IA Act et RH : comprendre le règlement européen sur l'IA

L'intelligence artificielle s'est installée dans le quotidien des équipes RH bien plus vite que les règles censées l'encadrer. Tri automatisé des CV, scoring des candidats, évaluation des performances, planification des effectifs : une part croissante des décisions qui touchent vos collaborateurs s'appuie aujourd'hui sur des systèmes d'IA. Or beaucoup de ces usages figurent désormais parmi les plus surveillés par la nouvelle réglementation européenne. Et les équipes concernées se disent rarement prêtes : la conformité à l'IA Act reste un angle mort pour une majorité de directions RH.

L'IA Act, ou règlement européen sur l'intelligence artificielle, est le premier cadre juridique complet au monde dédié à l'IA. Il ne s'adresse pas qu'aux éditeurs de logiciels ou aux géants de la tech : toute entreprise qui utilise un outil d'IA dans ses processus, y compris en RH, peut être concernée. Cet article vous explique ce qu'est l'IA Act, comment il classe les systèmes d'IA selon le risque, pourquoi les RH se retrouvent en première ligne, quel est le calendrier d'application, et quelles étapes concrètes engager pour préparer vos équipes.

Qu'est-ce que l'IA Act ?

Définition et objectif du règlement européen sur l'IA

L'IA Act (Artificial Intelligence Act) est le règlement (UE) 2024/1689, publié au Journal officiel de l'Union européenne le 12 juillet 2024 et entré en vigueur le 1er août 2024. C'est la première législation européenne, et plus largement le premier cadre complet au monde, à réguler de façon transversale la mise sur le marché et l'utilisation des systèmes d'intelligence artificielle.

Son objectif est double : favoriser le développement et l'innovation autour d'une IA digne de confiance, tout en protégeant la santé, la sécurité et les droits fondamentaux des personnes. Le texte ne cible pas une technologie précise mais encadre les usages selon le niveau de risque qu'ils représentent. Cette logique permet d'adapter les obligations à la réalité des systèmes, plutôt que d'imposer un cadre uniforme à des outils très différents.

Pourquoi l'Union européenne a voulu réguler l'intelligence artificielle

La régulation de l'IA répond à une préoccupation centrale : éviter que des systèmes opaques ou mal maîtrisés portent atteinte aux droits des citoyens. Un algorithme de recrutement biaisé, une notation sociale ou une surveillance généralisée peuvent produire des discriminations ou des décisions injustes, difficiles à contester pour les personnes concernées. En posant des règles communes à l'ensemble des États membres, l'Union européenne cherche aussi à instaurer un marché unique de l'IA, avec un cadre clair pour les entreprises et une protection homogène pour les individus. La Commission européenne et le Parlement européen ont porté ce texte avec l'ambition d'en faire une référence, sur le modèle de ce que le RGPD a représenté pour les données personnelles.

Qui est concerné par l'IA Act ?

Le règlement distingue plusieurs rôles, et c'est un point essentiel pour les entreprises. Sont notamment concernés les fournisseurs (ceux qui développent ou font développer un système d'IA et le mettent sur le marché) et les déployeurs (ceux qui utilisent un système d'IA dans le cadre de leur activité professionnelle).

Une entreprise qui n'édite aucun logiciel mais qui utilise un outil RH doté d'IA est donc un déployeur, et porte à ce titre des obligations. Le champ d'application est par ailleurs large sur le plan géographique : le texte peut s'appliquer à des fournisseurs établis hors de l'Union européenne dès lors que leur système est utilisé dans l'UE. Autrement dit, le lieu d'établissement de votre éditeur de logiciel ne vous exonère pas. Que vous utilisiez une solution SIRH intégrée ou plusieurs outils distincts, c'est l'usage que vous en faites qui détermine vos obligations.

Les quatre niveaux de risque de l'IA Act

L'IA Act repose sur une approche fondée sur les risques. Plutôt que d'interdire ou d'autoriser en bloc, il classe les systèmes d'IA en quatre niveaux, auxquels correspondent des obligations graduées. Plus le risque pour les droits et la sécurité des personnes est élevé, plus les exigences sont strictes.

• Risque inacceptable : usages contraires aux valeurs de l'UE, interdits (notation sociale, manipulation des comportements, certaines identifications biométriques).

• Risque élevé : systèmes pouvant affecter la sécurité ou les droits fondamentaux — exigences strictes de documentation, supervision humaine et transparence.

• Risque limité : systèmes nécessitant de la transparence — l'utilisateur doit savoir qu'il interagit avec une IA.

• Risque minimal : usages sans risque significatif — aucune obligation spécifique.

Risque inacceptable : les pratiques interdites

Certaines pratiques sont jugées contraires aux valeurs de l'Union européenne et sont donc strictement interdites. C'est le cas de la notation sociale des individus, de la manipulation des comportements exploitant les vulnérabilités de personnes, ou de certaines formes d'identification biométrique. L'interdiction de ces systèmes d'IA constitue la ligne rouge du règlement.

Risque élevé : les systèmes d'IA à haut risque

C'est le palier le plus structurant pour les entreprises. Les systèmes d'IA à haut risque sont autorisés, mais soumis à des exigences fortes : documentation technique, gestion des risques, qualité des données, traçabilité, transparence et surtout supervision humaine. C'est dans cette catégorie que se rangent de nombreux outils RH, comme nous le verrons plus bas.

Risque limité : les obligations de transparence

Les systèmes à risque limité doivent respecter des obligations de transparence. Concrètement, l'utilisateur doit savoir qu'il interagit avec une IA ou qu'un contenu a été généré par une IA. Un agent conversationnel ou un générateur de contenu entre dans cette catégorie.

Risque minimal

La grande majorité des systèmes d'IA relève du risque minimal et n'est soumise à aucune obligation spécifique. Les filtres anti-spam ou les IA intégrées aux jeux vidéo en sont des exemples typiques. Le règlement encourage néanmoins l'adoption volontaire de bonnes pratiques pour ces systèmes.

Pourquoi les RH sont en première ligne du palier haut risque

Les outils RH classés à haut risque

C'est sans doute le point que les directions RH sous-estiment le plus. L'annexe du règlement consacrée aux systèmes à haut risque vise explicitement les usages liés à l'emploi et à la gestion des travailleurs. Sont notamment concernés les systèmes d'IA utilisés pour le recrutement et la sélection (publication d'offres ciblées, filtrage et tri des candidatures, évaluation des candidats), ainsi que ceux qui servent à prendre des décisions affectant les conditions de travail, la promotion, l'affectation des tâches ou l'évaluation des performances.

Autrement dit, des fonctionnalités très répandues, comme le classement automatique de CV ou le scoring de performance, peuvent faire basculer votre logiciel RH dans la catégorie haut risque. Cela n'a rien d'anecdotique : ces outils touchent directement aux droits fondamentaux des personnes, d'où la vigilance du législateur européen. Si vous utilisez des outils de recrutement dotés d'IA, il est prudent d'en cartographier précisément les usages.

Les obligations associées

Quand un système RH relève du haut risque, le déployeur que vous êtes doit notamment veiller à une utilisation conforme à la notice du fournisseur, assurer une supervision humaine réelle des décisions, conserver les journaux générés par le système et informer les personnes concernées. La supervision humaine est centrale : une décision lourde de conséquences pour un salarié ou un candidat ne doit pas reposer sur le seul verdict d'un algorithme. La façon dont vous documentez et tracez ces usages, par exemple via une analytique RH fiable, devient un sujet de conformité à part entière.

Le cas des modèles d'IA à usage général (GPAI)

Le règlement traite aussi spécifiquement des modèles d'IA à usage général, dits GPAI (general-purpose AI). Ce sont les grands modèles capables d'accomplir une large variété de tâches, souvent intégrés en arrière-plan dans des applications professionnelles. Leurs fournisseurs sont soumis à des obligations propres, notamment de transparence et de documentation, avec des exigences renforcées pour les modèles présentant un risque systémique. Pour une équipe RH, l'enjeu est de savoir si l'outil utilisé s'appuie sur un modèle à usage général et comment son fournisseur répond à ces obligations. Sur ces sujets, l'exemple de la façon dont l'équipe RH de Rippling utilise l'IA illustre une approche raisonnée de l'IA appliquée aux processus RH.

Calendrier d'application de l'IA Act

L'IA Act est entré en vigueur le 1er août 2024, mais ses dispositions s'appliquent de façon progressive. Ce phasage laisse aux entreprises le temps de se préparer, échéance par échéance.

Ce qui est déjà en vigueur

Les premières dispositions sont déjà applicables. Les interdictions visant les pratiques à risque inacceptable s'appliquent depuis le début de l'année 2025. Les obligations relatives aux modèles d'IA à usage général sont entrées en application au cours de l'été 2025. Ces premières étapes posent le socle du dispositif.

Ce qui arrive

Les obligations les plus lourdes, celles qui concernent les systèmes d'IA à haut risque, dont les outils RH, s'appliquent ensuite par paliers, principalement à l'horizon 2026 et 2027 selon la nature des systèmes. C'est précisément la fenêtre dont disposent les directions RH pour cartographier leurs outils et se mettre en conformité. À noter : des ajustements de ce calendrier sont en discussion au niveau européen, il est donc utile de suivre les mises à jour officielles publiées par la Commission européenne pour disposer des dates définitives applicables à votre situation.

Sanctions en cas de non-conformité

Le règlement prévoit des sanctions financières dissuasives, modulées selon la gravité du manquement. Les infractions les plus graves, comme le recours à une pratique interdite, peuvent entraîner les amendes les plus élevées, exprimées en millions d'euros ou en pourcentage du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Les manquements aux obligations applicables aux systèmes à haut risque exposent à des sanctions également significatives, quoique d'un niveau inférieur. L'enjeu financier de la non-conformité justifie à lui seul d'anticiper.

Quatre étapes pour préparer vos équipes RH à l'IA Act

La conformité peut sembler intimidante, mais elle se construit méthodiquement. Voici quatre étapes concrètes pour avancer.

Étape 1 : recenser vos outils d'IA

On ne sécurise que ce que l'on connaît. La première étape consiste à dresser l'inventaire de tous les systèmes d'IA présents dans vos processus RH : logiciel de recrutement, module de scoring, outil d'évaluation, solution de planification. Pour chacun, identifiez la finalité, les données utilisées et le niveau de risque probable au regard du règlement. Une plateforme RH centralisée et une automatisation des workflows RH bien documentée facilitent grandement ce travail de cartographie.

Étape 2 : interroger vos fournisseurs

Une grande partie de votre conformité dépend de vos éditeurs. Sollicitez vos fournisseurs sur des points précis : leur système est-il classé à haut risque, quelle documentation technique fournissent-ils, comment gèrent-ils la qualité des données et les biais, quelles informations mettent-ils à disposition pour vos propres obligations de déployeur. Un fournisseur sérieux doit pouvoir répondre clairement. L'exemple d'une approche structurée de l'IA appliquée aux processus RH donne un aperçu du niveau de transparence attendu.

Étape 3 : instaurer une supervision humaine réelle

La supervision humaine ne doit pas rester un principe théorique. Définissez qui valide quoi, à quel moment une décision automatisée doit être revue par une personne, et comment un candidat ou un salarié peut contester une décision. L'objectif est qu'aucune décision à fort impact ne soit prise sur la seule base d'un algorithme, sans regard humain.

Étape 4 : mobiliser les bonnes parties prenantes

La conformité à l'IA Act n'est pas qu'un sujet RH. Associez les bonnes parties prenantes : la direction juridique pour l'interprétation du texte, l'IT pour la cartographie technique des systèmes, la direction générale pour arbitrer les priorités et allouer les ressources. Plus ces acteurs sont impliqués tôt, plus la mise en conformité sera fluide et soutenable dans la durée.

Rippling AI, une approche gouvernée et alignée avec l'AI Act

Cette étape est souvent sous-estimée : votre capacité à documenter et à prouver la gouvernance de votre outil d'IA dépend d'abord de la maturité de votre éditeur. Rippling a engagé ce chantier tôt. Rippling AI est conçue autour de principes de gouvernance explicites, s'appuie sur des certifications reconnues et se déclare conforme au règlement européen sur l'intelligence artificielle. Cette section fait le lien concret entre les exigences de l'AI Act et ce que Rippling apporte, pour vous aider à situer la plateforme dans votre propre démarche.

Une IA nativement intégrée, conçue pour assister vos équipes

Rippling AI est nativement intégrée au SIRH, à la gestion IT et à la finance de la plateforme. Elle s'appuie sur les données de votre entreprise, en héritant automatiquement des permissions et des rôles existants. Côté RH, Rippling AI permet de générer des rapports sur les données de l'entreprise, de répondre aux questions des collaborateurs et de les accompagner dans l'exécution de tâches — le tout dans le respect strict des droits d'accès et des workflows de validation définis par l'administrateur.

Le principe éditorial de Rippling AI reste constant : l'IA est là pour assister vos équipes, jamais pour prendre des décisions conséquentes en autonomie. Toute action à impact nécessite une validation humaine explicite, et les fonctionnalités opèrent uniquement en réponse à une demande utilisateur.

Un cadre de gouvernance aligné avec l'AI Act et les standards internationaux

Rippling a structuré sa gouvernance de l'intelligence artificielle autour de référentiels reconnus. Le management de l'IA est certifié selon la norme ISO 42001, un standard récent spécifiquement dédié aux systèmes d'IA, et le framework de gouvernance s'aligne également sur le NIST AI Risk Management Framework et les principes clés de l'AI Act. Cette base est complétée par les certifications ISO 27001 et ISO 27018 sur la sécurité de l'information et la protection des données personnelles, ainsi que par la conformité SOC 2 Type II.

Rippling se déclare par ailleurs conforme au règlement européen sur l'intelligence artificielle. Aucune fonctionnalité de la plateforme ne relève des usages interdits par le texte, comme la notation sociale ou la catégorisation biométrique. Chaque nouvelle fonctionnalité IA fait l'objet d'une revue interne par les équipes juridique, sécurité et vie privée, avec évaluation d'impact, analyse des risques modèle et contrôles de protection des données avant sa mise en production.

Un socle qui facilite votre mise en conformité, sans s'y substituer

Sous l'AI Act, Rippling agit comme fournisseur des systèmes d'IA, tandis que vous, entreprise utilisatrice, êtes déployeur. Rippling est responsable de la conception et de la gouvernance de sa plateforme ; vous êtes responsable de la configuration et de l'usage dans vos processus. La conformité opérationnelle, notamment sur les usages liés au recrutement ou à l'évaluation, reste de votre ressort.

Pour vous outiller, Rippling met à disposition plusieurs mécanismes concrets : supervision humaine intégrée, avec approbation avant chaque action à impact ; transparence, avec des sorties clairement identifiées comme générées par IA dans l'interface ; traçabilité, avec des réponses auditables et gouvernées tout au long de leur cycle de vie ; permissions granulaires héritées automatiquement des rôles existants ; et politique de zéro rétention avec les fournisseurs de modèles de fondation, sans utilisation des données clients pour entraîner les modèles.

Conclusion

L'IA Act marque un tournant : pour la première fois, l'usage de l'intelligence artificielle dans la gestion des collaborateurs est encadré par un texte contraignant à l'échelle européenne. Pour les RH, le message est clair. Les outils du quotidien, recrutement, évaluation, planification, peuvent relever du haut risque et appellent une vigilance particulière sur la documentation, la transparence et la supervision humaine.

La bonne nouvelle, c'est que le calendrier progressif laisse le temps de s'organiser. En recensant vos outils, en interrogeant vos fournisseurs, en instaurant une supervision humaine effective et en mobilisant les bonnes parties prenantes, vous transformez une obligation réglementaire en démarche maîtrisée. La conformité repose avant tout sur la visibilité que vous avez sur vos systèmes et sur la fiabilité de l'infrastructure RH qui les supporte.

Questions fréquentes

L'IA Act s'applique-t-il à mon entreprise si je n'édite aucun logiciel d'IA ?

Oui, potentiellement. Le règlement vise non seulement les fournisseurs de systèmes d'IA, mais aussi les déployeurs, c'est-à-dire les entreprises qui utilisent ces systèmes dans leur activité. Si vous employez un outil RH doté d'IA pour le recrutement ou l'évaluation, vous portez des obligations en tant que déployeur, selon le niveau de risque du système.

Quels outils RH sont considérés comme des systèmes d'IA à haut risque ?

Les systèmes d'IA utilisés pour le recrutement et la sélection des candidats, ainsi que pour les décisions affectant les conditions de travail, la promotion ou l'évaluation des performances, sont visés par l'annexe des systèmes à haut risque. Le tri automatisé de CV et le scoring de performance en sont des exemples fréquents.

Quand les obligations pour les systèmes à haut risque s'appliquent-elles ?

Les obligations relatives aux systèmes à haut risque s'appliquent par paliers, principalement à l'horizon 2026 et 2027 selon la nature des systèmes. Des ajustements du calendrier étant en discussion au niveau européen, il est recommandé de suivre les publications officielles de la Commission européenne pour connaître les dates définitives.