Quelles règles européennes s'appliquent aujourd'hui à l'IA dans le recrutement ?

Le règlement européen sur l'IA de 2024 classe les systèmes selon leur niveau de risque. Le recrutement figure dans la catégorie la plus stricte qui reste autorisée : le haut risque. L'annexe III le dit en toutes lettres : les systèmes destinés à diffuser des offres d'emploi ciblées, à analyser et filtrer les candidatures, et à évaluer les candidats. C'est plus large qu'on ne le croit. Un logiciel de gestion des candidatures qui note les CV est concerné, tout comme un outil qui décide qui verra votre annonce.

Ces systèmes sont soumis à de lourdes exigences : gestion des risques, documentation, contrôle humain, journalisation. Elles devaient s'appliquer le 2 août 2026. Ce n'est pas le cas. Le 24 juillet 2026, le règlement (UE) 2026/1744, appelé Digital Omnibus sur l'IA, a été publié au Journal officiel et il est entré en vigueur trois jours plus tard. Il repousse les règles à haut risque pour le recrutement au 2 décembre 2027.

Beaucoup d'articles et de fournisseurs citent encore l'ancienne date. C'est la première source de confusion. La seconde, c'est que le report ne concerne qu'une partie des règles.

L'interdiction de la reconnaissance des émotions. Depuis le 2 février 2025, il est interdit d'utiliser une IA qui déduit les émotions des personnes sur le lieu de travail, sauf pour des raisons médicales ou de sécurité. Dans ses lignes directrices de février 2025, la Commission européenne a précisé que la procédure de recrutement en fait partie. Un outil qui déduit, lors d'un entretien vidéo, à partir du visage ou de la voix, si un candidat est stressé, enthousiaste ou hésitant est donc interdit depuis un an et demi. Cette interdiction n'a pas été reportée.

L'obligation de dire au candidat qu'il échange avec une IA. Depuis le 2 août 2026, un système d'IA qui interagit directement avec des personnes doit être conçu pour qu'elles sachent qu'elles ont affaire à une IA. L'obligation pèse sur le fournisseur, mais c'est vous qui en subissez les conséquences s'il ne la respecte pas : c'est votre chatbot, sur votre page carrières.

Le RGPD. C'est la règle la plus souvent oubliée, et elle s'applique depuis 2018. L'article 22 prévoit qu'une personne ne peut faire l'objet d'une décision fondée exclusivement sur un traitement automatisé qui l'affecte de manière significative. Un refus de candidature peut constituer une telle décision. Si vous placez un humain dans la boucle, son intervention doit être réelle : une personne qui comprend le dossier et qui a vraiment le pouvoir de modifier le résultat. Un recruteur qui valide cent refus par jour en un clic ne compte pas. La CNIL a d'ailleurs inscrit le recrutement parmi ses contrôles prioritaires de 2026, avec les décisions automatisées et l'information des candidats en tête.

La maîtrise de l'IA. Depuis février 2025, les employeurs qui utilisent l'IA doivent former leurs équipes. L'omnibus a assoupli cette obligation : il faut désormais favoriser le développement de ces compétences, sans plus garantir un niveau donné. C'est devenu une obligation de moyens et non plus de résultat.

Quatorze mois, cela paraît long. Mais la plus grande partie de ce temps servira à quelque chose qui n'a presque rien de technique : savoir ce qui tourne réellement.

Commencez par une liste. Quels systèmes de votre recrutement prennent une décision ou la préparent ? Pensez au logiciel qui classe les candidats, aux questions éliminatoires qui refusent automatiquement, à l'outil qui analyse les entretiens vidéo, et au logiciel publicitaire qui décide qui voit votre offre. Pour chacun, posez deux questions au fournisseur : considérez-vous ce système comme relevant de l'annexe III, et quel est votre plan pour décembre 2027 ?

À partir de cette date, vous aurez vos propres obligations en tant que déployeur. Vous utilisez le système conformément aux instructions du fournisseur, vous en confiez le contrôle à une personne compétente, vous conservez les journaux, et vous informez les candidats qu'un système à haut risque intervient dans la décision. Si vous introduisez un tel système dans l'entreprise, vous informez aussi au préalable les salariés et leurs représentants, en France le comité social et économique.

Le geste le plus utile ne coûte rien aujourd'hui. Prenez un échantillon des candidats écartés par le système et relisez-les à la main. Notre page sur l'IA dans le recrutement explique pourquoi c'est précisément là que se trouve le point faible. Si le jugement du système ne correspond pas au vôtre, vous le saurez avant qu'une autorité de contrôle ne vous le dise. Pour consigner correctement l'évaluation des candidats sans IA, voyez la présélection et le suivi.

Mon logiciel de recrutement relève-t-il des règles à haut risque ?

Tout dépend de ce qu'il fait, pas de son nom. Un système qui se contente de stocker et de transmettre les candidatures n'est pas concerné. Dès qu'il filtre des CV, attribue une note aux candidats ou établit un classement à partir duquel vous sélectionnez, il relève de l'annexe III. Beaucoup de logiciels proposent cette fonction en option. Demandez à votre fournisseur quelles fonctions sont activées chez vous et s'il les classe lui-même à haut risque.

Puis-je utiliser ChatGPT pour rédiger une offre d'emploi ?

Oui. La rédaction d'un texte ne figure pas dans la liste de l'annexe III, les règles à haut risque ne s'y appliquent donc pas. Faites en revanche attention à ce que vous y collez. Si vous y mettez des CV ou des notes d'entretien, vous traitez des données personnelles et le RGPD s'applique. Ce que nous faisons de nos propres données à ce sujet est détaillé dans données et confidentialité.

Est-ce que cela s'applique si mon cabinet de recrutement utilise l'IA ?

En partie. Le cabinet est alors lui-même déployeur et porte les obligations qui vont avec. Mais dans l'affaire SCHUFA de 2023, la Cour de justice de l'UE a jugé qu'un score produit par un tiers peut déjà constituer une décision automatisée si celui qui décide s'y fie de façon déterminante. Au moment de choisir un cabinet de recrutement, demandez donc ce qui a déterminé les candidats que vous avez vus.

Que se passe-t-il si je ne fais rien d'ici 2027 ?

Pour les règles à haut risque, rien avant décembre 2027. L'interdiction de la reconnaissance des émotions, l'obligation d'information sur les chatbots et le RGPD s'appliquent en revanche dès maintenant, sous le contrôle de la CNIL. Le risque principal vient du RGPD, en vigueur depuis huit ans : un refus automatique sans regard humain réel peut déjà tomber sous le coup de l'article 22.

SocialFind a rédigé cet article à partir du texte même du règlement, vérifié le 25 septembre 2026. Si vous souhaitez recevoir ce type d'articles par mail, inscrivez-vous à notre newsletter.