Trier des CV, noter des candidats en entretien vidéo, mesurer l'engagement d'un salarié à sa webcam : l'intelligence artificielle s'est installée dans les services de ressources humaines plus vite que le droit qui doit l'encadrer. Certaines pratiques sont déjà proscrites depuis février 2025, à commencer par la détection des émotions au travail. Mais l'essentiel des obligations pesant sur les employeurs (celles qui visent les outils de recrutement et d'évaluation classés « à haut risque ») n'entrera en application qu'à la fin de 2027, après un nouveau report décidé par Bruxelles.

Ce qui est déjà interdit depuis février 2025

Le règlement européen sur l'intelligence artificielle, le règlement (UE) 2024/1689 dit « AI Act », est entré en vigueur le 1er août 2024, mais il s'applique par paliers. Le premier est déjà passé. Depuis le 2 février 2025, une poignée d'usages jugés à « risque inacceptable » sont purement interdits, sans période de transition.

Parmi eux, un cas concerne directement l'entreprise, celui des systèmes qui prétendent inférer les émotions d'une personne sur son lieu de travail. Analyser les expressions faciales d'un candidat pendant un entretien, mesurer le stress d'un salarié au ton de sa voix ou surveiller son « engagement » via une caméra tombent sous le coup de l'interdiction, sauf usage médical ou de sécurité. La notation sociale et l'exploitation de la vulnérabilité d'une personne figurent sur la même liste. Le manquement est le plus lourdement sanctionné du texte : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial.

C'est la partie visible et immédiatement contraignante du dispositif. Elle reste étroite, visant une technologie précise, la reconnaissance des émotions, dont la validité scientifique est d'ailleurs contestée, plutôt que l'ensemble des outils d'IA déployés en RH.

Le gros des règles vise le « haut risque », et il vient d'être repoussé

L'AI Act range dans une deuxième catégorie, dite « à haut risque », les systèmes susceptibles de peser sur des droits fondamentaux. Son annexe III y classe explicitement l'emploi : logiciels de recrutement et de tri de candidatures, outils décidant de promotions ou de ruptures de contrat, systèmes d'attribution des tâches ou d'évaluation des performances des salariés. La quasi-totalité de l'IA qui entre aujourd'hui dans un service RH relève donc de ce régime.

Ces systèmes ne sont pas interdits, mais encadrés. Le fournisseur doit mettre en place une gestion des risques, une documentation technique et une journalisation ; l'employeur qui les déploie doit assurer une supervision humaine réelle, informer les candidats et les salariés concernés, et ne peut laisser une décision RH significative (une embauche, un licenciement) se prendre par la machine seule.

Restait à savoir quand ces obligations deviendraient exigibles. Elles étaient attendues pour le 2 août 2026. Mais le 24 juillet 2026, l'Union a publié au Journal officiel son « digital omnibus », un paquet de simplification qui reporte l'application des règles sur le haut risque. Pour les domaines de l'annexe III, dont les RH, l'échéance glisse au 2 décembre 2027 ; pour l'IA intégrée à des produits déjà réglementés, à août 2028. Seules les obligations de transparence sont entrées en vigueur, en août 2026.

Le report a un effet concret pour les salariés, en maintenant dix-huit mois de plus un déploiement massif d'outils dont le contrôle spécifique n'est pas encore opposable. Bruxelles avait déjà été accusée de bâtir un cadre difficile à appliquer aux modèles génératifs, comme l'illustrait la polémique sur l'encadrement des grands modèles de langage ; le calendrier des RH nourrit la critique inverse, celle d'une régulation qui recule à mesure que la technologie avance.

Les usages concrets déjà répandus

Le décalage est d'autant plus sensible que les outils, eux, sont là. Le tri automatisé de candidatures par les logiciels de suivi (ATS) est devenu la norme dans les grandes entreprises : un algorithme classe les CV avant qu'un recruteur humain les lise, et écarte une partie des dossiers sur des critères que l'employeur ne maîtrise pas toujours. Vient ensuite le scoring, qui attribue une note de compatibilité à un profil, puis la surveillance de la productivité, qui mesure les cadences ou le temps de connexion.

Ces systèmes héritent des biais présents dans les données sur lesquelles ils ont été entraînés. Un modèle nourri de dix ans d'embauches passées apprend à reproduire les choix passés, y compris leurs discriminations, à l'âge, au sexe ou à l'origine géographique. Les administrations publiques n'y échappent pas non plus, comme l'a montré le projet de France Travail testant une IA pour repérer les demandeurs d'emploi « suspects », où le ciblage algorithmique fait ressurgir la question de la discrimination indirecte.

L'automatisation touche aussi des métiers qualifiés, jusqu'aux professions du droit. Chez l'éditeur juridique Dalloz, la CFDT redoute que l'IA fragilise à la fois les emplois et la qualité de l'information. La bascule dépasse le seul enjeu antidiscrimination et interroge la nature même du travail à l'ère des agents logiciels, un débat que résume la typologie des cinq archétypes du travail à l'heure de l'IA.

Le droit existant, en attendant l'AI Act

L'entreprise n'évolue pas pour autant dans un vide juridique jusqu'en décembre 2027. Le code du travail impose déjà l'information et la consultation du comité social et économique avant la mise en place d'un outil de traitement automatisé du personnel. Le règlement général sur la protection des données (RGPD) encadre le profilage et pose, à son article 22, un droit à ne pas faire l'objet d'une décision entièrement automatisée. Et le droit de la non-discrimination interdit, depuis longtemps, de refuser un emploi sur un critère prohibé, que la décision vienne d'un humain ou d'un algorithme.

Deux autorités françaises se sont saisies du sujet. Dès juin 2020, le Défenseur des droits et la CNIL avaient publié le rapport « Algorithmes : prévenir l'automatisation des discriminations », avertissant que ces outils pouvaient « reproduire et amplifier » les discriminations existantes, de façon invisible et à grande échelle. Les deux institutions ont depuis appelé à une mobilisation collective et publié des recommandations pratiques à destination des recruteurs. La CNIL, gardienne du RGPD, demeure compétente pour sanctionner l'usage de données biométriques, comme elle l'a rappelé sur d'autres terrains où l'IA capte des données personnelles sans base légale claire.

La difficulté tient à la charge de la preuve. Un candidat écarté ne sait pas, la plupart du temps, qu'un algorithme l'a filtré, ni sur quels critères. Sans transparence sur le fonctionnement de l'outil, la discrimination reste indétectable pour celui qui la subit, et les obligations d'information censées y remédier, prévues par l'AI Act, ne s'imposeront qu'à la fin de 2027.

Un cadre qui court derrière l'usage

Le résultat est un régime à deux vitesses. D'un côté, une interdiction nette et déjà sanctionnable, celle de la lecture des émotions au travail, mais circonscrite à un usage marginal. De l'autre, le socle des obligations qui concernent le recrutement et l'évaluation de millions de salariés, encore repoussé et donc non contraignant. Entre les deux, un droit préexistant (code du travail, RGPD, non-discrimination) qui s'applique, mais que peu de candidats sont en mesure d'invoquer faute d'accès à la mécanique des outils.

La prochaine échéance connue est le 2 décembre 2027, date à laquelle les employeurs déployant des systèmes RH « à haut risque » devront documenter leurs outils, garantir une supervision humaine et informer les personnes concernées. D'ici là, aucune obligation spécifique de traçabilité ne pèse sur ces logiciels, dont la diffusion ne ralentit pas.