Le règlement européen sur l'IA et les évaluations de recrutement

Pourquoi le recrutement est à haut risque

Le règlement sur l'IA (AI Act), règlement (UE) 2024/1689, classe les systèmes d'IA selon leur niveau de risque. L'annexe III, point 4, range l'emploi parmi les domaines à haut risque. Sont visés les systèmes destinés à :

• diffuser des offres d'emploi ciblées
• analyser et filtrer les candidatures
• évaluer les candidats
• prendre ou appuyer des décisions de promotion, de licenciement et d'attribution des tâches, et surveiller ou évaluer les salariés

Ces décisions pèsent sur la vie professionnelle des personnes. Un système de l'annexe III qui effectue un profilage, par exemple en évaluant la personnalité ou les aptitudes pour prédire la performance, est toujours à haut risque.

Une pratique est purement interdite

Depuis le 2 février 2025, les systèmes d'IA qui infèrent les émotions sur le lieu de travail à partir de données biométriques, comme les expressions du visage ou la voix, sont interdits, sauf pour des raisons médicales ou de sécurité (article 5, paragraphe 1, point f). Les lignes directrices non contraignantes de la Commission européenne rattachent les candidats d'une procédure de sélection au contexte de travail. Méfiez-vous des entretiens vidéo qui prétendent lire le stress ou la sincérité sur un visage ou dans une voix.

Votre évaluation est-elle un système d'IA ?

Les règles du haut risque ne visent qu'un système d'IA au sens de l'article 3, point 1 : un système automatisé qui fonctionne avec un certain degré d'autonomie et déduit de ses entrées la manière de générer des résultats tels que des prédictions, des recommandations ou des décisions. C'est un critère fonctionnel, pas une étiquette. Pour les évaluations, tout dépend souvent de la manière dont le score est obtenu :

• Un questionnaire corrigé avec une clé fixe et comparé à un groupe normatif, selon des règles écrites par des personnes, peut sortir de la définition.
• Un score, un classement ou un appariement produit par un modèle qui a appris à partir de données, par exemple pour prédire la réussite dans le poste à partir de réponses, de vidéos ou de CV, peut y entrer.
• Une même plateforme peut contenir les deux : un questionnaire de personnalité corrigé de façon classique à côté d'une fonction d'appariement fondée sur l'apprentissage automatique.

La frontière n'est pas tranchée dans tous les cas. Demandez au fournisseur d'expliquer comment il qualifie chaque partie de son produit, et conservez sa réponse. Dans le doute, appliquez quand même les garanties du haut risque : ce sont pour la plupart de bonnes pratiques d'évaluation.

Ce que doit faire le fournisseur, et ce que vous devez faire

Le règlement distingue le fournisseur, qui développe un système et le met sur le marché, du déployeur, qui l'utilise sous sa propre autorité. Pour les évaluations de recrutement, l'éditeur de l'outil est en général le fournisseur, et vous, employeur, êtes le déployeur.

Le fournisseur

• une gestion des risques sur tout le cycle de vie
• une gouvernance des données, y compris l'examen des biais possibles dans les données d'entraînement
• une documentation technique, une journalisation automatique et une notice d'utilisation
• une conception qui permet un contrôle humain effectif
• un niveau approprié d'exactitude, de robustesse et de cybersécurité
• une évaluation de la conformité et un enregistrement dans la base de données de l'UE

En recrutement, l'évaluation de la conformité est une procédure interne du fournisseur, sans organisme extérieur. Un outil présenté comme certifié AI Act appelle donc une question.

Vous, en tant qu'employeur

L'article 26 fixe les obligations du déployeur. Concrètement :

• Utilisez le système conformément à la notice du fournisseur.
• Confiez le contrôle humain à des personnes qui ont la compétence, la formation et l'autorité nécessaires.
• Si vous maîtrisez les données d'entrée, veillez à ce qu'elles soient pertinentes et suffisamment représentatives.
• Surveillez le système, signalez les problèmes au fournisseur et suspendez l'utilisation si vous identifiez un risque.
• Conservez les journaux sous votre contrôle pendant au moins six mois, sauf disposition contraire d'un autre texte.
• Informez les représentants du personnel et les salariés concernés avant de mettre en service un système à haut risque sur le lieu de travail.
• Informez les candidats qu'un système à haut risque est utilisé lorsqu'il prend ou aide à prendre des décisions les concernant.

Selon l'article 86, une personne concernée par une décision fondée sur les résultats d'un tel système peut, dans certains cas, obtenir des explications claires sur le rôle du système et les principaux éléments de la décision. Et si vous modifiez substantiellement un système ou l'utilisez pour une finalité à haut risque non prévue par le fournisseur, vous pouvez devenir vous-même fournisseur (article 25).

Le RGPD s'applique en parallèle. Son article 22 donne le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques ou significatifs similaires, sauf exception assortie de garanties.

Le calendrier

• 1er août 2024 : entrée en vigueur du règlement sur l'IA.
• 2 février 2025 : application des interdictions, dont celle de la reconnaissance des émotions sur le lieu de travail.
• Le texte adopté en 2024 fixait au 2 août 2026 les obligations à haut risque des systèmes de l'annexe III.
• L'omnibus numérique sur l'IA, règlement (UE) 2026/1744, publié en juillet 2026, a reporté cette date : les obligations à haut risque des systèmes de l'annexe III, recrutement compris, s'appliquent désormais à partir du 2 décembre 2027.

Le report donne du temps sans changer ce qui est exigé, et bien des contrats signés aujourd'hui courront encore en 2027. Le RGPD et le droit du travail s'appliquent déjà. En France, le Code du travail impose d'informer les candidats, avant leur mise en œuvre, des méthodes et techniques d'aide au recrutement utilisées à leur égard, et d'en informer le CSE.

Liste de contrôle pour les employeurs

Questions à poser au fournisseur

• Quelles parties de votre produit considérez-vous comme un système d'IA au sens du règlement, et pourquoi ?
• Si une partie est à haut risque, pouvons-nous consulter la notice d'utilisation, et quand l'évaluation de la conformité et l'enregistrement seront-ils en place ?
• Quelles preuves de fidélité et de validité existent pour notre usage, et sont-elles documentées, par exemple dans un manuel technique ?
• Comment examinez-vous les biais, et quelles sont les limites de ces analyses ?
• Les données des candidats servent-elles à entraîner des modèles, et sur quelle base légale ?

Contrôle humain et information

• Formez les personnes qui examinent les résultats à lire scores, intervalles et groupes normatifs, et méfiez-vous du biais d'automatisation : suivre un système parce qu'il paraît objectif.
• Donnez-leur l'autorité de s'écarter d'un classement et consignez leurs raisons. Aucun score ni seuil ne doit écarter un candidat sans examen par une personne.
• Indiquez aux candidats quelles évaluations ils passeront, dans quel but, qui verra les résultats et pour combien de temps, et préparez la réponse à une demande d'explications.

Documenter et suivre

• Consignez pour chaque poste les évaluations utilisées, la pondération des scores et la personne qui a décidé.
• Examinez régulièrement les résultats de votre procédure, comme les taux de sélection par groupe, si vous pouvez collecter ces données de façon licite. Voir équité et biais.

Ce que cela implique dans la conception de Match.hr

Nous traitons le recrutement comme l'usage à haut risque que décrit le règlement et construisons dès maintenant pour ses exigences. Une personne décide toujours : la plateforme ne rejette jamais automatiquement un candidat, et le rapport appuie une décision structurée, avec les entretiens et les références, comme décrit dans comment ça marche. Chaque score s'affiche avec son intervalle et son groupe normatif, pour qu'on puisse l'expliquer. Il existe une documentation par version de test et des journaux d'audit ; voir sécurité et confidentialité. Rien de cela ne suffit à rendre un employeur conforme, et vous pouvez nous poser les questions ci-dessus comme à tout fournisseur.