L'AI Act interdit l'IA — vrai ou faux ?

Les médias résument souvent le texte à une liste de pratiques interdites — manipulation subliminale, notation sociale, reconnaissance d'émotions en milieu professionnel — sans distinguer les outils de préqualification structurée des systèmes les plus sensibles. Quand un éditeur annonce que « le recrutement est à haut risque », le réflexe naturel est de tout mettre en pause.

En interne, la confusion vient aussi du cumul RGPD + IA Act + droit du travail national. Sans cartographie claire des usages, chaque service (RH, IT, juridique) évalue un risque différent et le projet reste bloqué au comité de direction.

Pourtant, le législateur européen a explicitement visé les usages à fort impact sur l'accès à l'emploi — pas l'innovation en soi. L'objectif est de garantir que les candidats sachent qu'une IA intervient et qu'un humain reste responsable.

Le calendrier n'est pas « tout interdit demain ». Plusieurs jalons sont déjà passés ou arrivent à échéances distinctes selon le type de système.

Pour un projet de préqualification vocale lancé en 2025-2026, la priorité est de se mettre en conformité avec les obligations des systèmes à haut risque avant l'échéance du 2 août 2026, date à laquelle les exigences complètes pour ces systèmes s'appliquent aux fournisseurs et déployeurs.

• Février 2025 : pratiques interdites (manipulation, notation sociale, certaines inférences émotionnelles).
• Août 2025 : obligations pour les modèles d'IA à usage général (GPAI) et gouvernance des chaînes de valeur.
• Août 2026 : conformité complète des systèmes à haut risque — documentation, gestion des risques, supervision humaine, traçabilité.
• Anticiper dès maintenant évite un déploiement précipité en 2026 sans documentation fournisseur.

Un outil de tri ou de sélection de candidats listé en annexe III doit respecter un cycle de conformité continu — pas un simple checklist ponctuel à la signature du contrat.

Les articles 9 à 15 imposent notamment un système de gestion des risques, des jeux de données représentatifs, une documentation technique, des journaux (logs), une transparence envers les utilisateurs et les personnes concernées, une supervision humaine effective, ainsi que robustesse, cybersécurité et précision dans la mesure du possible.

• Art. 9 — Gestion des risques : identifier et atténuer les biais, erreurs et usages détournés.
• Art. 10 — Données : qualité, pertinence et limitation des données d'entraînement et d'inférence.
• Art. 13 — Transparence : instructions claires pour le déployeur (vous) et information des candidats.
• Art. 14 — Supervision humaine : possibilité réelle d'intervenir, pas une validation automatique fictive.
• Art. 15 — Précision et robustesse : performances documentées sur vos cas d'usage réels.

Tous les usages IA en recrutement ne présentent pas le même profil de risque opérationnel. Le tri massif de CV sur des critères proxies (établissement, code postal, trous dans le CV) concentre des risques de discrimination difficiles à auditer après coup.

Une préqualification vocale structurée — comme celle proposée par HiLucy avec Lucy — pose les mêmes questions à tous, enregistre des réponses transcrites et produit une synthèse critériée pour revue humaine. Le candidat sait à quoi s'attendre ; le recruteur valide avant toute suite.

Ce n'est pas une exemption automatique au statut à haut risque, mais un usage plus transparent et auditable qu'un score opaque sur milliers de CV.

Voici un plan actionnable que vous pouvez lancer en une demi-journée avec RH, DPO et achats.

Étape 1 — Cartographier : listez chaque point où une IA intervient (sourcing, tri CV, chatbot, entretien vocal, scoring). Étape 2 — Classifier : vérifiez si le fournisseur qualifie le système comme haut risque annexe III. Étape 3 — Documenter : exigez la documentation technique, l'évaluation de conformité et les instructions d'utilisation. Étape 4 — Informer : intégrez la mention IA dans les annonces, emails d'invitation et politique de confidentialité. Étape 5 — Superviser : définissez qui lit les synthèses, dans quel délai, et comment les décisions sont tracées dans l'ATS.

• Nommez un responsable conformité IA côté RH (même à temps partiel).
• Ajoutez une ligne dédiée dans le registre des traitements RGPD.
• Prévoyez un audit annuel des résultats par source de candidature.
• Négociez contractuellement la mise à jour documentaire du fournisseur.

La CNIL rappelle que l'IA Act et le RGPD sont cumulatifs : transparence, minimisation, droits des personnes et analyse d'impact (AIPD) lorsque le traitement est à risque élevé.

Pour les systèmes de recrutement, la CNIL insiste sur l'information loyale du candidat, l'interdiction de traiter des données non pertinentes (ex. analyse d'émotions), et la nécessité d'un recours humain pour les décisions significatives. Un éditeur comme HiLucy qui documente ses flux (audio → transcription → critères métier → synthèse) facilite ce dialogue avec votre DPO.

En cas de doute, saisissez votre DPO avant le déploiement — pas après le premier recrutement pilote.