formation ou de sensibilisation à l'IA pour les équipes RH qui utilisent ces outils.
Demander aux fournisseurs comment ils se préparent à l'échéance du 2 décembre 2027 pour les usages à haut risque.
Mener ou mettre à jour l'AIPD des outils concernés, que la CNIL présume nécessaire pour les systèmes à haut risque.

Textes de référence

Questions fréquentes

Un assistant RH qui répond aux questions des salariés est-il un système à haut risque ?

Pas automatiquement. Le considérant 57 vise les systèmes qui servent à recruter, décider, promouvoir, rompre, attribuer des tâches ou suivre les personnes. Un outil d'information générale relève plutôt des obligations de transparence. Il faut analyser l'usage réel, outil par outil.

La date du 2 août 2026 est-elle toujours valable pour le haut risque ?

Non pour l'annexe III. Selon le texte en vigueur au 4 novembre 2026, la CNIL et le règlement (UE) 2026/1744 (considérant 40) situent l'application des règles relatives aux systèmes à haut risque de l'annexe III, dont l'emploi, au 2 décembre 2027.

Le règlement IA dispense-t-il de respecter le RGPD ?

Non. La CNIL souligne que le règlement IA complète le RGPD. Un outil qui traite des données de salariés ou de candidats doit respecter les deux.

Contenu d'information générale, qui ne constitue pas un conseil juridique.

AI Act et RH : ce qui change pour les outils d'IA