L’AI Act arrive en décembre 2027. Le Code du travail, lui, s’applique déjà.
Tri des CV, classement des candidats, recommandation de profils : beaucoup d’entreprises utilisent déjà l’IA pour recruter, parfois sans le savoir. Et beaucoup pensent avoir le temps, puisque les obligations européennes sur l’IA « à haut risque » ne s’appliqueront qu’en décembre 2027. C’est oublier que le droit français encadre déjà ces outils, et que les juges l’appliquent.
Votre outil est peut-être déjà concerné
L’AI Act, le règlement européen sur l’intelligence artificielle, classe « à haut risque » les systèmes d’IA utilisés pour recruter : diffuser des offres d’emploi ciblées, analyser et filtrer les candidatures, évaluer les candidats. Ce régime s’appliquera à partir du 2 décembre 2027, date fixée par le règlement « Omnibus numérique » de juillet 2026.
Le point de vigilance, c’est que l’IA n’arrive pas toujours par un projet décidé en comité de direction. Elle arrive souvent par une mise à jour de l’ATS : une note attribuée aux candidatures, un classement automatique, un « matching » activé d’un clic par un administrateur. Le règlement prévoit des exceptions pour les tâches limitées, mais un système qui établit le profil des candidats reste toujours à haut risque.
Ce qui s’applique déjà, sans attendre 2027
Le Code du travail d’abord. Le candidat doit être expressément informé, avant leur mise en œuvre, des méthodes et techniques d’aide au recrutement utilisées à son égard, et ces méthodes doivent être pertinentes au regard de la finalité poursuivie. Dans les entreprises d’au moins cinquante salariés, le CSE doit être informé de ces méthodes avant leur utilisation, ainsi que de toute modification. Activer une fonction de tri par l’IA peut constituer une telle modification.
Les juges prennent ces obligations au sérieux. Depuis 2025, plusieurs tribunaux ont suspendu, parfois sous astreinte, des outils d’IA introduits sans que le CSE ait été associé. Le 21 mai 2026, la cour d’appel de Paris a confirmé la suspension d’outils d’IA générative dans un groupe de presse : ni leur caractère facultatif, ni le fait que des salariés les utilisaient déjà spontanément ne dispensaient l’employeur de consulter le comité.
Le RGPD ensuite. Un candidat écarté peut demander quelles données ont été traitées et, en cas de décision automatisée, sur quelle logique elle repose. Dans son arrêt SCHUFA de décembre 2023, la Cour de justice de l’Union européenne a jugé qu’un score peut constituer une décision automatisée lorsqu’il joue un rôle déterminant. Un classement de candidatures dont personne ne vérifie réellement le résultat s’en rapproche dangereusement.
En 2027 : ce que l’AI Act ajoute
L’éditeur du logiciel, que le règlement appelle « fournisseur », aura des obligations lourdes : documentation technique, gestion des risques, marquage CE. Mais l’entreprise qui utilise l’outil, le « déployeur », aura les siennes, et elles ne se délèguent pas.
Elle devra notamment utiliser l’outil conformément à sa notice, confier le contrôle humain à des personnes compétentes, formées et qui ont le pouvoir de s’écarter de ce que propose la machine, conserver les journaux du système pendant au moins six mois, informer les candidats qu’un système à haut risque intervient dans les décisions qui les visent, et informer les représentants du personnel avant sa mise en service.
Les manquements des déployeurs pourront être sanctionnés jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial, avec des plafonds réduits pour les PME. Et une entreprise qui modifie substantiellement l’outil, ou le commercialise sous son propre nom, peut devenir elle-même « fournisseur ».
Quatre questions à se poser dès maintenant
- Quelles fonctions d’IA sont réellement actives dans nos outils de recrutement, et depuis quand ?
- Les candidats et le CSE ont-ils été informés avant leur utilisation ?
- Qui contrôle ce que propose l’outil, et ce recruteur a-t-il les moyens et le droit de s’en écarter ?
- Saurions-nous expliquer à un candidat écarté ce qui a été fait de sa candidature ?
Démontrer plutôt qu’affirmer
Le droit ne demande pas aux DRH de renoncer à l’IA. Il leur demande d’en garder la maîtrise, et surtout de pouvoir le prouver. La question n’est plus « sommes-nous conformes ? », mais « pouvons-nous le démontrer ? ». Cela commence par trois réflexes simples : savoir quelles fonctions sont activées, garder un humain réellement décisionnaire, et conserver la trace de ce que fait l’outil. Les entreprises qui s’y mettent dès maintenant auront une longueur d’avance, sur la réglementation comme sur la confiance des candidats.
Marc Marie-Eugénie Monteil, consultant en conformité de l’IA dans les ressources humaines (Code du travail, RGPD, AI Act), auteur pour le Village de la Justice.