(1/3) Bruxelles vient de reclasser votre stack de recrutement en haut risque

Pendant l'essentiel des trois dernières années, la conversation autour de l'IA dans le recrutement a tourné autour de la productivité. Combien de CV peut-on filtrer par heure. À quelle vitesse on peut sourcer des candidats. Combien de comptes rendus d'entretien on peut résumer automatiquement. L'Union européenne a entièrement forcé un recadrage de cette conversation, et le nouveau cadre, c'est le risque pour les droits fondamentaux.

Le Règlement (UE) 2024/1689 — l'EU AI Act — est entré en vigueur le 1ᵉʳ août 2024, mais la pleine applicabilité de la loi, y compris la plupart des obligations relatives aux IA à haut risque, est prévue pour le 2 août 2026. Cependant, des accords provisoires récents (le « Digital Omnibus ») ont reporté des échéances clés du haut risque au 2 décembre 2027 pour les systèmes autonomes et au 2 août 2028 pour l'IA intégrée à des produits réglementés.

C'est la première loi globale et horizontale au monde régissant l'intelligence artificielle, et elle fait une chose que la plupart des commentaires ont survolée : elle désigne le monde du travail comme l'un des environnements les plus lourdement réglementés pour l'IA dans tout le texte. Si votre entreprise utilise un logiciel pour filtrer des candidatures, classer des candidats, noter des entretiens ou évaluer la performance des employés — et en 2026, c'est le cas de presque toutes les entreprises — vous opérez désormais à l'intérieur de ce régime.

C'est le premier billet d'une série en trois parties. Je vais essayer de cartographier le paysage : ce que dit réellement la loi sur l'IA en RH, pourquoi la quasi-totalité de cette IA atterrit dans la catégorie « haut risque », et ce qui est purement interdit. La Partie 2 couvre les obligations concrètes qui pèsent sur les employeurs. La Partie 3 explique comment nous avons construit la présélection des candidats chez Conectia pour qu'elle vive à l'intérieur de ces règles plutôt que de les combattre.

La pyramide du risque, et pourquoi les RH siègent près du sommet

La loi ne régule pas « l'IA » comme un bloc monolithique. Elle trie les systèmes en quatre niveaux selon le risque qu'ils posent, et les obligations augmentent avec le niveau :

• Risque inacceptable — interdit entièrement (Article 5).
• Haut risque — autorisé, mais soumis au régime de conformité le plus lourd de la loi (Articles 8 à 27, Annex III).
• Risque limité — autorisé, avec des obligations de transparence (Article 50). Pensez aux chatbots qui doivent révéler qu'ils ne sont pas humains.
• Risque minimal — essentiellement non régulé. Filtres anti-spam, moteurs de recommandation, l'essentiel de ce qu'on trouve dans un produit normal.

La logique politique de la pyramide est simple : plus un système d'IA peut affecter la vie, les moyens de subsistance ou les droits d'une personne, plus la loi s'en soucie. Et il y a peu de décisions qu'un logiciel puisse prendre qui affectent les moyens de subsistance d'une personne plus directement que le fait de savoir si elle obtient le poste.

C'est pourquoi l'UE a placé l'emploi dans l'Annex III — la liste des cas d'usage à haut risque — comme une catégorie à part entière. Le point 4 de cet annexe couvre les systèmes d'IA utilisés dans l'emploi, la gestion des travailleurs et l'accès au travail indépendant. En clair, il capte deux phases de la relation de travail :

1. Recrutement et sélection — placer ou cibler des offres d'emploi, filtrer des candidatures et évaluer les candidats.
2. Décisions affectant la relation — promotion et licenciement, attribution de tâches en fonction de comportements ou de traits, et surveillance ou évaluation de la performance.

Lisez cette liste à la lumière de votre stack de recrutement réelle. Un ATS qui classe les candidats par adéquation. Un outil de sourcing qui décide qui voit votre annonce. Une plateforme d'entretien vidéo qui note les candidats. Un moteur d'évaluation de compétences qui produit un succès/échec. Un système de performance qui signale qui sous-performe. Sous la loi, ce ne sont pas des outils de productivité. Ce sont des systèmes d'IA à haut risque, et cette classification s'accompagne d'un ensemble d'obligations spécifique et exigeant que je détaillerai en Partie 2.

La ligne infranchissable : la reconnaissance des émotions au travail

Avant les obligations du haut risque, il y a une ligne plus dure. L'Article 5 énumère les pratiques que la loi considère comme inacceptables — interdites depuis le 2 février 2025, sans aucun chemin de conformité. Vous ne pouvez pas les faire avec de la paperasse ; vous ne pouvez tout simplement pas les faire.

Deux de ces interdictions atterrissent en plein dans les RH :

• La reconnaissance des émotions sur le lieu de travail. Tout système d'IA qui infère l'état émotionnel d'une personne à partir de son visage, de sa voix ou de son comportement est interdit sur le lieu de travail et dans l'éducation, sauf exceptions médicales ou de sécurité étroites. La vague d'outils d'entretien qui promettaient de lire « l'enthousiasme », « la confiance » ou « l'adéquation culturelle » d'un candidat à partir de micro-expressions faciales est, dans l'UE, désormais illégale.
• Le scoring social et l'exploitation de la vulnérabilité. Les systèmes qui notent les gens sur des comportements sans rapport, ou qui exploitent un groupe vulnérable, sont exclus.

Cela compte stratégiquement parce qu'une partie du marché de la HR-tech a été bâtie précisément sur la capacité que la loi interdit. Si l'élément différenciant de votre fournisseur était l'analyse de sentiment sur les entretiens vidéo, ce différenciant est désormais une vulnérabilité sur votre plus grand marché potentiel. La première question qu'un acheteur européen devrait poser à un fournisseur d'IA de recrutement en 2026 n'est pas « quelle est sa précision » — c'est « est-ce qu'une partie de ce système infère des émotions ? »

Le calendrier que personne n'a intériorisé

La loi ne s'active pas d'un coup. Elle s'applique par phases, et le phasage est la partie que la plupart des entreprises ont mal jugée — généralement en supposant qu'elles ont plus de temps qu'elles n'en ont.

• 2 février 2025 — Les interdictions de l'Article 5 sont entrées en vigueur. La reconnaissance des émotions au travail est illégale depuis plus d'un an déjà. Tout comme l'obligation de maîtrise de l'IA (AI literacy) de l'Article 4 : quiconque déploie de l'IA doit s'assurer que son personnel en a une compréhension suffisante. Celle-ci est discrète mais bien vivante dès maintenant, et elle s'applique aux personnes qui font tourner vos outils de recrutement.
• 2 août 2025 — Les règles pour les modèles d'IA à usage général et les structures de gouvernance de l'UE sont entrées en service.
• 2 août 2026 — Le régime complet du haut risque — celui qui gouverne votre IA de recrutement et de RH — devient applicable. C'est la date qui compte le plus pour les employeurs.
• 2 août 2027 — Les règles de classification du haut risque restantes (pour l'IA intégrée à des produits réglementés) s'appliquent.

Les interdictions sont donc déjà exécutoires, et les obligations du haut risque pour les RH sont une affaire de mois, pas d'années.

Le flottement : le Digital Omnibus

Voici la complication, et vous en entendrez parler par chaque fournisseur qui espère ralentir la mise en conformité. Fin 2025, la Commission européenne a proposé un paquet Digital Omnibus qui, entre autres, rendrait certaines obligations du haut risque conditionnées à la disponibilité de normes techniques harmonisées et d'outils de support — repoussant potentiellement des parties de l'échéance du haut risque au-delà d'août 2026, avec des dates évoquées allant jusqu'à décembre 2027 ou août 2028.

Traitez cela exactement pour ce que c'est : une proposition, pas la loi. Elle peut changer en négociation, elle peut être restreinte, et même si elle aboutit, elle ne touche pas les interdictions de l'Article 5 qui sont déjà en vigueur. Bâtir votre stratégie de recrutement sur l'hypothèse que Bruxelles va flancher est un pari contre toute la direction des cinq dernières années de politique numérique de l'UE. La position défendable consiste à planifier pour août 2026 et à traiter tout glissement comme un bonus, pas comme une base.

Pourquoi c'est une histoire stratégique, pas une note de bas de page juridique

Il serait facile de classer ceci sous « conformité » et de le refiler au service juridique. Ce serait une erreur, et c'est l'erreur que je veux que cette série prévienne.

L'AI Act fait à l'IA de recrutement ce que le GDPR a fait aux données : il transforme une fonctionnalité en une propriété structurelle du marché. Tout comme « nous traitons des données d'utilisateurs de l'UE » a cessé d'être une case à cocher pour devenir un engagement architectural, « nous utilisons l'IA pour évaluer les personnes en Europe » devient un engagement de supervision humaine, de documentation et de responsabilité qui doit être conçu d'emblée, pas greffé après coup.

Pour les entreprises qui recrutent en Europe — et pour tous ceux qui construisent les outils avec lesquels elles recrutent — cela remodèle trois choses à la fois :

• Faire ou acheter (build-vs-buy). Que vous soyez le fournisseur d'un outil d'IA de recrutement ou simplement son déployeur change quelles obligations vous incombent. La plupart des entreprises sont des déployeurs et ne réalisent pas que la loi les tient tout de même directement responsables. (Partie 2.)
• Le choix des fournisseurs. Les capacités qui faisaient vendre la HR-tech en 2023 — lecture des émotions, scoring opaque, automatisation totale — sont désormais les capacités qui créent une exposition.
• La conception des processus. Un pipeline de recrutement qui garde un humain compétent véritablement aux commandes des décisions n'est plus seulement une bonne pratique. C'est la différence entre un processus conforme et un processus illégal.

Ce dernier point est l'endroit où mon propre parti pris se révèle, et je l'assume d'emblée : j'ai passé tout ce blog à défendre que l'IA augmente le jugement humain, elle ne le remplace pas. Il est discrètement satisfaisant de voir le plus grand bloc réglementaire de la planète inscrire cette thèse dans une loi contraignante pour le domaine où les enjeux sont les plus personnels — qui est embauché, et qui ne l'est pas.

Dans la Partie 2, on devient concret : les obligations spécifiques que la loi impose aux employeurs qui déploient ces systèmes, pourquoi la plupart d'entre elles pèsent sur vous et pas sur votre fournisseur, et à quoi doit réellement ressembler une « supervision humaine significative » pour compter.