IA Act et recrutement : le délai a bougé, pas les obligations

Bon, on va pas se mentir : si tu bosses dans le recrutement, t’as forcément croisé la fameuse phrase ces dernières semaines — « les obligations haut risque de l’IA Act s’appliquent au recrutement dès le 2 août 2026 ». Tu l’as peut-être même notée quelque part, avec un vague plan « je m’en occupe cet été ». Et puis le 2 août est passé. Rien n’a explosé.

En fait, c’est normal : cette échéance a été repoussée. Six jours avant qu’elle tombe, l’UE a discrètement — mais officiellement — décalé les obligations lourdes de dix-huit mois. Sauf que voilà le piège : quatre autres règles, elles, n’ont jamais bougé. Et c’est justement celles-là que tout le monde oublie en ce moment.

Ce qui s’est réellement passé

Le 27 juillet 2026, un nouveau texte est entré en vigueur : le « Digital Omnibus on AI » (Règlement (UE) 2026/1744). Il modifie l’IA Act lui-même — celui qui classe l’IA de recrutement, de sélection et de scoring de candidats comme « haut risque » et exige tests de biais, supervision humaine et documentation complète.

Rien de tout ça n’a été supprimé. Ce qui a bougé, c’est la date à laquelle la grosse machinerie de conformité doit être opérationnelle. Les obligations prévues pour le 2 août 2026 — gestion des risques, documentation technique, évaluation de conformité, enregistrement — pour les systèmes classés Annexe III (le recrutement en fait explicitement partie) s’appliquent désormais à partir du 2 décembre 2027. Et pour les systèmes IA embarqués directement dans des produits physiques, c’est même repoussé à août 2028.

Bref, pour un texte européen, le calendrier a filé vite : la Commission a proposé le report le 19 novembre 2025, après que les organismes de normalisation CEN et CENELEC ont prévenu qu’ils ne seraient pas prêts à temps. Accord provisoire le 7 mai 2026, vote final du Parlement le 16 juin (423 voix pour, 57 contre), feu vert du Conseil le 29 juin. Publication au Journal officiel le 24 juillet, entrée en vigueur le 27 — huit jours avant l’échéance qu’il fallait justement éviter de rater.

La phrase à retenir

Accroche-toi bien à celle-là : la date d’application générale de l’IA Act, le 2 août 2026, n’a pas été touchée. Seules les obligations haut risque de l’Annexe III ont bougé. Tout le reste du calendrier initial tient — et une partie est déjà en vigueur depuis un an et demi.

L’analyse de Gibson Dunn sur l’accord Omnibus, confirmant les nouvelles échéances de décembre 2027 et août 2028 Source : Gibson Dunn — EU AI Act Omnibus Agreement, recoupée avec l’analyse de Quantic Avocats

Ce qui est reporté — et ce qui ne l’est pas

Ce tableau, c’est en gros tout l’article. Garde-le sous le coude.

Disposition	Statut aujourd’hui	En vigueur depuis
Art. 5 — pratiques interdites (dont reconnaissance d’émotions au travail)	En vigueur, non touché par l’Omnibus	2 février 2025
Art. 4 — obligation de compétence IA des équipes	En vigueur (formulation assouplie, pas reportée)	2 février 2025
Art. 50 — obligations de transparence	En vigueur, non touché par l’Omnibus	2 août 2026
RGPD Art. 22 — décision automatisée	En vigueur, totalement indépendant de l’IA Act	Depuis le 25 mai 2018
Obligations haut risque Annexe III (recrutement, RH)	Reportées	2 décembre 2027
Obligations haut risque Annexe I (IA embarquée)	Reportées	2 août 2028

Quatre lignes sur six ne t’attendent pas. Regardons-les une par une.

En vigueur depuis février 2025 : interdiction de lire les émotions d’un candidat

L’article 5 interdit purement et simplement une courte liste d’usages de l’IA — pas d’évaluation des risques, pas de chemin de mise en conformité, juste interdit. L’un d’eux concerne directement le recrutement : les systèmes qui déduisent l’état émotionnel ou psychologique d’une personne à partir de données biométriques — expression faciale, ton de voix, signaux physiologiques — quand ils sont utilisés au travail ou en éducation. En vigueur depuis février 2025, jamais touché par l’Omnibus, et les sanctions sont les plus lourdes de tout le texte : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial annuel, le montant le plus élevé étant retenu.

Si ton outil d’entretien (ou celui de ton prestataire RH) analyse le ton, les micro-expressions ou la « confiance en soi » d’un candidat pour en tirer un score — ce n’est pas un sujet pour 2027. C’est un sujet pour maintenant. Bon, demande directement au fournisseur comment il contourne l’article 5. S’il te répond de manière vague, tu as ta réponse.

Également depuis février 2025 : la compétence IA de l’équipe

L’article 4 exige que toute personne qui utilise un système IA pour ton compte — recruteurs, RH, managers — ait un niveau de compétence adapté à son rôle. La Commission dit que l’application effective court à partir du 3 août 2026, mais l’obligation elle-même existe depuis début 2025. L’Omnibus a assoupli la formulation vers une « obligation de moyens » plutôt qu’un résultat garanti, sans pour autant la supprimer.

En pratique : si personne dans l’équipe n’est capable d’expliquer simplement ce que fait — et ne fait pas — ton outil de présélection, il y a une lacune à combler. Et ça coûte pas cher à corriger : une session de formation, un compte-rendu daté avec la liste des présents, et c’est réglé.

Précisément depuis le 2 août 2026 : dire quand c’est de l’IA

L’article 50 est arrivé à l’heure, complètement épargné par le report. Pour le recrutement, deux points comptent surtout : si un candidat interagit avec un chatbot, un bot de présélection ou un assistant vocal IA, il doit être clairement informé — dès le premier contact, pas planqué dans les CGU — qu’il ne parle pas à un humain.

Ce qui surprend souvent : cette règle est plus étroite qu’on ne le pense. Un simple mail de refus automatisé n’a pas besoin d’être signalé, ton algorithme de tri de CV en arrière-plan non plus. Ce qui est visé, ce sont les outils avec lesquels un candidat échange directement. Si ton chatbot se présente comme « Léa de l’équipe recrutement » sans jamais mentionner qu’il s’agit d’IA dès le premier échange, c’est un chantier pour ce mois-ci, pas pour 2027.

En vigueur depuis 2018, mais largement sous-estimé : le RGPD article 22

Voilà ce qui devrait honnêtement t’inquiéter plus que les gros titres sur l’IA Act. L’article 22 du RGPD interdit depuis 2018 les décisions « fondées exclusivement sur un traitement automatisé » produisant des effets juridiques ou similairement significatifs — et le rejet automatisé, le classement et la présélection de candidats tombent assez clairement dans ce cadre.

Ce n’est pas une interdiction absolue — il existe des exceptions étroites (nécessité contractuelle, autorisation légale, consentement explicite) — mais même dans ce cas, il faut une vraie garantie humaine. « Quelqu’un a cliqué sur valider » ne suffit pas. La personne qui contrôle doit réellement comprendre la logique de l’IA, avoir un pouvoir concret de la modifier, et évaluer sérieusement si le résultat tient la route.

D’ailleurs, les chiffres du côté français collent parfaitement à ce constat : selon des estimations reprises dans la presse spécialisée, les systèmes de tri automatique de CV rejettent entre 70 et 88 % des candidatures avant qu’un humain ne les examine — un chiffre issu d’une étude Harvard Business School souvent citée, et dont les conclusions restent d’actualité. En France, la décision d’embauche doit rester humaine, c’est une exigence légale — le RGPD interdit la décision totalement automatisée, mais autorise le scoring IA comme aide à la décision, pas comme décision finale. La nuance est fine. Et beaucoup d’entreprises la ratent.

Ta check-list, honnêtement triée

À faire maintenant — déjà obligatoire

Audite tes outils pour la reconnaissance d’émotions. Un outil d’entretien qui score le ton, l’engagement ou le « savoir-être » à partir de la voix ou de la vidéo ? Arrête-le, ou obtiens une confirmation écrite du fournisseur sur la façon dont il évite l’article 5.
Documente une vraie revue humaine pour chaque rejet ou classement assisté par IA. Pas « quelqu’un a validé » — un vrai compte-rendu montrant que la personne a compris la logique et avait le pouvoir de la modifier.
Ajoute une mention IA claire sur chaque chatbot ou bot de présélection candidat, dès le premier contact.
Signale tout contenu généré par IA qui pourrait passer pour humain — voix synthétique, avatar d’entretien, texte de sollicitation.
Vérifie ta base légale RGPD pour tout traitement de données candidat via des outils IA, avec un seuil plus haut pour les données sensibles.
Documente la formation à la compétence IA de ton équipe — même une seule session, si elle est actée et datée.

D’ici décembre 2027 — à construire sans se presser

Documentation formelle de gestion des risques pour les outils de recrutement classés Annexe III.
Audits de biais et analyses d’impact (FRIA) pour les systèmes haut risque — mieux vaut commencer tôt que rattraper des tests de biais sur un outil utilisé depuis deux ans.
Évaluation de conformité et enregistrement formels.
Une vraie responsabilité interne désignée — quelqu’un dont la fiche de poste couvre explicitement ce sujet, pas un flou du type « quelqu’un s’en occupe ».

Si tu recrutes pour des postes basés dans l’UE, tu es probablement déjà concerné

Un point qui surprend souvent : même un cabinet de recrutement basé aux États-Unis ou au Royaume-Uni, qui source des candidats pour des postes situés dans l’UE, est concerné — sans aucune entité juridique, contrat ni serveur en Europe. Ce qui compte, c’est où le résultat de l’IA est utilisé, pas où l’entreprise est basée. Si ton outil évalue une candidate physiquement présente en France ou en Allemagne pour un poste basé dans l’UE, tu es dans le champ. Point final.

Ce que disent les juristes

Du coup, le ton dominant côté conseil juridique est clair : c’est une fenêtre de préparation, pas une pause de conformité. Parce que les articles 5, 4, 50 et le RGPD continuent de tourner pendant tout ce temps. La séquence recommandée revient souvent : cartographier tous les systèmes IA touchant une décision candidat ou salarié (y compris ceux cachés dans ton ATS), déterminer s’ils tombent sous l’Annexe III, interroger par écrit chaque fournisseur sur sa préparation, désigner un responsable interne clair, et commencer dès maintenant à rédiger le cadre de notification aux candidats plutôt que d’attendre fin 2027.

Ce que ça ne peut pas régler pour toi

Ça ne te dit pas si ton outil précis est classé haut risque. La classification dépend exactement de ce que fait l’outil, et les fournisseurs ne décrivent pas toujours leur produit avec précision juridique. Dans le doute, demande une confirmation écrite.

Ça ne remplace pas ton chantier RGPD existant. L’IA Act s’ajoute au RGPD, il ne s’y substitue pas.

Ça ne prédit pas la sévérité de l’interprétation future des règles de transparence. Les lignes directrices de la Commission sur ce point sont encore en cours de rédaction.

FAQ

Dois-je arrêter d’utiliser l’IA de recrutement jusqu’en 2027 ? Non. Le report ne t’oblige pas à arrêter — il décale certaines obligations de documentation et d’évaluation. La supervision humaine, la transparence et l’interdiction de la reconnaissance d’émotions restent en vigueur.

Mon éditeur ATS dit être « conforme IA Act » — je peux le croire sur parole ? Demande des précisions. « Conforme » peut renvoyer à l’article 5, à l’article 50 ou à la préparation Annexe III — trois calendriers complètement différents.

Ça touche aussi les évaluations de performance, pas juste le recrutement ? Oui — l’Annexe III couvre toute la relation de travail, pas seulement l’embauche.

Pourquoi l’UE reporte-t-elle son propre texte phare avant même son entrée en application complète ? Selon la Commission, ni l’industrie ni les organismes de normalisation CEN et CENELEC n’auraient été prêts à temps avec l’infrastructure d’évaluation de conformité que le texte suppose déjà existante.

Pour résumer

Le titre « l’UE reporte les règles IA du recrutement » est vrai — mais dangereusement incomplet. La version exacte : la partie lourde et documentaire a gagné dix-huit mois. Ce qui protège vraiment les candidats — pas de reconnaissance d’émotions, vraie supervision humaine, information honnête quand c’est de l’IA — n’a jamais été sur la table des négociations. Utilise ce délai supplémentaire pour construire le gros chantier correctement. Ne l’utilise pas comme prétexte pour ignorer les quatre choses qui s’appliquent déjà.