Outils de recrutement par IA : analyse de la gouvernance du déploiement dans l’UE

Un recruteur ouvre un ordinateur portable et découvre qu’un logiciel a analysé 500 CV pendant la nuit, attribué un score à chaque candidat et produit une liste de 10 personnes présélectionnées. Ropes & Gray utilise cet exemple pour poser la question que la plupart des tableaux de bord RH préfèrent cacher : le système a-t-il décidé, ou a-t-il simplement aidé un humain ? Ce n’est pas un exercice philosophique avec de meilleurs snacks. C’est là que le règlement européen sur l’IA, les règles du RGPD sur la prise de décision automatisée et les règles britanniques commencent à entraîner les employeurs dans des piles de documents différentes.

Le moment n’a rien de théorique. La Commission européenne indique qu’une enquête du Centre commun de recherche s’est appuyée sur plus de 70 000 travailleurs dans les 27 États membres, et a constaté que 90 % des travailleurs dans l’UE utilisent des appareils numériques et que 30 % utilisent désormais des outils d’IA comme des chatbots alimentés par de grands modèles de langage. L’IA au travail est devenue assez ordinaire pour être achetée comme une solution courante. C’est précisément à ce moment-là qu’un enjeu de conformité cesse d’être une note interne et devient une question d’intégration au déploiement.

La question de conformité commence avant la démonstration

Ogletree Deakins présente le sujet, dans son guide rédigé par Simon J. McMenemy et Nicola McCrudden, comme relevant des obligations de l’employeur au titre du RGPD et du règlement européen sur l’IA. Le mot utile est employeur. L’entreprise qui achète l’outil de recrutement ne choisit pas seulement un ensemble de fonctionnalités : elle décide comment les candidats seront évalués, orientés et éventuellement exclus.

La Commission européenne décrit le règlement sur l’IA comme établissant des règles fondées sur les risques pour les développeurs et les déployeurs d’IA. Cette étiquette de déployeur compte, car le logo d’un fournisseur n’est pas un champ de force juridique. Avant le déploiement, l’employeur a besoin d’une description écrite de ce que fait l’outil, de l’étape du recrutement qu’il affecte, des données candidates qu’il utilise et de ce qu’un examinateur humain est censé vérifier. Si cela donne l’impression que les achats sont devenus de la gouvernance, oui, c’est bien l’idée.

L’assistance n’est pas un mot magique

Ropes & Gray renvoie à l’annexe III(4) du règlement européen sur l’IA, qui classe comme à haut risque les systèmes d’IA « destinés à être utilisés » pour des décisions de recrutement, de sélection ou d’évaluation dans le contexte de l’emploi. Cela couvre davantage que la version inquiétante de l’automatisation où une machine rejette des candidats sans humain à l’horizon. Un système qui note des CV, classe des candidats ou produit une liste de présélection peut tout de même orienter la décision si fortement que l’examen humain devient du théâtre.

À partir du 2 août 2026, selon Ropes & Gray, la question de la classification se situe à l’intersection de trois cadres : le règlement européen sur l’IA, le régime du RGPD sur la prise de décision automatisée et la loi britannique Data (Use and Access) Act 2025. Le cabinet note aussi que le régime britannique est plus léger, ce qui, en langage d’avocat, signifie : merci d’arrêter de réutiliser la même diapositive de conformité dans tous les pays. Le test pratique pour les employeurs consiste à savoir si le responsable peut réellement s’écarter du résultat produit par le système, comprend la base de ce résultat et dispose du temps nécessaire pour examiner davantage que les 10 premiers noms.

Le RGPD est le piège le plus ancien dans la pièce

L’IAPP rapporte que l’IA utilisée dans l’emploi et sur le lieu de travail est considérée comme à haut risque au titre du règlement sur l’IA si elle peut affecter la santé et la sécurité d’une personne ou son emploi, et que les systèmes de reconnaissance des émotions sur le lieu de travail sont interdits. L’IAPP cite également Cian O’Brien, de la Commission irlandaise de protection des données, pour rappeler que tous les déploiements d’IA axés sur les RH ne sont pas à haut risque. Cette distinction n’est pas une échappatoire. C’est un exercice de cadrage qui doit avoir lieu avant que quelqu’un signe le bon de commande du fournisseur.

Le RGPD reste le piège le plus ancien, car Ropes & Gray place l’IA de recrutement à la fois dans l’analyse relative à la prise de décision automatisée et dans l’analyse relative au règlement sur l’IA. Les employeurs devraient donc traiter l’impact sur la protection des données, l’information des candidats, la base légale et l’intervention humaine significative comme des exigences de conception, et non comme des annotations ajoutées après le lancement. La transparence, ici, n’est pas une bannière indiquant que l’entreprise utilise l’IA. C’est un niveau de détail opérationnel suffisant pour que les candidats, les équipes RH et les auditeurs comprennent le rôle joué par le système.

Ce que les développeurs et les acheteurs devraient changer maintenant

L’enquête de la Commission européenne a révélé que 37 % des travailleurs déclarent que les employeurs utilisent l’IA et d’autres outils pour surveiller les heures de travail, tandis que 24 % signalent une gestion algorithmique impliquant l’attribution ou l’évaluation automatique du travail. Le recrutement fait partie de ce même schéma d’automatisation du lieu de travail. Dès qu’un outil touche à l’accès au travail, il cesse d’être seulement un projet d’efficacité et devient un projet de responsabilité.

Pour les développeurs, cela signifie séparer les scores, les classements et les recommandations de décision dans la conception du produit, afin que les clients puissent configurer un véritable examen humain. Pour les acheteurs, cela signifie que l’examen du fournisseur devrait demander des résumés des données d’entraînement, une documentation sur les performances, des informations sur les tests de biais, une assistance à l’audit et des contrôles de suppression ou de conservation, puis relier ces réponses au flux de recrutement réel. Le guide d’Ogletree Deakins est utile parce qu’il déplace la conversation : il ne s’agit plus de savoir si le recrutement par IA est malin. La meilleure question est de savoir si l’employeur peut expliquer le déploiement sans que ses avocats regardent silencieusement le plafond.

La prochaine chose à surveiller n’est pas une nouvelle annonce sur l’IA responsable dans le recrutement. Surveillez les éléments ennuyeux : questionnaires d’achat, registres de traitement des données, consignes aux responsables, avis aux candidats et journaux d’audit. C’est là que la conformité européenne du recrutement par IA deviendra soit une gouvernance de routine, soit un coûteux exercice de reconstruction.