AI Act 2026 : comment éviter la discrimination algorithmique en recrutement

Les systèmes d'intelligence artificielle transforment le recrutement depuis plusieurs années, mais leur usage soulève des risques majeurs de discrimination. Les outils utilisés dans le recrutement (tri de CV, scoring, analyse automatisée, pré-sélection) sont classés « [systèmes d'IA à haut risque](/fr/blog/cnil-plan-strategique-2025-2028-audit-intelligence-artificielle) » par l'[AI Act européen](/fr/blog/ai-act-2026-cnil-autorite-controle-sanctions-35-millions-euros). Cette classification implique des obligations strictes qui entreront pleinement en vigueur le 2 août 2026. Pour les directeurs des ressources humaines, cette évolution représente un défi majeur : concilier l'efficacité des outils algorithmiques avec le respect des droits fondamentaux des candidats et la conformité réglementaire. Les sanctions peuvent atteindre 15 millions d'euros ou 3% du chiffre d'affaires mondial pour les systèmes à haut risque non conformes. ## L'intelligence artificielle en recrutement sous surveillance renforcée L'AI Act est le [Règlement (UE) 2024/1689](/fr/blog/ai-act-2026-obligations-entreprises-ia-generative-chatbots), premier cadre juridique européen spécifiquement dédié à l'intelligence artificielle. Cette réglementation adopte une approche basée sur les risques, distinguant quatre niveaux selon l'impact potentiel sur les droits fondamentaux. Les systèmes d'IA destinés au recrutement occupent une place particulière dans cette classification. L'Annexe III de la loi classe explicitement tous les outils d'IA pour « le recrutement ou la sélection de personnes » comme étant à haut risque. Cette catégorisation concerne notamment : - Les logiciels de tri automatisé de candidatures - Les algorithmes de scoring des profils - Les outils d'analyse vidéo différée - Les systèmes de pré-sélection par mots-clés - Les plateformes d'évaluation automatisée des compétences Cette classification « haut risque » s'accompagne d'obligations spécifiques que les employeurs doivent absolument respecter. ## Les pratiques désormais interdites par l'AI Act Certaines utilisations de l'intelligence artificielle en contexte professionnel sont purement et simplement prohibées depuis le 2 février 2025. Ces interdictions s'appliquent immédiatement et leur violation expose à des sanctions maximales. Il est strictement interdit d'utiliser une IA pour déduire les émotions, l'état psychologique ou les intentions d'un candidat sur le lieu de travail ou lors d'un recrutement. Cette interdiction vise notamment les systèmes qui prétendent analyser le stress, la sincérité ou la motivation à partir d'expressions faciales ou de tonalité vocale. Le [social scoring algorithmique](/fr/blog/dsa-dma-responsabilite-plateformes-numeriques) constitue également une pratique bannie. Analyser les réseaux sociaux pour donner un score de « compatibilité culturelle », même à partir de données publiques, relève de cette catégorie interdite. Enfin, toute tentative de catégorisation sur des critères sensibles (origine ethnique, opinions politiques, orientation sexuelle) par le biais de l'intelligence artificielle est formellement proscrite. ## Les nouvelles obligations pour les systèmes « haut risque » À partir du 2 août 2026, ces systèmes seront soumis à des obligations strictes : documentation technique détaillée, gestion des risques, contrôle humain, traçabilité, qualité des données et cybersécurité. ### Documentation et traçabilité obligatoires Les entreprises doivent désormais tenir un registre de toutes les décisions prises avec l'IA et documenter précisément leur système de gestion des risques. Cette obligation implique de pouvoir justifier à posteriori chaque décision d'exclusion ou de sélection d'un candidat. La qualité des données d'entraînement devient également un enjeu crucial. Les fournisseurs d'IA doivent prouver que leurs données d'entraînement ne contiennent pas de biais discriminatoires (genre, origine). En tant qu'employeur, vous devez vous assurer que l'outil ne reproduit pas une discrimination systémique. ### Supervision humaine effective L'une des obligations centrales concerne le maintien d'un contrôle humain réel sur les décisions. L'article 22 du RGPD et l'article 14 de l'AI Act convergent : aucune décision produisant des effets juridiques (comme le rejet d'une candidature) ne peut être prise par un algorithme seul. La jurisprudence européenne précise cette exigence. Si l'IA « influence de manière décisive » votre choix (et écarter 99.9% des candidats, c'est décisif), on considère que la machine a pris une décision automatisée, même si un humain valide formellement le résultat. ### Transparence renforcée envers les candidats Il exige que chaque candidat soit informé du recours à une IA dans le processus, qu'il puisse demander des explications et qu'un humain demeure toujours capable d'intervenir ou de corriger une décision. Cette obligation de transparence s'articule avec les droits existants du RGPD. Les candidats ont le droit de savoir de l'existence d'un système d'IA dans le processus, des critères utilisés par l'algorithme et de la logique sous-jacente de la décision. ## Les risques juridiques et financiers en cas de non-conformité Les sanctions prévues par l'AI Act s'ajoutent aux risques déjà existants en droit du travail français et en protection des données personnelles. ### Sanctions administratives de l'AI Act Le régime de sanctions à trois niveaux de l'AI Act prévoit des amendes particulièrement dissuasives. L'IA à risque inacceptable peut être sanctionnée d'une amende de 35 millions d'euros ou 7% du CA annuel mondial ; l'IA à haut risque non conforme de 15 millions d'euros ou 3% du CA ; et l'IA à risque faible sans transparence de 7,5 millions d'euros ou 1% du CA annuel mondial. ### Responsabilité pénale des dirigeants L'employeur est pénalement responsable des discriminations produites par les outils d'IA qu'il déploie, même s'il n'a pas conçu l'algorithme lui-même. En cas de discrimination, l'entreprise peut s'exposer à des sanctions pénales : jusqu'à 3 ans de prison et 45 000 € d'amende selon l'article 225-2 du Code pénal. ### Cumul possible des sanctions Une spécificité préoccupante réside dans le cumul possible des sanctions RGPD et AI Act. 35 millions d'euros ou 7 % du chiffre d'affaires mondial (AI Act), et 20 millions d'euros ou 4% du CA (RGPD) peuvent se cumuler pour les violations les plus graves.

Type de sanction	Montant maximal	Base légale
Discrimination IA	35 M€ ou 7% CA	AI Act art. 99
Décision automatisée	20 M€ ou 4% CA	RGPD art. 83
Défaut transparence	7,5 M€ ou 1% CA	AI Act art. 99
Discrimination pénale	45 000 € + 3 ans	Code pénal art. 225-2

## Mise en conformité : la feuille de route pour les DRH La CNIL a indiqué qu'elle intensifierait ses contrôles sur les systèmes RH à partir de l'automne 2026. Cette annonce officielle confirme que les entreprises disposent de quelques mois pour finaliser leur mise en conformité. ### Cartographie des outils IA utilisés La première étape consiste à lister tous les outils IA utilisés dans l'entreprise : logiciels RH, chatbots, outils de génération de contenu, solutions de scoring, tout SaaS mentionnant « IA » ou « machine learning ». Cette cartographie doit inclure les outils utilisés directement par l'équipe RH mais également ceux intégrés dans des plateformes tierces. ### Audit des fournisseurs et sous-traitants Posez les questions à vos éditeurs : classification du risque, documentation technique, données d'entraînement, mécanismes de supervision. Un fournisseur qui ne répond pas est un risque. Les contrats avec les prestataires doivent intégrer les obligations de l'AI Act et prévoir les garanties nécessaires. ### Formation des équipes RH La formation est obligatoire depuis 2025 pour les utilisateurs et déployeurs de systèmes IA. Elle permet aux RH de comprendre les limites, les biais potentiels et les obligations légales liées à ces outils. Cette « AI literacy » constitue une obligation légale distincte des autres mesures de conformité. ### Mise à jour des processus et documents Les mentions légales, les contrats de travail et les procédures internes doivent être adaptés. Mettez à jour vos mentions légales et vos emails automatiques. Le candidat doit savoir avant l'analyse que son profil sera traité par une IA. Exemple : « Notre processus de présélection utilise une assistance algorithmique pour l'analyse des compétences. La décision finale reste exclusivement humaine ». ### Consultation du comité social et économique L'introduction de ces outils nécessite une information-consultation du CSE car ils impactent les conditions de recrutement et potentiellement la surveillance des salariés. Cette consultation préalable constitue une obligation du Code du travail qui s'ajoute aux exigences de l'AI Act. ## Articles liés - [AI Act 2026 : la CNIL devient autorité de contrôle avec des sanctions jusqu'à 35M€](/fr/blog/ai-act-2026-cnil-autorite-controle-sanctions-35-millions-euros) - [AI Act 2026 : obligations concrètes pour les PME](/fr/blog/ai-act-2026-obligations-entreprises-ia-generative-chatbots) - [CNIL : audit intelligence artificielle renforcé 2025-2028](/fr/blog/cnil-plan-strategique-2025-2028-audit-intelligence-artificielle) ## L'essentiel à retenir - **Classification « haut risque »** : tous les outils d'IA de recrutement relèvent désormais des obligations les plus strictes de l'AI Act - **Échéance critique** : les obligations complètes s'appliquent à partir du 2 août 2026, avec des contrôles CNIL annoncés dès l'automne - **Interdictions immédiates** : l'analyse d'émotions, le social scoring et la catégorisation sur critères sensibles sont prohibés depuis février 2025 - **Supervision humaine obligatoire** : aucune décision de recrutement ne peut être prise de manière purement automatisée - **Sanctions cumulables** : les amendes AI Act et RGPD peuvent s'additionner, avec un risque pénal pour les dirigeants ### Quelles sont les sanctions en cas d'usage d'IA discriminatoire en recrutement ? Les sanctions varient selon la gravité de l'infraction. Pour l'utilisation de systèmes interdits (analyse d'émotions, social scoring), l'amende peut atteindre 35 millions d'euros ou 7% du chiffre d'affaires mondial. Les systèmes à haut risque non conformes exposent à 15 millions d'euros ou 3% du chiffre d'affaires. Ces sanctions administratives peuvent se cumuler avec les amendes RGPD (jusqu'à 20 millions d'euros) et engager la responsabilité pénale des dirigeants (45 000 euros d'amende et 3 ans de prison). ### Comment prouver qu'un logiciel de tri de CV n'est pas biaisé ? L'AI Act impose aux entreprises de s'assurer que leurs outils ne reproduisent pas de discrimination systémique. Concrètement, cela nécessite un audit des données d'entraînement, une documentation des critères utilisés par l'algorithme, et des tests réguliers pour détecter d'éventuels biais. Les fournisseurs doivent fournir une documentation technique prouvant l'absence de biais discriminatoires. L'entreprise utilisatrice doit également tenir un registre des décisions prises et pouvoir justifier chaque exclusion de candidat. ### Dois-je obligatoirement informer les candidats de l'usage d'IA ? Oui, cette obligation de transparence est double. D'une part, le RGPD impose déjà d'informer les personnes concernées du recours à une prise de décision automatisée. D'autre part, l'AI Act renforce cette exigence en imposant que chaque candidat soit informé du recours à une IA, puisse demander des explications et qu'un humain puisse toujours intervenir. Cette information doit figurer dès l'offre d'emploi et être rappelée tout au long du processus de recrutement. ### Quels sont les contrôles humains obligatoires avec l'AI Act ? L'AI Act et le RGPD convergent : aucune décision ayant des effets juridiques ne peut être prise par un algorithme seul. La supervision humaine doit être « effective », c'est-à-dire qu'un recruteur doit pouvoir réellement modifier ou annuler la décision de l'IA. Simple validation formelle ne suffit pas si l'humain se contente d'entériner systématiquement les recommandations algorithmiques. Le contrôle doit porter sur l'analyse des candidatures, la justification des exclusions et la possibilité de révision des décisions. ### Comment former mes équipes RH aux obligations de l'AI Act ? La formation « AI literacy » est obligatoire depuis 2025 pour tous les utilisateurs de systèmes IA. Cette formation doit couvrir les limites techniques des outils utilisés, les risques de biais potentiels, les obligations légales (RGPD et AI Act), et les bonnes pratiques de supervision humaine. Elle doit être adaptée au niveau d'utilisation : formation de sensibilisation pour les utilisateurs occasionnels, formation approfondie pour les responsables RH. La formation doit être documentée et régulièrement mise à jour selon l'évolution des outils et de la réglementation.

---

**Besoin d'un accompagnement en droit des affaires ?** Je vous accompagne dans la négociation et la sécurisation de vos contrats, en France comme à l'international. [Consultation en visioconférence](/fr/qui-suis-je) · [Prendre rendez-vous](/fr/qui-suis-je)