Fin 2025, 78 % des recruteurs déclaraient utiliser l’IA générative dans le cadre de leur métier, soit près du double d’un an plus tôt, selon l’enquête Hellowork « IA, Gen Z, transparence : ces défis qui attendent candidats et recruteurs en 2026 ». Pendant que les usages s’installaient, le cadre juridique s’est déplacé. Le règlement (UE) 2026/1744, dit Digital Omnibus sur l’IA, est entré en vigueur le 27 juillet 2026 et repousse au 2 décembre 2027 les obligations pesant sur les systèmes d’IA de recrutement classés à haut risque. Un raccourci circule depuis : « l’AI Act est reporté ». Il est faux. Plusieurs blocs d’obligations s’appliquent déjà, et la CNIL a fait du recrutement l’une de ses trois thématiques prioritaires de contrôle pour 2026. Ce guide fait le point, texte en main, sur ce que vous devez mettre en place et dans quel ordre.

Pourquoi le recrutement est classé à haut risque par l’EU AI Act

Le règlement (UE) 2024/1689, connu sous le nom d’EU AI Act, classe les systèmes d’intelligence artificielle en quatre niveaux de risque. Le recrutement n’est pas dans une zone grise : il est nommément listé. L’annexe III, point 4(a) vise les systèmes destinés au recrutement ou à la sélection de personnes physiques, en particulier pour publier des offres d’emploi ciblées, analyser et filtrer des candidatures et évaluer les candidats. Le point 4(b) étend la qualification aux outils qui influencent les décisions de promotion, d’affectation des tâches ou de rupture du contrat.

Autrement dit : un logiciel de matching sémantique, un moteur de scoring intégré à votre ATS, un chatbot de préqualification ou un dispositif d’analyse d’entretien vidéo relèvent tous du haut risque. C’est la finalité qui déclenche la qualification, pas l’emballage commercial.

Une nuance mérite d’être posée : un assistant d’IA générative utilisé pour rédiger une offre d’emploi n’est pas un système d’évaluation des candidats. Rédiger et sélectionner sont deux finalités distinctes, et le régime haut risque s’attache à la seconde. Nous développons ce point dans notre article sur l’éthique des technologies RH et la gouvernance responsable de l’IA.

Infographie CamSha

Télécharger en PDF Partager sur LinkedIn

AI Act et recrutement : ce qui s’applique, et à quelle date

Calendrier consolidé après le Digital Omnibus de juillet 2026, obligations du déployeur et niveau de préparation réel des organisations.

Les quatre chiffres à retenir

78 % des recruteurs français utilisaient l’IA générative fin 2025

2 déc. 2027 obligations « haut risque » de l’annexe III, recrutement compris

15 M€ ou 3 % du CA mondial, plafond de sanction sur la transparence

3 thématiques prioritaires de contrôle CNIL en 2026, dont le recrutement

Le calendrier d’application, dates fermes

• 2 février 2025 · Pratiques interdites (article 5) et maîtrise de l’IA (article 4). Applicables.
• 2 août 2026 · Transparence (article 50) et application générale. Date inchangée par le Digital Omnibus.
• 2 décembre 2026 · Deux nouvelles pratiques interdites, marquage des contenus synthétiques déjà commercialisés.
• 2 décembre 2027 · Obligations « haut risque » de l’annexe III, recrutement compris. Reporté du 2 août 2026.

Le report ne rencontre pas des organisations prêtes

• Aucune démarche de conformité sérieusement engagée78 %
• Aucun responsable interne désigné74 %
• Aucun processus de documentation technique61 %

Ce qui s’applique déjà, et ce que vous devez tenir

Applicable sans attendre 2027

• Transparence de l’avatar ou du chatbot2 août 2026
• Maîtrise de l’IA des équipes, article 4février 2025
• RGPD, décision automatisée, article 22en vigueur
• Conservation des candidatures non retenues2 ans

Obligations du déployeur, article 26

1. Supervision humaine réelle, avec le temps et l’autorité d’écarter une recommandation
2. Information des candidats sur la logique du traitement et le droit de recours
3. Information des salariés et consultation du CSE avant mise en service
4. Conservation des journaux générés par le système, six mois minimum
5. Obtention de la notice technique du fournisseur

À retenir. Le report du 2 décembre 2027 ne vise que les obligations « haut risque » de l’annexe III. Pratiques interdites, maîtrise de l’IA et transparence s’appliquent déjà, et le RGPD comme le Code du travail n’ont jamais cessé de s’appliquer. Ce sont eux qui fondent les contrôles de 2026.

Le nouveau calendrier après le Digital Omnibus de juillet 2026

Proposé par la Commission le 19 novembre 2025, adopté par le Parlement européen le 16 juin 2026 et approuvé par le Conseil le 29 juin, le texte est entré en vigueur le 27 juillet 2026. C’est la première modification de l’AI Act depuis son adoption en juin 2024.

Le calendrier qui vous concerne :

• 2 février 2025 : pratiques interdites (article 5) et maîtrise de l’IA (article 4). Applicables.
• 2 août 2025 : modèles à usage général, gouvernance, régime de sanctions. Applicables.
• 2 août 2026 : transparence (article 50) et application générale du règlement. Date inchangée.
• 3 août 2026 : début de la supervision de l’article 4 par les autorités nationales.
• 2 décembre 2026 : deux nouvelles pratiques interdites, marquage des contenus synthétiques déjà commercialisés.
• 2 décembre 2027 : obligations « haut risque » de l’annexe III, dont le recrutement. Reporté du 2 août 2026.
• 2 août 2028 : systèmes à haut risque intégrés à des produits de l’annexe I.

Une précision qui change la façon de planifier : le Parlement et le Conseil ont écarté le mécanisme conditionnel proposé par la Commission, qui liait l’application à la disponibilité des normes harmonisées, au profit de dates fermes. Le calendrier est donc dur, sans glissement supplémentaire à espérer.

Ce qui s’applique déjà, sans attendre décembre 2027

La transparence, applicable depuis le 2 août 2026

Si un candidat échange avec un chatbot de préqualification, un assistant vocal ou un avatar conversationnel, il doit savoir qu’il s’adresse à une machine. Cette obligation de l’article 50 coûte une mention dans le message d’accueil, mais la négliger expose à un plafond de 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial. Même logique pour les contenus marque employeur générés par IA représentant des personnes réelles.

La maîtrise de l’IA, obligation de moyens depuis février 2025

L’article 4 impose à tout déployeur de veiller à la maîtrise de l’IA de ses équipes. Le Digital Omnibus l’a réécrit : on passe d’un devoir de garantir un niveau suffisant à un devoir de prendre des mesures pour en soutenir le développement, soit une obligation de moyens. Elle demeure contraignante, et les autorités nationales ont commencé à la superviser le 3 août 2026. Aucune certification n’est exigée : une autorité demandera un inventaire des usages, des traces de formation par rôle et une politique interne datée.

Les obligations concrètes du recruteur déployeur

Dans le règlement, l’éditeur du logiciel est fournisseur et l’entreprise qui recrute est déployeur. Les obligations du déployeur, détaillées à l’article 26, sont largement à votre main.

Une supervision humaine réelle, pas symbolique

L’article 14 exige que les décisions du système puissent être revues, contestées et corrigées par une personne physique compétente. Le test est simple : votre recruteur dispose-t-il du temps, de l’information et de l’autorité pour écarter une recommandation algorithmique ? Une validation en trois secondes d’une shortlist de 200 candidats est un tampon, pas une supervision. L’exigence rejoint l’article 22 du RGPD, qui interdit toute décision fondée exclusivement sur un traitement automatisé produisant des effets significatifs.

L’information des candidats et des représentants du personnel

Trois obligations se superposent. L’article 26 impose d’informer les personnes soumises à une décision impliquant un système à haut risque. Le RGPD, via ses articles 13, 14 et 22, ajoute une information sur la logique sous-jacente du traitement et sur le droit d’obtenir une intervention humaine. L’article L.1221-9 du Code du travail impose de porter à la connaissance du candidat les méthodes d’aide au recrutement utilisées. Côté interne, les travailleurs et leurs représentants doivent être informés avant la mise en service, ce qui se double en France d’une consultation du CSE au titre des articles L.2312-8 et L.2312-38.

La traçabilité et la documentation fournisseur

Le déployeur conserve les journaux générés automatiquement par le système pendant au moins six mois et utilise l’outil conformément à la notice du fournisseur, ce qui suppose de l’avoir obtenue. C’est le point de friction le plus fréquent : beaucoup d’entreprises découvrent que leur éditeur ne fournit ni documentation technique, ni tests de biais, ni niveau d’exactitude attendu. Cette documentation s’obtient contractuellement, au prochain appel d’offres ou à l’avenant de renouvellement.

RGPD, Code du travail, CNIL : les couches qui s’ajoutent à l’AI Act

L’AI Act ne remplace rien, il s’ajoute. Le report de décembre 2027 ne produit aucun effet sur les régimes existants, qui sont ceux au titre desquels vous serez contrôlé dans les mois qui viennent.

Le 3 avril 2026, la CNIL a inscrit le recrutement parmi ses trois thématiques prioritaires de contrôle. Ses vérifications portent sur les systèmes de prise de décision automatisée, l’information des candidats et les durées de conservation, et visent d’abord les grandes entreprises et les cabinets de recrutement, sans que les PME soient exonérées.

Le détail qui n’en est pas un : l’autorité précise que cette campagne préfigure ses futures attributions d’autorité de surveillance de marché dans le champ du travail au titre du règlement sur l’intelligence artificielle. Le recrutement sert de terrain d’apprentissage à la supervision de l’IA en France.

Sur les durées, la règle est connue et rarement appliquée : deux ans maximum à compter du dernier contact pour un candidat non retenu, sauf accord explicite pour intégrer un vivier. Un ATS sans purge automatique est un écart documentable en quelques minutes.

Les trois pièges les plus fréquents dans les processus IA

• Le biais hérité des données historiques. Un modèle entraîné sur les profils recrutés par le passé reproduit les préférences implicites de ces recrutements. Voir nos leviers pour réduire les inégalités algorithmiques dans le recrutement.
• La dépendance au fournisseur. Vous restez responsable de l’usage même si l’algorithme n’est pas le vôtre. Sans clause exigeant la documentation technique et la notification des incidents graves, vous portez seul un risque que vous ne maîtrisez pas.
• L’IA fantôme. Les outils souscrits sans passer par la DSI échappent à l’inventaire, donc à la classification, donc à la conformité. Cet angle mort touche aussi la vérification des candidatures, traitée dans notre sélection de 5 outils IA pour un sourcing sans fraude en 2026.

Le recrutement hybride, réponse opérationnelle à la conformité

La conformité est souvent présentée comme un frein à l’automatisation embauche. L’expérience montre l’inverse : les exigences du règlement décrivent assez fidèlement un processus de recrutement bien conçu.

Chez CamSha, notre solution propriétaire repose sur un principe simple : l’IA traite le volume, l’humain tranche. Le matching sémantique calcule la similarité entre le besoin exprimé dans la fiche de poste et les profils disponibles. Mike, notre avatar d’entretien, conduit les premiers échanges en indiquant explicitement sa nature d’IA au candidat. Aucun rejet n’est prononcé sans validation d’un recruteur, et chaque étape du parcours reste visible et horodatée.

Ce modèle produit des résultats mesurables : nos clients constatent une réduction d’environ 30 % du temps de recrutement et une meilleure pertinence des candidatures présentées, sans perdre la main sur la décision finale. La supervision humaine n’est pas la contrepartie de la performance, elle en est une condition. Ce point est au cœur de notre approche du recrutement hybride et des tendances recrutement 2026.

Testez une campagne de recrutement conforme

Votre feuille de route de conformité en 6 étapes

Seize mois paraissent confortables jusqu’au moment où l’on chiffre le travail. Le rapport de maturité AI Act publié en 2026 par Vision Compliance, fondé sur des évaluations dans huit secteurs, relève que 78 % des organisations n’avaient engagé aucune démarche sérieuse de conformité, que 74 % n’avaient désigné aucun responsable interne et que 61 % ne disposaient d’aucun processus de documentation technique. Voici l’ordre de marche que nous recommandons.

1. Inventorier tous les outils d’IA touchant une candidature, abonnements individuels et modules ATS activés par défaut compris. Cinq colonnes : outil, éditeur, finalité, données traitées, service utilisateur.
2. Qualifier chaque outil au regard de l’annexe III. Tri, scoring, matching, évaluation d’entretien : haut risque. Rédaction et reformulation : transparence seule.
3. Nommer un responsable unique de la conformité IA et l’acter par écrit. L’écart le moins coûteux à combler, et le premier que constate un contrôleur.
4. Documenter la supervision humaine : qui valide, quand, sur quels critères, avec quelle possibilité d’infirmer la recommandation.
5. Mettre à jour les mentions candidats et le dossier CSE : notice fournisseur, finalités, données traitées, durées de conservation, voie de recours.
6. Former les équipes par rôle et conserver la trace datée des sessions.

PME et petites ETI : vérifiez votre éligibilité aux régimes simplifiés introduits par le Digital Omnibus (documentation allégée, exigences de qualité proportionnées, plafonds d’amendes réduits). Peu commentée, cette disposition change matériellement le coût de la conformité.

Questions fréquentes sur l’AI Act et le recrutement

L’EU AI Act a-t-il été reporté pour le recrutement ?

Seules les obligations attachées aux systèmes à haut risque de l’annexe III ont été reportées, du 2 août 2026 au 2 décembre 2027. Pratiques interdites, maîtrise de l’IA et transparence restent applicables. Le RGPD et le Code du travail s’appliquent sans report.

Un outil de tri de CV est-il un système d’IA à haut risque ?

Oui. L’annexe III, point 4(a) du règlement (UE) 2024/1689 vise les systèmes destinés à publier des offres ciblées, analyser et filtrer des candidatures et évaluer les candidats. Un outil de scoring ou de matching entre dans cette catégorie, quel que soit son éditeur.

Faut-il consulter le CSE avant de déployer une IA de recrutement ?

Dans la très grande majorité des cas, oui : l’introduction d’une technologie affectant les conditions de travail relève de l’article L.2312-8 du Code du travail, et le traitement des données personnelles des salariés de l’article L.2312-38.

Quelles sanctions en cas de non-conformité ?

Jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, et 15 millions d’euros ou 3 % pour la plupart des autres manquements, dont la transparence.

Conformité et performance ne s’opposent pas

Trois enseignements se dégagent. Le report de décembre 2027 est un temps de préparation, pas une dispense : les entreprises qui l’utilisent construiront un dossier défendable, les autres accumuleront seize mois de dérive. Ce qui vous expose le plus à court terme n’est pas l’AI Act mais le RGPD et le Code du travail, sur lesquels la CNIL contrôle dès cette année. Enfin, les exigences du règlement décrivent en creux un bon processus de recrutement : supervision humaine effective, traçabilité des décisions, information loyale du candidat, tests de biais réguliers.

Pour les entreprises, le bénéfice dépasse la protection juridique : un processus documenté est auditable, donc améliorable. Pour les candidats, la contrepartie est directe, savoir qu’un humain a réellement regardé leur dossier et disposer d’un recours. À l’heure où l’IA en RH se généralise, cette lisibilité devient un différenciant de marque employeur autant qu’une obligation.

Chez CamSha, nous concevons la conformité comme une propriété du produit et non comme une couche ajoutée après coup : transparence de l’avatar, validation humaine à chaque jalon, traçabilité complète du parcours candidat. Si vous vous demandez où en est votre chaîne de recrutement, commencez par l’inventaire de vos outils. Une demi-journée de travail, et vous saurez l’essentiel.

Lancer votre première campagne avec CamSha

Sources et références

• EUR-Lex – Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l’intelligence artificielle
• EUR-Lex – Règlement (UE) 2026/1744, Digital Omnibus sur l’intelligence artificielle
• Commission européenne – AI Omnibus enters into force
• CNIL – Les contrôles en 2026 : recrutement, répertoire électoral unique et fédérations sportives
• Hellowork – IA, Gen Z, transparence : ces défis qui attendent candidats et recruteurs en 2026
• APEC – Usages de l’IA générative par les cadres, mars 2026