L'annexe III du règlement (UE) 2024/1689 vise explicitement l'emploi. Une entreprise qui utilise un logiciel de recrutement doté d'une fonction de tri, de scoring ou de matching est presque toujours déployeur d'un système d'IA à haut risque, y compris lorsque l'outil coûte quelques dizaines d'euros par mois et que la décision finale reste humaine. Le régime associé a été reporté au 2 décembre 2027, ce qui déplace l'échéance sans modifier la qualification.
Ce que dit précisément l'annexe III, point 4
Le point 4 de l'annexe III classe en haut risque les systèmes d'IA destinés à être utilisés dans deux familles de situations.
La première couvre le recrutement ou la sélection de personnes physiques, notamment pour publier des offres d'emploi ciblées, analyser et filtrer les candidatures et évaluer les candidats.
La seconde couvre la prise de décisions influant sur les conditions des relations professionnelles, la promotion ou la résiliation des relations contractuelles, l'attribution des tâches sur la base du comportement individuel ou de traits ou caractéristiques personnels, ainsi que le suivi et l'évaluation des performances et du comportement des personnes dans le cadre de ces relations.
Deux points de rédaction méritent d'être relevés. Le texte vise la destination du système, pas son efficacité ni sa sophistication : un modèle rudimentaire de classement de CV entre dans le champ, un modèle sophistiqué destiné à la maintenance industrielle n'y entre pas. Et il vise l'analyse et le filtrage des candidatures, sans exiger que le système décide : produire un classement soumis à un recruteur suffit.
Pourquoi un ATS classique y entre
La plupart des logiciels de gestion de candidatures vendus aujourd'hui comportent au moins une fonction visée. Trois se retrouvent presque partout.
Le score de correspondance entre un profil et une offre relève de l'évaluation des candidats. Il est souvent présenté comme une aide au tri et non comme une évaluation, mais la distinction est commerciale, pas juridique.
Le classement automatique de la liste de candidatures relève du filtrage. Un tri par pertinence décroissante produit un effet de sélection documenté : les profils en bas de liste sont examinés moins souvent et moins longtemps.
La diffusion ciblée d'annonces est explicitement mentionnée par le texte. Elle est généralement opérée par une plateforme tierce, ce qui pose une question de rôle plus que de qualification : la plateforme est fournisseur, l'entreprise qui la mandate est déployeur.
Reste le cas des outils d'analyse vidéo d'entretien. Lorsqu'ils infèrent des états émotionnels, ils ne relèvent pas seulement du haut risque : l'article 5, paragraphe 1, interdit la mise sur le marché et l'utilisation de systèmes d'IA visant à inférer les émotions d'une personne physique sur le lieu de travail, en dehors des cas où le système est destiné à des raisons médicales ou de sécurité. Cette interdiction est applicable depuis le 2 février 2025 et n'a pas été reportée.
Point de vigilance
L'argument « la décision reste humaine » ne fait pas sortir du champ. Le règlement classe le système par sa destination, non par le degré d'automatisation de la décision finale. La supervision humaine est une obligation attachée au haut risque, pas un critère qui l'écarte.
L'exception de l'article 6, paragraphe 3, et ses limites
Le règlement prévoit une dérogation. Un système relevant de l'annexe III n'est pas considéré comme à haut risque lorsqu'il ne présente pas de risque important de préjudice pour la santé, la sécurité ou les droits fondamentaux, notamment en n'ayant pas d'incidence significative sur le résultat de la prise de décision. Quatre situations sont visées : le système est destiné à accomplir une tâche procédurale étroite, à améliorer le résultat d'une activité humaine préalablement réalisée, à détecter des constantes de prise de décision sans se substituer à l'évaluation humaine, ou à accomplir une tâche préparatoire à une évaluation.
Cette dérogation comporte deux verrous. Elle est écartée d'office lorsque le système effectue un profilage de personnes physiques. Et elle impose au fournisseur qui l'invoque de documenter son évaluation avant la mise sur le marché, puis d'enregistrer le système dans la base de données de l'Union. Le règlement (UE) 2026/1744 a maintenu cette obligation d'enregistrement, que la proposition initiale de la Commission prévoyait de supprimer, en l'assortissant seulement d'une procédure simplifiée.
Pour un déployeur, la conséquence pratique est directe : si votre éditeur affirme que son outil échappe au haut risque par l'article 6, paragraphe 3, demandez l'évaluation documentée et la référence d'enregistrement. Une affirmation commerciale ne constitue pas une preuve, et c'est l'entreprise utilisatrice qui reste exposée à la question.
Ce que le statut de déployeur emporte
L'article 26 fixe les obligations du déployeur d'un système à haut risque. Sept d'entre elles structurent le travail d'une direction des ressources humaines.
Utiliser le système conformément à la notice d'utilisation fournie par le fournisseur. Détourner un outil conçu pour un tri initial en outil de décision finale constitue un manquement caractérisé, et fait par ailleurs peser un risque de basculement vers le statut de fournisseur par changement de destination.
Confier la supervision humaine à des personnes physiques disposant des compétences, de la formation, de l'autorité et du soutien nécessaires. L'exigence porte autant sur l'autorité que sur la compétence : un recruteur qui n'a pas la latitude organisationnelle d'écarter une recommandation n'exerce pas de supervision effective.
Veiller à ce que les données d'entrée soient pertinentes et suffisamment représentatives au regard de la destination du système, dans la mesure où le déployeur exerce un contrôle sur elles.
Surveiller le fonctionnement et informer le fournisseur ainsi que l'autorité de surveillance du marché en cas de risque identifié ou d'incident grave.
Conserver les journaux générés automatiquement, dans la mesure où ils sont sous le contrôle du déployeur, pendant une période appropriée d'au moins six mois, sauf disposition contraire du droit applicable.
Informer les travailleurs et leurs représentants, avant la mise en service, qu'ils seront soumis à l'utilisation du système. C'est une obligation propre au règlement, distincte de celles du code du travail.
Informer les personnes physiques qu'elles sont soumises à l'utilisation d'un système à haut risque lorsque celui-ci prend des décisions ou aide à en prendre à leur sujet. Côté recrutement, cela se traduit par une mention dans l'annonce et sur le formulaire de candidature.
S'y ajoute l'article 86, qui ouvre à la personne faisant l'objet d'une décision fondée sur les sorties d'un système à haut risque de l'annexe III et produisant des effets juridiques ou l'affectant significativement, le droit d'obtenir du déployeur des explications claires et pertinentes sur le rôle du système dans la procédure de décision.
L'analyse d'impact de l'article 27 : qui y est réellement soumis
L'analyse d'impact sur les droits fondamentaux est régulièrement présentée comme une obligation générale des déployeurs de systèmes à haut risque. Le texte est plus étroit. L'article 27 vise les déployeurs qui sont des organismes de droit public, les entités privées fournissant des services publics, et les déployeurs des systèmes visés à l'annexe III, point 5, sous b) et c) — évaluation de la solvabilité et tarification en assurance vie et santé.
Un employeur privé déployant un outil de recrutement n'entre donc pas, en principe, dans le champ de l'article 27. Il reste soumis, le cas échéant, à l'analyse d'impact relative à la protection des données de l'article 35 du RGPD, dont l'objet et les critères sont différents.
Le calendrier réel, et ce qui s'applique déjà
Le règlement (UE) 2026/1744 a reporté au 2 décembre 2027 l'application des obligations attachées aux systèmes à haut risque autonomes de l'annexe III, contre le 2 août 2026 initialement prévu. Les systèmes à haut risque intégrés comme composants de sécurité dans des produits réglementés relevant de l'annexe I passent du 2 août 2027 au 2 août 2028. L'annexe III elle-même n'a pas été modifiée : une classification établie avant l'omnibus reste valable.
Ce report ne libère pas le sujet, pour trois raisons vérifiables dans les textes en vigueur.
L'article 5 s'applique depuis le 2 février 2025, ce qui vise directement les modules d'inférence émotionnelle présents dans certains outils d'entretien vidéo.
L'article 22 du RGPD s'applique depuis 2018. Une décision de rejet fondée exclusivement sur un traitement automatisé et produisant des effets juridiques ou affectant significativement le candidat est encadrée indépendamment de l'AI Act, avec droit d'obtenir une intervention humaine et de contester la décision.
Le code du travail s'applique également. L'article L. 2312-8 soumet à consultation du comité social et économique les projets importants modifiant les conditions de travail et l'introduction de nouvelles technologies, et l'article L. 2312-38 impose une consultation préalable à la mise en œuvre de moyens ou techniques permettant un contrôle de l'activité des salariés. L'article L. 1221-9 impose par ailleurs d'informer le candidat des méthodes et techniques d'aide au recrutement utilisées.
Autrement dit, l'échéance qui a bougé est celle du régime documentaire de l'AI Act. Les obligations qui exposent le plus rapidement une entreprise — devant un candidat, un salarié, un CSE ou la CNIL — n'ont pas bougé.
Ce qu'il est rationnel de faire d'ici décembre 2027
Le report offre seize mois. Trois chantiers en tirent parti, dans cet ordre.
Recenser les fonctions d'IA présentes dans la chaîne de recrutement et d'évaluation, y compris celles portées par les plateformes de diffusion d'annonces et par les cabinets partenaires. Un contrat de prestation ne transfère pas le statut de déployeur pour les systèmes utilisés sous votre autorité.
Obtenir des éditeurs les pièces qui conditionnent votre propre conformité : notice d'utilisation au sens de l'article 13, position du fournisseur sur la classification, et le cas échéant évaluation au titre de l'article 6, paragraphe 3, et référence d'enregistrement. Ces demandes sont plus faciles à faire aboutir au moment d'un renouvellement contractuel qu'en cours de contrat.
Écrire la procédure de supervision humaine : qui examine quoi, sur quels critères une recommandation peut être écartée, et comment cet écart est tracé. C'est la pièce la plus longue à produire et celle qui a le plus de valeur en dehors de la conformité, parce qu'elle documente aussi la non-discrimination du processus de recrutement.
Avertissement
Cet article présente une lecture opérationnelle du règlement et ne constitue pas un conseil juridique. Amada Piedade intervient sur le volet méthodologique et documentaire de la conformité. En cas de doute sur la qualification d'un système, référez-vous au texte et aux articles cités.
Pour situer votre chaîne de recrutement au regard de l'annexe III, le diagnostic AI Act reprend les critères de qualification exposés ici.
Sources
Règlement (UE) 2024/1689 du 13 juin 2024, articles 5, 6, 13, 26, 27 et 86, et annexe III, point 4 — texte sur EUR-Lex.
Règlement (UE) 2026/1744 du 8 juillet 2026 modifiant le règlement (UE) 2024/1689, reportant les obligations des systèmes à haut risque de l'annexe III au 2 décembre 2027 et celles de l'annexe I au 2 août 2028 — texte au Journal officiel du 24 juillet 2026.
Règlement (UE) 2016/679 (RGPD), articles 22 et 35.
Code du travail, articles L. 1221-9, L. 2312-8 et L. 2312-38 — Légifrance.