AI Act et outils RH : ce que le report au 2 décembre 2027 ne reporte pas.

État du droit au 4 août 2026. Cet article présente une information générale et ne constitue pas un conseil juridique : la qualification d'un outil précis relève d'un examen au cas par cas avec votre direction juridique, votre conseil ou votre délégué à la protection des données.

Beaucoup de directions RH ont retenu une seule chose de l'été réglementaire 2026 : l'échéance du 2 août est repoussée, on a le temps. C'est vrai pour une partie des obligations, et faux pour une autre, qui est bel et bien entrée en application. Voici la ligne de partage exacte, et ce qui s'applique de toute façon, report ou pas.

D'abord, savoir de quel côté du texte vous êtes

L'AI Act ne fait pas peser les mêmes obligations sur tout le monde, et c'est la première source d'angoisse inutile dans les services RH. Le texte distingue principalement deux rôles.

• Le fournisseur développe le système d'IA et le met sur le marché sous son nom. C'est sur lui que pèse l'essentiel des obligations lourdes de l'annexe III : évaluation de conformité, documentation technique, système de gestion des qualités et des risques.
• Le déployeur utilise le système dans le cadre de son activité. C'est le rôle d'une direction RH qui achète un logiciel de tri de candidatures. Ses obligations propres, définies à l'article 26, sont plus circonscrites : utiliser l'outil conformément à sa notice, assurer une supervision humaine effective, veiller à la pertinence des données d'entrée, conserver certains journaux, et informer les travailleurs concernés avant la mise en service.

Une direction RH qui achète un outil est donc, dans l'immense majorité des cas, déployeur. Cela ne l'exonère de rien, mais cela réduit considérablement le périmètre de ce qu'elle a à produire elle-même. Attention toutefois : modifier substantiellement un système, ou l'exploiter sous sa propre marque, peut faire basculer un déployeur dans le rôle de fournisseur.

Ce qui s'applique déjà, indépendamment du report

Placer cette section avant celle du calendrier n'est pas un artifice de plan. C'est le point sur lequel un report mal compris coûte le plus cher, parce qu'il donne le sentiment qu'il n'y a rien à faire, alors que plusieurs corps de règles s'appliquent aujourd'hui, en France, sans lien avec l'AI Act.

• Le RGPD, en particulier son article 22 sur les décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant significativement une personne. Un refus de candidature automatisé entre pleinement dans ce champ.
• L'article L.1221-8 du code du travail, qui impose d'informer expressément le candidat, préalablement à leur mise en œuvre, des méthodes et techniques d'aide au recrutement utilisées.
• L'article L.1222-4, équivalent pour les salariés : aucune information ne peut être collectée par un dispositif qui n'a pas été porté à leur connaissance.
• La consultation du comité social et économique, au titre de l'article L.2312-38, préalablement à l'introduction de moyens ou techniques permettant un contrôle de l'activité des salariés.
• Le guide du recrutement de la CNIL, dix-neuf fiches qui couvrent la pertinence et la proportionnalité des données collectées, la durée de conservation, l'information des candidats et l'usage des nouvelles technologies par les recruteurs.

Aucune de ces obligations n'a été touchée par le règlement de juillet 2026. Une entreprise qui utilise aujourd'hui un outil de scoring de CV sans avoir informé les candidats est déjà hors cadre, indépendamment de toute échéance européenne.

Le point le plus dur, et le plus souvent manqué : l'analyse des émotions est interdite

Toute la discussion publique de l'été 2026 a porté sur le haut risque et son report. Elle a occulté le sujet le plus tranchant pour une direction RH, qui ne relève pas du haut risque mais des pratiques interdites de l'article 5.

L'article 5, paragraphe 1, point f interdit la mise sur le marché, la mise en service à cette fin et l'utilisation de systèmes d'IA visant à inférer les émotions d'une personne physique sur le lieu de travail et dans les établissements d'enseignement, sauf pour des raisons médicales ou de sécurité.

Trois conséquences, et aucune n'est reportée par le règlement de juillet 2026 :

• Un outil d'entretien vidéo qui analyse les expressions, le ton de la voix ou les micro-expressions d'un candidat pour en déduire un état émotionnel n'est pas un système à haut risque à mettre en conformité pour décembre 2027. Il relève d'une pratique interdite.
• Cette interdiction est applicable depuis février 2025. Elle n'attend rien.
• Elle relève du palier de sanction le plus élevé : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial.

Si un seul point de cet article doit être remonté à une direction générale, c'est celui-là. Il est le seul où le report ne change rien, où l'exposition est maximale, et où la vérification est rapide : il suffit de demander à chaque éditeur d'outil d'évaluation vidéo s'il infère un état émotionnel, et d'obtenir la réponse par écrit.

Le texte du report, ses dates, sa référence

Le règlement (UE) 2026/1744, dit « Digital Omnibus on AI », a été publié au Journal officiel de l'Union européenne le 24 juillet 2026 et est entré en vigueur le 27 juillet 2026, soit six jours avant l'échéance du 2 août 2026 qu'il venait modifier.

Ce qu'il fait, en une phrase : il décale la date d'application des obligations pesant sur les systèmes d'IA à haut risque autonomes relevant de l'annexe III, dont ceux utilisés dans l'emploi, du 2 août 2026 au 2 décembre 2027.

Ce qu'il ne fait pas : suspendre l'AI Act pour les employeurs.

Ce qui est reporté : les obligations « haut risque »

L'annexe III, en son point 4, classe à haut risque les systèmes d'IA destinés à être utilisés dans l'emploi et la gestion des travailleurs. Deux familles d'usages sont visées.

• Le recrutement et la sélection de personnes physiques, en particulier pour diffuser des offres d'emploi ciblées, analyser et filtrer les candidatures, et évaluer les candidats.
• La gestion de la relation de travail : décisions affectant les conditions des relations de travail, la promotion ou la rupture des relations contractuelles, attribution de tâches sur la base du comportement individuel ou de traits de personnalité, ainsi que le suivi et l'évaluation des performances et du comportement.

Deux précisions décident souvent du sort d'un dossier. D'une part, la qualification dépend de la finalité prévue du système, pas de l'intitulé commercial de l'outil. D'autre part, l'article 6, paragraphe 3, ouvre une porte de sortie : un système listé à l'annexe III peut ne pas être considéré comme à haut risque s'il ne présente pas de risque significatif pour la santé, la sécurité ou les droits fondamentaux, notamment parce qu'il n'accomplit qu'une tâche procédurale étroite ou améliore le résultat d'une activité humaine déjà réalisée. Cette exemption n'est pas automatique : elle suppose une évaluation documentée, et elle tombe dès lors que le système profile des personnes physiques.

Pour les systèmes qui restent qualifiés à haut risque, le socle n'est pas abrogé : gestion des risques, évaluation de conformité, documentation technique, supervision humaine restent exigés, avec seize mois de délai supplémentaire. Un report n'est pas une abrogation.

Il faut toutefois se garder du raccourci inverse, celui du « tout est identique, juste plus tard ». Le règlement de juillet 2026 n'a pas fait que décaler : plusieurs exigences ont été allégées au passage, notamment sur la documentation technique, le système de management de la qualité, et l'analyse d'impact sur les droits fondamentaux. Ce dernier point concerne directement les employeurs, puisque cette analyse est une obligation de déployeur. Vérifier l'état exact de cette obligation avant de bâtir un plan de conformité sur des documents rédigés avant l'été 2026 relève de l'élémentaire.

Ce qui n'est pas reporté : la transparence, applicable depuis le 2 août 2026

C'est le point que la plupart des synthèses ont manqué. Le report ne s'étend pas à l'essentiel des obligations de transparence. Depuis le 2 août 2026, les organisations doivent continuer de respecter :

• l'information des personnes qu'elles interagissent avec un système d'IA ;
• le marquage des hypertrucages et de certains contenus générés par IA ;
• les obligations de notification liées aux systèmes de reconnaissance des émotions, dans les contextes où de tels systèmes ne sont pas purement et simplement interdits, ce qui n'est pas le cas du lieu de travail (voir plus haut).

Un délai limité court jusqu'au 2 décembre 2026, mais il faut bien voir à qui il profite : il vise les fournisseurs de systèmes générant des contenus de synthèse mis sur le marché avant le 2 août 2026, pour se conformer à l'obligation de marquage lisible par machine de l'article 50, paragraphe 2. Il ne bénéficie pas aux déployeurs. Ce n'est donc pas un délai général, et une direction RH ne peut pas s'en prévaloir.

Autre distinction qui décide de ce qui vous incombe : dans l'article 50, les paragraphes 1 et 2 pèsent sur les fournisseurs, les paragraphes 3 et 4 sur les déployeurs. Un employeur qui achète un outil est déployeur.

Traduction pour une direction RH : si un agent conversationnel accueille les candidats sur votre page carrière, s'il pré-qualifie, s'il répond aux questions sur le poste, il doit se déclarer comme système d'IA. Maintenant, pas en décembre 2027.

Le calendrier, en un coup d'œil

• Depuis février 2025 : interdictions de l'article 5, dont l'inférence des émotions sur le lieu de travail.
• Depuis le 2 août 2026 : obligations de transparence de l'article 50. Et de longue date, les règles françaises et le RGPD rappelés plus haut.
• 2 décembre 2026 : fin de la période de grâce sur certaines exigences de marquage lisible par machine, pour les systèmes génératifs déjà commercialisés avant le 2 août 2026.
• 2 décembre 2027 : application des obligations relatives aux systèmes à haut risque autonomes de l'annexe III, dont l'emploi. Date issue du règlement (UE) 2026/1744.
• 2 août 2028 : application aux systèmes à haut risque intégrés dans des produits relevant de l'annexe I, qui suivent un calendrier distinct.

Les sanctions, avec la nuance qui manque partout

Le régime de sanctions de l'article 99 de l'AI Act est gradué en trois paliers, et la version simplifiée qui circule dans les présentations RH est souvent fausse.

• 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites de l'article 5.
• 15 millions d'euros ou 3 % pour les manquements des opérateurs aux autres obligations, ce qui recouvre à la fois les obligations liées aux systèmes à haut risque et les obligations de transparence de l'article 50.
• 7,5 millions d'euros ou 1 % pour la fourniture d'informations inexactes, incomplètes ou trompeuses aux organismes notifiés ou aux autorités.

Trois règles de lecture. Premièrement, pour les entreprises autres que les PME et les jeunes pousses, c'est le montant le plus élevé des deux qui s'applique ; pour les PME et les jeunes pousses, c'est le montant le plus faible. Deuxièmement, il n'existe pas de palier propre au haut risque : le haut risque et la transparence relèvent du même palier, celui de l'article 99, paragraphe 4. Troisièmement, une sanction ne peut produire effet qu'à compter de la date d'applicabilité de l'obligation qu'elle protège : sur ce palier unique, le volet transparence est déjà vivant, le volet haut risque suivra l'échéance de décembre 2027.

Le sujet parallèle que le report ne touche pas non plus

L'AI Act encadre les systèmes d'IA que l'entreprise utilise. Il ne dit rien des systèmes d'IA qui parlent d'elle. Or, pour une direction RH, c'est aujourd'hui l'autre moitié du sujet : ce que ChatGPT, Gemini ou Perplexity répondent à un candidat qui demande comment on travaille chez vous.

Ces deux chantiers n'obéissent ni au même calendrier ni à la même logique. Le premier est une obligation, avec une échéance. Le second est une exposition, sans échéance et sans préavis. Les confondre conduit à traiter l'un et à ignorer l'autre, ce qui est précisément la situation la plus courante depuis l'arrivée d'AI Mode en France le 22 juillet 2026, que nous analysons dans notre article dédié.

Les questions à poser à votre conseil

Plutôt qu'une liste d'actions de conformité, que nous ne sommes pas fondés à établir pour votre organisation, voici les questions qui font avancer un dossier lorsqu'elles sont posées à une direction juridique, un conseil ou un délégué à la protection des données.

1. Quels systèmes d'IA interviennent réellement dans notre chaîne RH, y compris ceux embarqués dans des outils achetés pour autre chose ?
2. Pour chacun, sommes-nous déployeur ou fournisseur, et l'éditeur a-t-il pris position par écrit sur la qualification annexe III de son produit ?
3. Nos points de contact conversationnels avec les candidats se déclarent-ils comme systèmes d'IA, comme l'exige la transparence applicable depuis le 2 août 2026 ?
4. Les candidats et les salariés ont-ils été informés des méthodes d'aide au recrutement et des dispositifs de contrôle, et le comité social et économique a-t-il été consulté quand il devait l'être ?
5. Notre supervision humaine est-elle réelle et traçable : qui revoit, sur quel critère, avec quelle trace ?
6. L'un de nos systèmes pourrait-il relever de l'exemption de l'article 6, paragraphe 3, et sommes-nous en mesure de documenter cette évaluation ?
7. L'un de nos outils d'évaluation infère-t-il un état émotionnel, et l'éditeur nous l'a-t-il confirmé ou infirmé par écrit ?

FAQ

L'AI Act est-il reporté pour les outils RH ?

Partiellement. Le règlement (UE) 2026/1744, publié au Journal officiel le 24 juillet 2026 et entré en vigueur le 27 juillet 2026, décale l'application des obligations relatives aux systèmes à haut risque de l'annexe III, dont l'emploi, du 2 août 2026 au 2 décembre 2027. Les obligations de transparence, elles, s'appliquent depuis le 2 août 2026, tout comme le RGPD et les règles françaises d'information des candidats et des salariés.

Quels outils RH sont classés à haut risque par l'AI Act ?

Ceux destinés au recrutement et à la sélection, en particulier pour diffuser des offres ciblées, analyser et filtrer les candidatures et évaluer les candidats, ainsi que ceux qui interviennent dans les décisions sur les conditions de travail, la promotion, la rupture, l'attribution des tâches selon le comportement ou des traits de personnalité, et le suivi ou l'évaluation des performances. La qualification dépend de la finalité prévue du système, et l'article 6, paragraphe 3, prévoit une exemption documentée sous conditions.

Un chatbot de recrutement doit-il se déclarer comme IA depuis août 2026 ?

Oui. L'obligation d'informer les personnes qu'elles interagissent avec un système d'IA relève des obligations de transparence, qui ne sont pas concernées par le report et s'appliquent depuis le 2 août 2026.

Quel est le montant des sanctions ?

Trois paliers, selon l'article 99 : 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites, 15 millions ou 3 % pour les manquements aux autres obligations, et 7,5 millions ou 1 % pour la fourniture d'informations inexactes aux autorités. Point souvent mal compris : les obligations liées aux systèmes à haut risque et les obligations de transparence relèvent du même palier intermédiaire, il n'y a pas de palier propre au haut risque. Pour les entreprises autres que les PME et les jeunes pousses, c'est le montant le plus élevé qui s'applique ; pour les PME et les jeunes pousses, le plus faible.

Un outil d'entretien vidéo qui analyse les émotions est-il concerné par le report ?

Non. L'inférence des émotions d'une personne physique sur le lieu de travail relève des pratiques interdites de l'article 5, applicables depuis février 2025 et sanctionnées jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial. Le report de décembre 2027 ne concerne que les obligations liées aux systèmes à haut risque, ce qui est une catégorie différente.

Un outil de mesure de la marque employeur dans les IA est-il un système à haut risque ?

La lecture que nous en faisons est que non, et voici le raisonnement plutôt que la conclusion seule : un outil qui interroge des moteurs d'IA sur la façon dont ils décrivent une entreprise comme employeur ne traite pas de candidatures, n'évalue pas de personnes physiques et ne produit aucune décision affectant une personne. Il analyse un discours public sur une organisation. Cette lecture n'est pas une garantie juridique et ne dispense pas d'une qualification au cas par cas.

Réponse courte

Le règlement (UE) 2026/1744 décale au 2 décembre 2027 les obligations applicables aux systèmes d'IA à haut risque utilisés en emploi. Il ne reporte ni les obligations de transparence, applicables depuis le 2 août 2026, ni les pratiques interdites de l'article 5, dont l'inférence des émotions sur le lieu de travail, en vigueur depuis février 2025 et sanctionnée jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial. Il ne touche pas davantage au RGPD ni aux règles françaises d'information des candidats, des salariés et du comité social et économique. Un agent conversationnel de recrutement doit donc déjà se déclarer comme IA. Et rien dans ce texte ne traite de l'autre sujet des directions RH : ce que les moteurs d'IA racontent de l'entreprise aux candidats.

Sources

• Règlement (UE) 2026/1744 du Parlement européen et du Conseil, EUR-Lex. Texte authentique du Digital Omnibus on AI, publié au Journal officiel le 24 juillet 2026.
• AI Omnibus enters into force, Commission européenne, juillet 2026. Entrée en vigueur et nouvelles dates d'application.
• Article 5, pratiques interdites, texte consolidé de l'AI Act. Interdiction de l'inférence des émotions sur le lieu de travail, point 1 f.
• Annexe III, systèmes à haut risque, point 4, emploi et gestion des travailleurs.
• Article 6, règles de classification et exemption documentée du paragraphe 3.
• Article 26, obligations des déployeurs de systèmes à haut risque.
• Article 50, obligations de transparence, et répartition fournisseurs et déployeurs.
• Article 99, sanctions, trois paliers et régime applicable aux PME.
• Le guide du recrutement, CNIL. Dix-neuf fiches sur les données personnelles dans le recrutement.
• Code du travail français, articles L.1221-8 (information du candidat sur les méthodes de recrutement), L.1222-4 (information du salarié sur les dispositifs de collecte) et L.2312-38 (consultation du comité social et économique). Textes consultables sur Légifrance.