AI Act : vos outils de recrutement sont désormais classés à haut risque, et maintenant ?
Le 2 août 2026 devait être le grand basculement pour toute stack de recrutement intégrant de l'IA. Cinq jours avant l'échéance, la Commission européenne a déplacé les poteaux.
Le règlement (UE) 2026/1744 dit « Digital Omnibus IA », publié au Journal officiel de l'Union le 24 juillet et entré en vigueur le 27 juillet 2026, a repoussé le volet « haut risque » de l'AI Act au 2 décembre 2027 pour les systèmes autonomes de l'Annexe III, dont le recrutement.
Ce report a créé un flou considérable dans les directions IT et RH. Deux erreurs à ne pas commettre en cette rentrée : croire que « l'AI Act est reporté » alors que la transparence et les sanctions sont bien en vigueur, ou surinvestir dans des obligations pas encore exécutoires.
Pour un DSI ou un responsable acquisition IT, la question n'est plus « suis-je conforme au 2 août ». C'est « comment j'utilise les 16 mois de sursis ».
Vos outils de recrutement IT désormais classés à haut risque
Ce que dit précisément l'Annexe III
Le règlement (UE) 2024/1689 sur l'intelligence artificielle classe explicitement, dans son Annexe III point 4 « Emploi », les systèmes destinés à publier des offres d'emploi ciblées, à trier et filtrer les candidatures, à évaluer les candidats, ainsi que ceux qui interviennent dans les décisions de promotion, de résiliation ou d'attribution de tâches.
Concrètement pour un DSI : tout ATS intégrant du scoring ou du matching sémantique, tout outil de sourcing IA sur CVthèque, tout chatbot de préqualification collectant des données personnelles, tout outil d'entretien vidéo différé analysé par algorithme entre dans le périmètre.
Le simple parsing (extraction de données d'un CV) sans scoring ni classement n'est pas nécessairement classé à haut risque, à condition qu'il ne produise aucune recommandation influençant la décision.
Un secteur IT particulièrement exposé
Les chiffres publiés par l'INSEE dans son Insee Première n°2120 du 21 juillet 2026 confirment que le secteur de l'information-communication est le premier utilisateur d'IA en France. 59 % des entreprises du secteur y recourent, contre 18 % en moyenne nationale et 58 % pour les entreprises de 250 salariés et plus. La moyenne européenne s'établit à 20 %.
Traduction pour un DSI ou une ESN : votre écosystème est structurellement plus concerné que d'autres. Vos éditeurs d'ATS et de sourcing IA vous en parleront moins spontanément, mais votre exposition à l'AI Act est mécaniquement supérieure à celle d'une PME du BTP ou d'un commerçant.
Employeur = déployeur, éditeur = fournisseur
L'article 3 du règlement distingue les fournisseurs, qui conçoivent les systèmes d'IA, des déployeurs, qui les utilisent sous leur autorité. Votre entreprise est déployeur. Votre éditeur d'ATS, de plateforme de sourcing ou d'outil de matching est fournisseur.
Cette distinction change tout. Vous ne pouvez pas transférer votre conformité à votre partenaire technologique, même s'il vous le vend contractuellement. Comme sous RGPD, la responsabilité opérationnelle de l'usage vous revient.
La documentation officielle de la Commission européenne sur l'article 26 détaille les obligations spécifiques du déployeur : usage conforme à la notice, supervision humaine effective, journalisation des décisions pendant six mois minimum, information des travailleurs et des candidats.
Digital Omnibus : le sursis qui arrange, mais ne solde rien
Que change le règlement (UE) 2026/1744 ?
Adopté le 8 juillet 2026 par le Parlement européen et le Conseil, publié le 24 juillet, entré en vigueur trois jours plus tard, le Digital Omnibus IA est la première modification de l'AI Act depuis son adoption en juin 2024.
Il repousse les obligations pour systèmes à haut risque autonomes de l'Annexe III (dont recrutement) du 2 août 2026 au 2 décembre 2027. Les systèmes à haut risque intégrés à des produits réglementés de l'Annexe I bénéficient d'un report au 2 août 2028.
Le motif officiel : laisser le temps aux organismes de normalisation (CEN-CENELEC, ETSI) de publier les normes techniques harmonisées qui permettront concrètement de démontrer la conformité. Ces normes couvrent la gestion des risques, la qualité des données, la transparence, la supervision humaine, la journalisation, la cybersécurité et la robustesse.
Ce qui reste bien applicable au 2 août 2026
Le raccourci « l'AI Act est reporté » est faux, et dangereux pour votre stack.
Restent pleinement en vigueur :
L'article 4 (littératie IA), applicable depuis le 2 février 2025. Vos recruteurs, managers et administrateurs d'outils IA doivent comprendre le fonctionnement de base des algorithmes utilisés, leurs limites et les biais possibles.
L'article 5 (pratiques interdites), également applicable depuis février 2025. La reconnaissance des émotions sur le lieu de travail est expressément interdite, hors motifs médicaux ou de sécurité strictement définis.
L'article 50 (obligations de transparence), exécutoire depuis le 2 août 2026. Un système conversationnel doit signaler qu'il est une IA, les contenus générés doivent être marqués, un deepfake doit être présenté comme tel.
Les sanctions de l'article 99, activées pour toutes ces obligations.
Un régime de sanctions à trois étages
Le règlement prévoit trois plafonds d'amende, le montant le plus élevé étant retenu entre la valeur absolue et le pourcentage du chiffre d'affaires mondial.
À ces montants s'ajoutent les sanctions RGPD (jusqu'à 20 M€ ou 4 % du CA mondial) et les éventuels contentieux prud'homaux en cas de discrimination algorithmique établie.
Le RGPD et la CNIL : des engagements continus
Article 22 RGPD : le socle qui protège déjà les candidats
Depuis 2018, le RGPD interdit les décisions produisant des effets juridiques ou significatifs sur une personne, fondées exclusivement sur un traitement automatisé. Un rejet de candidature est reconnu par la jurisprudence comme une décision de ce type.
Le candidat écarté a droit à l'intervention humaine, à l'expression de son point de vue et à la contestation de la décision. Un score ATS qui exclut un CV sous un certain seuil sans relecture est déjà en infraction, indépendamment du calendrier AI Act.
CNIL : le recrutement en priorité de contrôle 2026
Le 3 avril 2026, la CNIL a inscrit le recrutement parmi ses trois thématiques prioritaires de contrôle pour l'année, avec un focus explicite sur les systèmes de prise de décision automatisée, l'information des candidats et les durées de conservation.
L'autorité vise en priorité les grandes entreprises et les cabinets de recrutement, compte tenu du volume de candidatures qu'ils traitent. Elle précise que cette campagne « préfigurera l'exercice de ses futures attributions en tant qu'autorité de surveillance de marché dans le champ travail au titre du règlement sur l'intelligence artificielle ».
Autrement dit : les contrôles 2026 sont une répétition générale. La CNIL prépare son rôle d'autorité française de supervision AI Act sur le sujet emploi.
Turnover-IT dans ce cadre : sourcing consenti et supervision humaine par défaut
Turnover-IT est un jobboard spécialisé sur les métiers de l'IT et du digital, structuré depuis l'origine autour d'une CVthèque 100 % déclarative et consentie (base légale opposable au sens de l'article 6.1.a du RGPD).
La plateforme réunit 404 000 profils tech (développement, cloud/DevOps, data, cybersécurité, gestion de projet, UX/UI, QA, SysOps), 3 000 recruteurs actifs, un matching IA où le recruteur reste décideur, une messagerie candidat directe et des intégrations natives avec plus de 40 ATS via l'API JobConnect (traçabilité de bout en bout). Pas d'analyse vidéo, pas de reconnaissance émotionnelle. Un cadre conçu pour l'IT et compatible avec la logique de conformité AI Act.
Que faire concrètement d'ici décembre 2027 ?
Cartographier votre chaîne de sourcing IT
Le premier réflexe : lister exhaustivement les outils IA qui interviennent dans vos décisions candidats. ATS avec matching sémantique, sourcing IA sur CVthèque, scoring de candidatures, chatbots de préqualification, extensions de sourcing sur LinkedIn utilisant du profilage automatisé, outils d'entretien vidéo différé.
Point de vigilance particulier : les fonctionnalités IA activées par défaut dans des outils que vous utilisez déjà depuis des années. Beaucoup d'éditeurs ATS ont enrichi leur produit d'un module de scoring ou de matching sémantique sans nécessairement l'annoncer clairement lors des mises à jour.
On ne peut pas se mettre en conformité sur ce qu'on n'a pas inventorié.
Poser les bonnes questions à vos éditeurs
Votre éditeur d'ATS ou de plateforme de sourcing est fournisseur au sens du règlement. Il a des obligations documentaires précises. Six questions à lui adresser sans détour :
Quels modules de votre solution sont classés « haut risque » au sens de l'Annexe III ?
Pouvez-vous fournir la déclaration de conformité UE et la documentation technique (articles 11, 47, 48) ?
Quels tests anti-biais sont réalisés, et à quelle fréquence ?
Comment la traçabilité des décisions et suggestions est-elle organisée (journalisation article 12) ?
Quel mécanisme de supervision humaine est intégré nativement ?
Vos données d'entraînement sont-elles documentées et auditables ?
Une réponse floue est un signal d'alarme, et potentiellement un motif de renégociation contractuelle.
Formaliser la supervision humaine dès maintenant
Ne pas attendre décembre 2027 : la supervision humaine effective est déjà requise par l'article 22 du RGPD et sera contrôlée par la CNIL en 2026.
Concrètement : charte interne d'usage des outils IA en recrutement, formation des recruteurs, interdiction du rejet automatique sans relecture, traçabilité écrite de la décision de bascule.
Sur les métiers tech, la marque employeur double le risque juridique : un développeur senior écarté par un ATS mal calibré finit rarement en silence, et les communautés dev (Slack métiers, Bluesky, Mastodon) amplifient vite ce type de mésaventure.
FAQ — AI Act et recrutement IT
Le Digital Omnibus a-t-il supprimé les obligations AI Act pour les outils de recrutement ?
Non.
Il repousse l'entrée en application des obligations « haut risque » de l'Annexe III (dont recrutement) du 2 août 2026 au 2 décembre 2027. Les obligations de transparence (article 50), la littératie IA (article 4) et les pratiques interdites (article 5) restent pleinement applicables. Le RGPD, en particulier l'article 22 sur les décisions automatisées, s'applique aussi sans changement.
Mon ATS fait uniquement du matching : suis-je classé haut risque ?
Très probablement oui.
Le simple parsing (extraction de champs d'un CV) sans scoring ni classement échappe en principe au haut risque. Dès que l'outil produit une recommandation influençant la décision (score, classement, matching sémantique orienté sélection), il entre dans le périmètre de l'Annexe III point 4.
Suis-je fournisseur ou déployeur au sens de l'AI Act ?
Vous êtes déployeur.
Le fournisseur est celui qui conçoit et met sur le marché le système d'IA (votre éditeur d'ATS ou de plateforme de sourcing). Le déployeur est celui qui l'utilise sous son autorité, dans le cadre de son activité professionnelle. Les deux ont des obligations distinctes, mais vous ne pouvez pas transférer les vôtres à votre fournisseur.
Que risque mon entreprise en cas de contrôle CNIL en 2026 ?
La CNIL contrôle sur la base du RGPD, dont les sanctions atteignent 20 M€ ou 4 % du CA mondial. Au-delà de l'amende, la publication de la décision et le préjudice réputationnel dans un écosystème tech ultra-connecté pèsent souvent davantage. Les contrôles 2026 ciblent en priorité les grandes entreprises et les cabinets de recrutement.
Qu'est-ce que la « supervision humaine effective » exigée par l'article 26 ?
Une supervision réelle, pas déclarative.
Le recruteur qui utilise l'outil doit disposer des compétences, de la formation et de l'autorité nécessaires pour comprendre le fonctionnement du système, détecter ses erreurs, et pouvoir passer outre ses résultats. Un simple document de politique interne ne satisfait pas l'exigence : la supervision se démontre, elle ne se décrète pas.
👉 Vous souhaitez cadrer votre plan de conformité avec un expert du recrutement IT ? Nos account managers analysent votre stack ATS, votre volumétrie et vos contraintes de conformité, puis vous proposent le forfait le mieux adapté. Contactez notre équipe commerciale au +33 (0)1 88 33 08 90
