- L'annexe III, point 4 du reglement (UE) 2024/1689 classe a haut risque les systemes d'IA utilises pour publier des offres ciblees, filtrer des candidatures et evaluer des candidats.
- Les obligations « haut risque » de l'annexe III sont reportees du 2 aout 2026 au 2 decembre 2027 (reglement modificatif Digital Omnibus, adopte par le Parlement europeen le 16 juin 2026 et par le Conseil le 29 juin 2026).
- Deux interdictions, elles, sont deja en vigueur : la reconnaissance des emotions sur le lieu de travail (article 5 de l'AI Act, applicable depuis le 2 fevrier 2025) et le rejet entierement automatise d'une candidature (article 22 du RGPD).
- Le recrutement figure parmi les priorites de controle de la CNIL pour 2026 : information des candidats, tri algorithmique, durees de conservation.
- Notre grille : sur un cabinet qui recrute 12 personnes par an, une stack IA a 250 EUR/mois ne se rentabilise qu'a partir de 2 h 30 de tri economisees par recrutement.
Le marche des outils IA de recrutement a explose en dix-huit mois, et la plupart des comparatifs disponibles listent des fonctionnalites sans dire l'essentiel : ce que vous avez le droit d'en faire. Le recrutement est l'un des rares usages ou le reglement europeen sur l'IA pose des interdictions fermes, et ou la CNIL a annonce des controles. Ce guide croise les deux : quelle brique du process automatiser, avec quel type d'outil, et sous quelles contraintes juridiques reelles au 13 aout 2026.
Que fait vraiment l'IA dans un process de recrutement ?
Parler d'« IA de recrutement » au singulier n'a pas de sens : les outils n'interviennent pas au meme endroit du process, ne portent pas le meme risque et ne s'achetent pas au meme prix. Cinq briques distinctes, dans l'ordre chronologique d'un recrutement :
- Redaction et diffusion de l'annonce. Generation de la fiche de poste, reformulation inclusive, declinaison par canal. Brique la moins risquee — sauf si l'outil cible la diffusion selon des criteres qui recoupent des donnees sensibles.
- Sourcing. Recherche de profils, generation de messages d'approche personnalises, scoring d'appetence. C'est ici que l'IA fait gagner le plus de temps brut.
- Parsing et tri des CV. Extraction structuree (experience, competences, formation) puis classement des candidatures. Brique la plus repandue, et la plus exposee au biais algorithmique.
- Scoring et matching. Attribution d'une note de correspondance poste/candidat, parfois d'une probabilite de reussite. C'est le coeur du sujet juridique.
- Entretien video asynchrone et tests. Analyse des reponses, parfois de la voix ou du visage. Brique la plus dangereuse : c'est la que se situe l'interdiction franche.
Une regle simple pour trier : plus l'outil ecarte un candidat, plus le regime juridique se durcit. Un outil qui reformule une annonce et un outil qui classe 300 CV ne jouent pas dans la meme categorie.
Quel outil IA pour quelle brique du process ?
Plutot qu'un classement de marques qui sera obsolete dans six mois, voici la grille par brique : ce que l'outil remplace, ce qu'il faut exiger du fournisseur, et son statut au regard de l'AI Act.
| Brique | Type d'outil | Ce que ca remplace | Statut AI Act | A exiger du fournisseur |
|---|---|---|---|---|
| Redaction d'annonce | LLM generaliste ou module d'ATS | 1 h a 2 h de redaction par poste | Risque limite (transparence) | Rien de specifique |
| Diffusion ciblee | Module de multidiffusion | Publication manuelle multi-canal | Haut risque si ciblage algorithmique | Criteres de ciblage documentes |
| Sourcing / approche | Base + generateur de messages | 3 h a 6 h de chasse par poste | Variable selon le scoring | Origine et licence des donnees |
| Parsing de CV | Extracteur structure | Ressaisie manuelle | Haut risque si couple au tri | Taux d'erreur mesure |
| Tri et scoring | Moteur de matching | Premiere lecture de 100 % du flux | Haut risque (annexe III, pt 4) | Documentation technique, tests de biais, journalisation |
| Entretien video analyse | Analyse du contenu des reponses | Preselection telephonique | Haut risque | Supervision humaine effective |
| Analyse des emotions | Voix, visage, micro-expressions | — | Interdit (art. 5) | Ne pas acheter |
Le point que les comparatifs oublient. Un outil « conforme RGPD » n'est pas pour autant conforme a l'AI Act : ce sont deux textes distincts, avec deux logiques distinctes. Le RGPD protege la donnee personnelle ; l'AI Act encadre le systeme et sa mise sur le marche. Un fournisseur qui repond « nous sommes RGPD » a une question sur l'annexe III n'a pas repondu a la question.
Votre outil est-il classe a haut risque par l'AI Act ?
Le reglement (UE) 2024/1689 range en annexe III, point 4, les systemes d'IA « destines a etre utilises pour le recrutement ou la selection de personnes physiques », en citant explicitement la publication d'offres ciblees, l'analyse et le filtrage des candidatures, et l'evaluation des candidats. En pratique, des qu'un outil hierarchise des candidatures, il tombe dans la categorie haut risque.
Cette qualification emporte des obligations lourdes : systeme de gestion des risques, gouvernance des donnees d'entrainement, documentation technique, journalisation, transparence a l'egard des utilisateurs, supervision humaine, robustesse et cybersecurite — pour le fournisseur, mais aussi des obligations propres au deployeur, c'est-a-dire a l'entreprise qui recrute.
Le calendrier, lui, a bouge. Les obligations relatives aux systemes de l'annexe III devaient s'appliquer au 2 aout 2026. Le reglement modificatif dit « Digital Omnibus », adopte par le Parlement europeen le 16 juin 2026 et par le Conseil le 29 juin 2026, les reporte au 2 decembre 2027 (et au 2 aout 2028 pour les systemes de l'annexe I integres a des produits reglementes).
A retenir. Le report ne change pas la qualification : votre moteur de tri de CV est un systeme a haut risque aujourd'hui. Il change la date a laquelle le regime complet devient opposable. C'est un delai de mise en conformite, pas une exemption.
Qu'est-ce qui s'applique deja, malgre le report ?
Trois blocs restent pleinement applicables au 13 aout 2026, et ce sont ceux qui exposent le plus vite un employeur.
1. L'interdiction de la reconnaissance des emotions au travail
L'article 5 de l'AI Act interdit les systemes d'IA visant a inferer les emotions d'une personne physique sur le lieu de travail et dans les etablissements d'enseignement, en dehors des usages medicaux ou de securite. Cette interdiction est applicable depuis le 2 fevrier 2025 : elle n'a pas ete reportee. Concretement, un entretien video qui evalue l'enthousiasme, la nervosite ou la « confiance » a partir de la voix ou du visage n'est pas un usage a encadrer — c'est un usage a arreter.
2. L'interdiction du rejet entierement automatise
L'article 22 du RGPD ouvre a toute personne le droit de ne pas faire l'objet d'une decision fondee exclusivement sur un traitement automatise produisant des effets juridiques ou l'affectant de maniere significative. Un refus de candidature genere sans intervention humaine reelle entre dans ce champ. « Intervention humaine reelle » signifie un recruteur qui dispose de la marge de manoeuvre et de l'information necessaires pour aller contre la recommandation — pas un clic de validation en lot sur une liste deja triee.
3. La litteratie en IA et la transparence
L'obligation de veiller a un niveau suffisant de maitrise de l'IA par les equipes qui l'utilisent (article 4) est en vigueur, tout comme les obligations de transparence de l'article 50. Cote francais, la CNIL a inscrit le recrutement parmi ses priorites de controle pour 2026, avec trois angles : information des candidats, outils de tri automatise, durees de conservation des candidatures.
La checklist minimale, applicable des cette semaine et sans attendre decembre 2027 :
- Inventorier les systemes d'IA reellement utilises dans le process, y compris ceux integres a votre ATS sans que vous les ayez choisis.
- Verifier l'absence d'analyse emotionnelle dans tout outil video ou vocal, et le faire ecrire par le fournisseur.
- Documenter la supervision humaine : qui relit, a quel stade, avec quelle information, et avec quelle trace.
- Informer les candidats de l'usage d'un outil automatise dans la mention d'information du formulaire de candidature.
- Fixer les durees de conservation des candidatures non retenues et les faire appliquer par l'outil.
- Exiger du fournisseur sa position sur l'annexe III et sa feuille de route de conformite d'ici decembre 2027.
Combien coute reellement une stack IA recrutement ?
Les prix affiches par les editeurs sont rarement le cout complet. Voici la grille que nous utilisons pour arbitrer, sur la base d'une PME qui realise 12 recrutements par an et recoit environ 60 candidatures par poste, soit 720 candidatures annuelles.
| Poste de cout | Fourchette annuelle | Remarque |
|---|---|---|
| Abonnement outils (parsing + tri + sourcing) | 1 800 a 6 000 EUR | Souvent par utilisateur et par mois |
| Consommation LLM (redaction, messages) | 120 a 600 EUR | Marginal a ce volume |
| Parametrage initial et integration ATS | 500 a 3 000 EUR | Cout unique, souvent sous-estime |
| Mise en conformite (inventaire, mentions, procedure) | 1 000 a 4 000 EUR | A provisionner avant decembre 2027 |
| Total premiere annee | 3 400 a 13 600 EUR | Soit 280 a 1 130 EUR par recrutement |
Face a cela, le gain. Le tri manuel de 60 candidatures represente entre 3 h et 5 h de travail qualifie par poste. En retenant un cout charge de 45 EUR de l'heure et une economie prudente de 50 % du temps de tri, le gain annuel se situe entre 810 EUR (12 x 3 h x 50 % x 45) et 1 350 EUR. A ce niveau, une stack a 250 EUR par mois ne se rentabilise pas sur le seul tri de CV : elle se rentabilise sur le sourcing (temps de chasse) et sur le delai de recrutement, pas sur la lecture des candidatures.
Le calcul a faire avant de signer. Point mort en heures = (cout annuel de la stack) / (cout horaire charge du recruteur). Avec 3 000 EUR de stack et 45 EUR de l'heure, il faut economiser 67 heures par an, soit 5 h 30 par recrutement. Si l'outil ne vous fait pas gagner cela de maniere verifiable, le sujet n'est pas l'outil : c'est le volume de recrutement.
Les 4 erreurs qui coutent le plus cher
Acheter l'analyse comportementale « parce que c'est dans l'offre ». Beaucoup de suites incluent un module d'analyse video mettant en avant l'« engagement » ou la « confiance » du candidat. Si le module infere des emotions, il releve d'une pratique interdite, pas d'un module optionnel. Faites-le desactiver par ecrit.
Confondre report et exemption. Le report au 2 decembre 2027 est une fenetre de mise en conformite, pas une dispense. Les entreprises qui commencent en novembre 2027 decouvriront que l'inventaire des systemes et la documentation fournisseur prennent des mois.
Laisser l'outil fixer le seuil. Un moteur de scoring qui ecarte automatiquement sous un seuil parametre par defaut transforme une recommandation en decision. C'est le scenario type de l'article 22 du RGPD. Le seuil doit etre une aide au classement, jamais un filtre couperet.
Ignorer les durees de conservation. C'est le grief le plus facile a constater lors d'un controle : des bases de candidatures conservees indefiniment « au cas ou », sans base legale ni information. C'est aussi le plus simple a corriger.
Si vous cherchez a comparer les outils IA sur d'autres briques de votre entreprise, notre comparatif des outils IA de productivite et notre analyse du shadow AI en entreprise traitent des memes arbitrages cout/risque. Pour la brique telephonique du process (preselection, prise de rendez-vous), un agent vocal IA repond a un besoin voisin avec un cadre juridique different.