L’IA Act et le RGPD s’appliquent conjointement dès qu’un outil d’IA traite des données de candidats ou de salariés. L’IA Act encadre le système d’IA lui-même (risque, transparence, supervision humaine), tandis que le RGPD encadre le traitement des données personnelles (finalité, base légale, droits des personnes, sécurité).
Voici cinq cas d’usage RH typiques, avec l’impact concret de chaque cadre réglementaire.
1. Chatbot de recrutement (interaction avec les candidats)
Scénario : Un chatbot répond aux questions des candidats, pré-qualifie les profils et oriente vers les offres.
- IA Act (article 50) : obligation de transparence depuis le 2 août 2026 : le candidat doit être informé qu’il interagit avec une IA.
- RGPD : le chatbot collecte des données personnelles (CV, réponses, coordonnées). Il faut :
- Une finalité explicite (recrutement).
- Une base légale (exécution de mesures précontractuelles ou consentement).
- Une information claire (mentions d’information, durée de conservation, destinataires).
- Le respect des droits d’accès, de rectification et d’effacement.
- Risque principal : opacité du traitement et collecte excessive de données.
- Mesures clés :
- Mention visible « Vous parlez avec un assistant IA ».
- Politique de conservation limitée des logs de conversation.
- Interdiction de saisir des données sensibles (santé, opinions, etc.) dans le chatbot
2. Tri de CV et scoring de candidats
Scénario : Un outil classe les candidatures, attribue un score et propose une short-list.
- IA Act : usage classé « haut risque » (annexe III) : obligations complètes à partir du 2 décembre 2027 (documentation technique, gestion des risques, qualité des données, supervision humaine, information des personnes).
- RGPD :
- Base légale : mesures précontractuelles (article 6.1.b) ou consentement selon le cas.
- Information spécifique sur l’existence d’une décision automatisée et ses effets (article 13–14).
- Droit à l’intervention humaine, à la contestation et à l’explication (article 22).
- Risque principal : discrimination, biais, décision entièrement automatisée sans contrôle humain.
- Mesures clés :
- Supervision humaine effective : un recruteur doit pouvoir contester et passer outre le score.
- Tests de non-discrimination (taux de sélection par groupe) et documentation
- Information claire aux candidats : « Votre candidature est évaluée à l’aide d’un système d’IA ».
3. Évaluation de la performance et répartition des tâches
Scénario : Un système analyse l’activité des salariés (productivité, temps de traitement, comportements) pour évaluer la performance et attribuer des tâches.
- IA Act : haut risque (annexe III) : mêmes obligations que pour le recrutement, applicables à partir de décembre 202
- RGPD :
- Finalité limitée et légitime (gestion des ressources humaines).
- Principe de minimisation : ne collecter que les données strictement nécessaires.
- Information des salariés et, en France, consultation du CSE avant déploiement.
- Risque principal : surveillance excessive, pression psychologique, décisions automatisées impactant la carrière.
- Mesures clés :
- Contrôle humain : un manager doit valider toute décision importante (promotion, sanction, licenciement).
- Transparence interne : expliquer aux salariés quels indicateurs sont utilisés et comment.
- Limitation de la conservation des données de suivi.
4. Génération de contenus RH (offres d’emploi, comptes-rendus, communications)
Scénario : Les équipes RH utilisent un générateur de texte pour rédiger des offres, des lettres de refus, des comptes-rendus d’entretien.
- IA Act (article 50) : depuis le 2 août 2026, obligation de marquer les contenus générés par IA (texte, image, audio, vidéo) et d’informer lorsque c’est pertinent pour le public.
- RGPD :
- Si le contenu inclut des données personnelles (noms, situations individuelles), il faut respecter les principes de minimisation et de confidentialité.
- Attention aux outils qui utilisent les prompts pour entraîner leurs modèles : vérifier les clauses contractuelles et les options de désactivation
- Risque principal : fuite de données sensibles via les prompts, publication non marquée de contenus IA.
- Mesures clés :
- Interdire la saisie de données personnelles sensibles dans les outils d’IA générative non approuvés.
- Mettre en place un marquage interne (ex. « Document rédigé avec assistance IA ») et, si nécessaire, un watermarking technique.
- Choisir des fournisseurs qui n’entraînent pas leurs modèles sur vos données
5. Analyse émotionnelle ou catégorisation biométrique
Scénario : Un outil analyse les expressions faciales, la voix ou d’autres signaux biométriques pendant un entretien vidéo pour évaluer l’état émotionnel ou la personnalité.
- IA Act : article 50(3) impose d’informer les personnes exposées du fonctionnement du système et de traiter leurs données conformément au RGPD. Certains usages biométriques peuvent même être interdits selon leur finalité.
- RGPD :
- Les données biométriques sont des données sensibles (article 9) : traitement en principe interdit, sauf exceptions très encadrées (consentement explicite, intérêt vital, etc.).
- Obligation de réaliser une analyse d’impact (AIPD) et de mettre en place des mesures de sécurité renforcées
- Risque principal : illégalité du traitement, atteinte grave aux droits des personnes, sanctions élevées.
- Mesures clés :
- En pratique, éviter ce type d’usage en RH sauf base légale très solide et AIPD favorable.
- Information claire et explicite des candidats/salariés.
- Documentation stricte des finalités, durées et mesures de sécurité.
Tableau récapitulatif : IA Act vs RGPD par cas d’usage
| Cas d’usage | IA Act : niveau de risque | Obligations IA Act clés | Obligations RGPD clés |
|---|---|---|---|
| Chatbot de recrutement | Risque limité (article 50) | Informer qu’il s’agit d’une IA | Finalité, base légale, information, droits des personnes |
| Tri de CV / scoring | Haut risque (annexe III) | Documentation, supervision humaine, information, qualité des données (dès déc. 2027) | Article 22 (décision automatisée), information spécifique, droits d’accès/contestations |
| Évaluation performance / tâches | Haut risque (annexe III) | Gouvernance des données, contrôle humain, information (dès déc. 2027) | Minimisation, information des salariés, consultation CSE, sécurité |
| Génération de contenus RH | Risque limité (article 50) | Marquage des contenus générés, information si pertinent | Protection des données dans les prompts, clauses fournisseurs, minimisation |
| Analyse émotionnelle / biométrie | Risque élevé / possible interdiction | Information stricte, possible interdiction selon finalité | Données sensibles (art. 9), AIPD, mesures de sécurité renforcées |
En pratique : 5 questions à se poser avant de déployer un outil d’IA en RH
- Quelles données personnelles sont traitées ? (CV, évaluations, biométrie, logs)
- Quelle est la finalité exacte et la base légale ? (recrutement, gestion, consentement ?)
- L’outil est-il classé haut risque par l’IA Act ? (annexe III : recrutement, évaluation, biométrie)
- Comment informer candidats et salariés ? (chatbot, décision automatisée, contenus générés)[
- Qui supervise humainement et comment contester une décision ? (recruteur, manager, procédure interne)
Ces cinq cas montrent que l’IA Act et le RGPD ne bloquent pas l’innovation RH, mais imposent une approche documentée, transparente et centrée sur le contrôle humain.[