Les directions des ressources humaines sont aujourd'hui parmi les premières cibles des offres d'agents IA. Un agent qui trie automatiquement les CV, qui accueille les nouveaux entrants, qui répond aux questions récurrentes des collaborateurs : la promesse est séduisante et le retour sur investissement affiché par les éditeurs, spectaculaire. Pourtant, la même fonction RH concentre trois zones de risque juridique, éthique et social qui exigent d'aborder le sujet avec une rigueur particulière.

Cet article expose ce qu'un déploiement d'agent IA en RH implique concrètement en 2026 : son cadre légal désormais explicite avec l'AI Act, les cas d'usage crédibles (et ceux qui restent hors de portée), et la feuille de route pour ne pas ouvrir un contentieux prud'homal ou une sanction CNIL en croyant gagner du temps sur le tri de candidatures.

Trois surfaces RH, un même niveau de vigilance

Trois usages sortent régulièrement des ateliers de cadrage avec les DRH que j'accompagne. Le premier, le screening de candidatures, est celui qui excite le plus les comités de direction : un agent qui lit les CV et propose une short-list réduit le temps de recruteur de plusieurs jours à quelques heures. Le deuxième, l'onboarding, mobilise l'IA pour personnaliser les parcours des nouveaux entrants, générer des plans de formation initiaux, répondre aux premières questions administratives. Le troisième, le support interne, positionne l'agent comme point de contact de niveau 1 pour les collaborateurs : droit du travail, procédures internes, congés, remboursements.

Ces trois surfaces partagent une même caractéristique : elles traitent des données personnelles de personnes physiques dans un contexte où la décision de l'entreprise a un impact direct sur leur trajectoire professionnelle. C'est précisément ce qui les classe toutes les trois dans la catégorie la plus surveillée du nouveau cadre européen : « systèmes d'IA à haut risque » au sens du Règlement UE 2024/1689, plus connu sous le nom d'AI Act.

Ce que dit l'AI Act : haut risque annexe III §4

Le Règlement UE 2024/1689 identifie explicitement les systèmes d'IA utilisés pour le recrutement, la sélection de personnes physiques et l'évaluation des candidats comme des systèmes à haut risque. Cette qualification figure noir sur blanc à l'annexe III paragraphe 4 du texte. La conséquence est loin d'être cosmétique : elle enclenche un régime de conformité proche de celui d'un dispositif médical, très éloigné du « on teste, on ajuste » qui prévaut encore dans beaucoup d'organisations sur les projets IA génératifs.

Concrètement, un déploiement d'agent IA en RH doit respecter cinq obligations articulées, à ne surtout pas traiter comme des cases à cocher indépendantes.

1. Évaluation de conformité préalable (art. 43)

Avant la mise en service, une évaluation de conformité doit être conduite conformément à l'art. 43 de l'AI Act. Selon la nature du système, elle peut être menée en interne (contrôle interne documenté) ou nécessiter l'intervention d'un organisme notifié. L'entreprise déployeuse ne peut plus se contenter d'une simple validation par l'éditeur : c'est elle qui porte, in fine, la responsabilité d'avoir vérifié la conformité du système sur son propre cas d'usage.

2. Documentation technique (annexe IV)

L'annexe IV du règlement liste précisément le contenu de la documentation technique attendue : description du système, données d'entraînement, méthodes de validation, indicateurs de performance, limites connues, journal des versions. Ce dossier doit être disponible et à jour pendant toute la durée d'usage du système, et fourni sur demande aux autorités de surveillance. C'est un livrable, pas une formalité : aucun agent RH sérieux ne se déploie sans ce socle documentaire.

3. Surveillance humaine effective (art. 14)

L'art. 14 impose que le système soit conçu pour permettre une supervision humaine effective. Effective, pas cosmétique : la personne en charge doit pouvoir comprendre les sorties de l'agent, détecter ses dysfonctionnements et intervenir. Cela suppose une formation adéquate des recruteurs, du temps alloué à la revue des décisions proposées, et une interface qui rend visible le raisonnement de l'agent — pas une boîte noire qui recrache un score de 0 à 100.

4. Qualité et gouvernance des données (art. 10)

L'art. 10 exige que les jeux de données d'entraînement, de validation et de test soient pertinents, représentatifs, exempts d'erreurs et complets. Pour un agent de screening, cela veut dire vérifier que les données historiques utilisées pour apprendre ne reproduisent pas les biais passés de recrutement de l'entreprise. C'est le point le plus délicat en pratique : si votre base historique reflète dix ans de sur-représentation d'un profil, l'agent apprendra à reproduire ce filtre — et à le systématiser.

5. Transparence utilisateur (art. 13)

L'art. 13 impose une transparence renforcée : l'utilisateur du système (le recruteur, le RH opérationnel) doit disposer d'une notice compréhensible sur les capacités, les limites, les indicateurs de performance et les conditions d'usage recommandées. Cette obligation se combine, pour les personnes concernées (candidats, salariés), avec l'obligation d'information au titre du RGPD.

La règle absolue : l'IA structure, elle ne décide pas

C'est le point sur lequel je reviens systématiquement avec les DRH que je forme, parce qu'il concentre le plus de malentendus. Le RGPD art. 22 pose un principe qu'aucun projet d'IA en RH ne peut contourner : une personne a le droit de ne pas faire l'objet d'une décision automatisée — c'est-à-dire d'une décision prise sans intervention humaine significative — lorsque celle-ci produit des effets juridiques la concernant ou l'affecte de manière significative. Un refus de recrutement, une convocation à un entretien, une évaluation de fin de période d'essai : tout cela entre pleinement dans cette catégorie.

La conséquence opérationnelle est simple à énoncer, plus délicate à tenir dans la durée : l'IA structure, elle ne décide pas. Un agent peut extraire, résumer, comparer, ordonner, proposer. Il ne peut pas trancher seul. La décision finale doit rester le fait d'un humain qui a pu prendre connaissance de la situation, apprécier le contexte et exercer un jugement — ce que l'AI Act appelle une supervision humaine effective, et ce que la pratique appelle human-in-the-loop.

La tentation, lorsque le volume de candidatures est fort, est de laisser l'agent « éliminer » les profils en dessous d'un seuil. Cette configuration, techniquement triviale, est juridiquement disqualifiante. Elle transforme un outil d'aide en décideur autonome, et expose l'entreprise à un contentieux sur la base de l'art. 22 du RGPD. Aucun gain de productivité ne compense ce risque, et aucun éditeur ne prendra la responsabilité à votre place.

Août 2026 : l'échéance qui structure le calendrier

La lecture stratégique du calendrier compte autant que celle du texte. Les obligations de l'AI Act s'appliquent aux systèmes à haut risque à partir d'août 2026, soit deux ans après l'entrée en vigueur du règlement. Cette date d'application n'est pas un horizon lointain : un système déployé aujourd'hui doit être conforme à cette date, ce qui suppose d'avoir engagé les travaux d'évaluation de conformité, de documentation technique et de mise en place de la supervision humaine largement en amont.

Pour un projet lancé aujourd'hui, l'ordre logique est le suivant : cadrage juridique en premier, choix de la solution ensuite, déploiement pilote encadré en dernier. L'ordre inverse — celui que la plupart des entreprises adoptent spontanément — expose à devoir défaire un déploiement en cours pour se remettre en conformité, avec un coût organisationnel et parfois réputationnel largement supérieur au bénéfice initial.

DPIA (RGPD art. 35) : le pré-requis souvent oublié

Avant même l'AI Act, le RGPD impose depuis 2018 une DPIA — Data Protection Impact Assessment, ou analyse d'impact relative à la protection des données — pour tout traitement présentant un risque élevé pour les droits et libertés des personnes concernées. Un agent IA qui traite des candidatures ou évalue des collaborateurs coche l'ensemble des critères de la CNIL déclenchant cette obligation.

La DPIA, prévue par le RGPD art. 35, doit être conduite avant la mise en service, associer le délégué à la protection des données (DPO) et, dans les cas de risque résiduel élevé, faire l'objet d'une consultation préalable de la CNIL. Elle documente : la nature du traitement, sa nécessité, les risques pour les personnes, les mesures pour les atténuer. C'est un exercice structurant, pas un formulaire à remplir en fin de projet — et il se combine naturellement avec la documentation technique attendue par l'annexe IV de l'AI Act.

La CNIL, « IA : la CNIL finalise ses recommandations sur le développement des systèmes d'IA et annonce ses futurs travaux », juillet 2025 précise l'applicabilité du RGPD aux modèles, les impératifs de sécurité et les conditions d'annotation des données d'entraînement. Pour un projet d'agent IA en RH, ces fiches constituent le référentiel opposable en cas de contrôle : elles doivent être lues en amont de la DPIA, pas après.

En pratique, un projet d'agent IA en RH qui n'a pas produit sa DPIA n'est pas prêt pour la mise en service, quelle que soit la qualité de la technologie retenue. C'est le pré-requis dont l'absence disqualifie tout le reste.

Feuille de route pour un déploiement RH conforme

De cette expérience et des cadrages menés depuis, j'extrais une feuille de route en cinq étapes qui a le mérite d'être exécutable dans une PME ou une ETI, sans dispositif juridique disproportionné.

Étape 1 — Cartographier le cas d'usage précis. Screening ? Onboarding ? Support interne ? Chaque surface a un profil de risque et un régime de conformité distincts. Un agent qui répond aux questions RH courantes des salariés n'a pas la même exposition qu'un agent qui filtre des candidatures externes.

Étape 2 — Lancer la DPIA en amont. Associer le DPO dès le cadrage, pas au moment de la mise en production. La DPIA structure le reste des travaux et fait remonter les points d'attention qui, sinon, apparaîtront trop tard.

Étape 3 — Vérifier l'évaluation de conformité et la documentation technique du fournisseur. Demander explicitement au fournisseur son dossier art. 43 et annexe IV. Un fournisseur qui n'a pas de réponse claire aujourd'hui, sur un système destiné à un usage RH, n'est probablement pas prêt pour août 2026.

Étape 4 — Concevoir le dispositif de supervision humaine. Qui revoit les propositions ? Avec quelle fréquence ? Selon quels critères peut-on inverser une proposition de l'agent ? Comment est tracée la décision finale ? C'est ici que l'art. 14 de l'AI Act se traduit en organigramme concret.

Étape 5 — Former les utilisateurs. Les recruteurs et RH opérationnels doivent comprendre comment l'agent fonctionne, ses limites, les cas où sa proposition doit être remise en question. Sans cette étape, la supervision reste théorique. Sur ce point, nos formations Oppchain sur l'éthique et l'usage responsable de l'IA et sur le pilotage du changement IA en équipe croisent directement les exigences AI Act et RGPD, avec un ancrage pratique sur les cas d'usage RH.

Cette exigence de supervision humaine, très visible ici sous l'angle AI Act haut risque, se retrouve — sous des formes distinctes — sur les autres fonctions que nous accompagnons. Notre analyse sur l'agent IA en support client N1 détaille les seuils d'escalade sur des interactions à faible enjeu juridique mais forte sensibilité relationnelle ; notre article sur l'agent IA en finance et back-office comptable décline la même logique côté souveraineté des données et piste d'audit comptable. Le socle transverse — registre des agents, kill switch, journal d'audit, périmètre d'autonomie signé — est consolidé dans notre article pilier Gouvernance et sécurité des agents IA en entreprise, à lire en complément de celui-ci pour un cadrage DRH aligné avec le RSSI et le DPO.

Cette feuille de route complète les cadrages déployés sur d'autres fonctions dans notre panorama IA agentique en entreprise : opportunités, ROI et feuille de route, où la logique du human-in-the-loop se retrouve — sous des formes différentes selon la fonction — comme dénominateur commun des déploiements qui tiennent dans la durée.

Ce qu'il faut retenir

L'agent IA en RH n'est pas un projet informatique. C'est un projet de conformité, de conduite du changement et de gouvernance des données, dont la brique technologique est le dernier élément à choisir, pas le premier. Le classement en haut risque de l'AI Act, l'interdiction de la décision entièrement automatisée par le RGPD art. 22, l'échéance d'application d'août 2026 et l'obligation de DPIA préalable dessinent un cadre exigeant mais parfaitement praticable pour une entreprise qui prend le sujet dans le bon ordre.

Le vrai risque, en 2026, n'est pas de rater la vague de l'IA en RH. C'est d'en déployer une version non conforme qui expose l'entreprise à un contentieux prud'homal, à une sanction CNIL ou, plus simplement, à une perte de confiance interne au moment où l'on essaie précisément de renforcer la marque employeur. La bonne nouvelle est que les entreprises qui prennent le temps de la conformité prennent aussi, mécaniquement, une avance sur la qualité de leur processus RH — et c'est cette avance-là qui reste.

Sources

  • CNIL — Dossier « Intelligence artificielle » et fiches pratiques recrutement (cnil.fr).
  • CNIL — IA : la CNIL finalise ses recommandations sur le développement des systèmes d'IA et annonce ses futurs travaux, 22 juillet 2025 (cnil.fr).
  • Défenseur des droits — Algorithmes : prévenir l'automatisation des discriminations (rapport 2020, defenseurdesdroits.fr).
  • Règlement (UE) 2024/1689 (AI Act), version française consolidée, notamment annexe III §4 (recrutement, obligation août 2026), art. 10, art. 13, art. 14, art. 43 et annexe IV (eur-lex.europa.eu).
  • Anne Bouverot & Philippe Aghion — IA, notre ambition pour la France, rapport de la Commission de l'intelligence artificielle, mars 2024 (elysee.fr).
  • NIST — AI Risk Management Framework (nist.gov).