AI Act et RH : ce qui change vraiment pour ceux qui évaluent les personnes

L’IA est entrée dans les logiciels RH presque en catimini. Elle complète la phrase pendant qu’on rédige une évaluation, transforme trois notes en un paragraphe, transcrit les notes d’un entretien. Qui choisit aujourd’hui un outil de gestion des performances retrouve ces fonctions dans le produit, qu’il les ait cherchées ou non.

De là la question qui revient systématiquement au moment du choix : avec l’AI Act, qu’est-ce qui change pour qui utilise ces outils ? La réponse courte est que, sur les échéances, il change moins de choses qu’on ne le craint, et que sur ce qu’il faut mettre par écrit, il change beaucoup.

Ce qu’est l’AI Act et à partir de quand il s’applique

Il s’agit du règlement (UE) 2024/1689. Il est en vigueur depuis le 1er août 2024 et s’applique de manière générale depuis le 2 août 2026.

En juillet 2026, le cadre a été modifié par le règlement (UE) 2026/1744, l’omnibus de simplification, publié au Journal officiel de l’Union le 24 juillet 2026 et entré en vigueur le 27 juillet. Le déplacement principal porte précisément sur le domaine qui intéresse les RH : les obligations pour les systèmes à haut risque de l’annexe III, qui devaient s’appliquer au 2 août 2026, s’appliquent à partir du 2 décembre 2027. Pour l’IA intégrée dans des produits déjà couverts par la réglementation de sécurité (annexe I), la date est le 2 août 2028.

Deux blocs de règles, en revanche, valent déjà aujourd’hui : les obligations de transparence de l’art. 50, applicables depuis le 2 août 2026, et l’art. 4 sur la maîtrise de l’IA, dans la version réécrite par l’omnibus et applicable depuis le 27 juillet 2026.

Quand un logiciel RH est à haut risque

On arrive ici au point qui concerne ceux qui évaluent les personnes. L’annexe III, point 4 b), range parmi les systèmes à haut risque ceux destinés à prendre des décisions qui influent sur la relation de travail, à répartir les tâches en fonction du comportement ou de caractéristiques personnelles, ou encore « à surveiller et évaluer les performances et le comportement » des personnes dans ces relations.

Lu ainsi, il semblerait que n’importe quel logiciel de gestion des performances contenant de l’IA soit automatiquement à haut risque, et de fait l’art. 6(2) fixe la règle par défaut à cet endroit. L’art. 6(3) prévoit toutefois une dérogation. Un système de l’annexe III n’est pas à haut risque s’il ne présente pas de risque important pour la santé, la sécurité ou les droits fondamentaux des personnes, et si l’une au moins de ces conditions est remplie : il accomplit une tâche procédurale limitée ; il améliore le résultat d’une activité humaine déjà réalisée ; il détecte des écarts par rapport à des décisions antérieures sans se substituer à l’appréciation humaine en l’absence de révision ; il accomplit une tâche préparatoire à une évaluation.

Il y a un verrou, et c’est celui qui compte le plus dans le domaine RH : la dérogation ne vaut jamais si le système effectue un profilage de personnes physiques. Un logiciel qui construit le profil d’une personne, qui prévoit son rendement ou qui lui attribue une note automatique reste à haut risque, sans raccourcis.

La dérogation n’est d’ailleurs pas gratuite. L’art. 6(4) impose à celui qui fournit le système de documenter l’évaluation avant de le mettre sur le marché, de s’enregistrer dans la base de données de l’UE au sens de l’art. 49(2) et de remettre la documentation aux autorités qui la demandent.

Pour qui achète, la conséquence pratique est simple : demander au fournisseur laquelle des deux voies il a prise, et demander à voir le document.

Ce qui s’applique déjà aujourd’hui

Sur l’art. 50 circule une version simplifiée et fausse, à savoir que, depuis le 2 août 2026, tout texte écrit avec l’aide de l’IA devrait être étiqueté comme tel. Le règlement dit autre chose, et il répartit les obligations selon qui fait quoi.

Celui qui fournit un système conçu pour interagir directement avec les personnes doit faire comprendre qu’il y a une IA en face, sauf si cela est évident. Celui qui fournit un système qui génère des contenus de synthèse, donc de l’audio, des images, de la vidéo ou du texte, doit en marquer les sorties dans un format lisible par une machine ; pour les systèmes déjà sur le marché avant le 2 août 2026, l’échéance est le 2 décembre 2026. Celui qui utilise des systèmes de reconnaissance des émotions ou de catégorisation biométrique doit en informer les personnes exposées. Celui qui utilise un système pour générer des hypertrucages, ou pour générer du texte publié dans le but d’informer le public sur des questions d’intérêt public, doit le déclarer.

Un commentaire écrit avec l’aide de l’IA à l’intérieur d’une grille d’évaluation interne ne relève pas de ce dernier cas, parce que ce n’est pas un texte publié pour informer le public. Le déclarer quand même est une bonne pratique et c’est la voie que nous avons choisie, mais il vaut mieux savoir qu’il s’agit d’un choix et non d’une obligation légale.

L’art. 4 porte en revanche sur les compétences des personnes. Dans la version réécrite par l’omnibus, celui qui fournit et celui qui utilise des systèmes d’IA doivent prendre des mesures pour soutenir le développement de la maîtrise de l’IA de leur personnel, et le texte précise qu’il n’est pas exigé de garantir un niveau spécifique à chaque individu. Il reste une obligation d’agir, et elle concerne aussi l’entreprise qui utilise le logiciel, pas seulement celle qui le produit.

Les sanctions, lues au bon endroit

Les chiffres de l’art. 99 sont élevés. Les pratiques interdites par l’art. 5 vont jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial, si ce montant est supérieur. Le non-respect des autres obligations, y compris celles qui pèsent sur ceux qui utilisent les systèmes et celles de transparence, va jusqu’à 15 millions ou 3 %. Les informations inexactes ou trompeuses fournies aux autorités vont jusqu’à 7,5 millions ou 1 %.

Pour les PME et les jeunes entreprises, le plafond applicable est le plus faible entre le pourcentage et le montant fixe. Et ce sont des plafonds : le montant effectif dépend de la gravité, de la durée et des conséquences de la violation. Une entreprise de soixante personnes qui utilise un assistant de rédaction ne risque pas trente-cinq millions d’euros ; ce plafond est là pour les pratiques interdites, qui sont autre chose.

Le volet italien, celui qu’on oublie souvent

La loi italienne n. 132 du 23 septembre 2025 est la première loi italienne sur l’intelligence artificielle : parue au Journal officiel le 25 septembre 2025, en vigueur depuis le 10 octobre 2025. L’art. 11, alinéa 2, établit que l’usage de l’IA dans le cadre du travail doit être sûr, fiable et transparent, qu’il ne peut pas se dérouler en contradiction avec la dignité humaine ni violer la confidentialité des données personnelles, et que l’employeur ou le donneur d’ordre « est tenu d’informer le travailleur de l’utilisation de l’intelligence artificielle dans les cas et selon les modalités prévus à l’article 1-bis du décret législatif n. 152 du 26 mai 1997 ».

Ce renvoi est la partie qui compte vraiment. L’art. 1-bis du décret législatif 152/1997, introduit par le décret législatif 104/2022 et modifié par le décret travail de 2023, s’applique aux « systèmes décisionnels ou de surveillance entièrement automatisés » qui fournissent des indications pertinentes sur l’embauche, la gestion ou la cessation de la relation de travail, l’attribution de tâches et de fonctions, la surveillance, l’évaluation et les performances. L’adverbe « entièrement » a été ajouté en 2023, et il a rétréci le champ : là où il y a un apport humain réel, l’information prévue par l’art. 1-bis ne se déclenche en principe pas.

Si vous devez toutefois décider de la faire ou non, la réponse honnête est de la faire évaluer. La frontière de l’« entièrement automatisé » appliquée à un assistant de rédaction n’a pas encore de jurisprudence consolidée, et l’art. 11 demande de toute façon un usage transparent. Informer les salariés des fonctions d’IA actives dans l’outil coûte peu et clôt la question.

Demeurent applicables, en tout état de cause, l’art. 4 du Statut des travailleurs sur les contrôles à distance et les obligations RGPD. L’art. 1-bis lui-même, à l’alinéa 4, demande à l’employeur une analyse des risques et une analyse d’impact sur les traitements concernés.

Deux détails de contexte, utiles si vous devez chercher un interlocuteur : la loi 132/2025 a institué auprès du ministère du Travail un Observatoire sur l’adoption des systèmes d’intelligence artificielle dans le monde du travail (art. 12), et elle a désigné AgID et ACN comme autorités nationales pour l’intelligence artificielle (art. 20).

Trois questions à poser au fournisseur

Aucune ne demande de compétences juridiques.

La première : le système attribue-t-il des notes, prévoit-il des rendements ou construit-il des profils de personnes ? Si la réponse est oui, on est dans le haut risque, et c’est tout le paquet d’obligations qui change, pour le fournisseur comme pour celui qui l’adopte.

La deuxième : avez-vous réalisé l’évaluation de classification prévue par l’art. 6 et êtes-vous enregistrés dans la base de données de l’UE ? Demandez à voir le document, pas une parole rassurante.

La troisième : où les données sont-elles traitées, et qui les conserve ? Le texte et l’audio peuvent suivre des chemins différents à l’intérieur du même produit, et cela vaut la peine de se faire préciser lesquels.

Comment nous l’avons abordé dans TalentRewards

Les fonctions d’IA de TalentRewards sont des outils de rédaction : complétion du texte pendant la saisie, expansion d’une note en un paragraphe, génération et affinage de questionnaires, dictée avec transcription. Elles n’attribuent pas de notes, ne calculent pas de scores, ne prévoient le rendement de personne et ne reconstruisent pas le profil d’une personne.

Au modèle parviennent le texte que l’utilisateur est en train d’écrire et un contexte de travail : type d’évaluation, poste, service, titres des objectifs actifs, ton demandé. Ne lui parviennent ni le nom du collaborateur ni l’historique de ses évaluations.

Sur cette base, nous avons rédigé l’évaluation de classification prévue par l’art. 6(4) et conclu que les fonctions relèvent de la dérogation de l’art. 6(3), aux conditions inscrites noir sur blanc dans le document : pas de scoring automatique, pas de profilage, supervision humaine effective. C’est une évaluation documentée de notre part, pas une certification délivrée par un tiers, et elle devra être relue si les fonctions changent ou quand la Commission publiera les lignes directrices sur la classification. L’enregistrement dans la base de données de l’UE prévu par l’art. 49(2), nous le ferons dès que le registre sera opérationnel : à la date de cet article, la base de données n’est pas encore ouverte.

Dans l’interface, l’IA est déclarée là où elle travaille. La barre d’outils IA et le générateur de questionnaires affichent l’étiquette « Assisté par IA », et la dictée avertit que la transcription doit être relue avant d’être utilisée.

Sur les données, la contrainte est technique, et elle s’applique à chaque requête. Seuls sont admis les endpoints en région UE, et seuls les endpoints qui déclarent ne pas conserver les textes et ne pas les utiliser pour entraîner les modèles. Le repli n’est pas prévu : si aucun endpoint ne respecte ces conditions, la requête ne part pas, plutôt que de sortir de l’Union.

L’audio de la dictée est le point faible, et nous préférons le dire : le modèle de transcription que nous utilisons n’a pas de variante européenne, donc l’audio est traité aux États-Unis. La fonction est désactivable et nous cherchons une alternative avec un endpoint européen.

Pour les entreprises qui adoptent le logiciel, nous avons préparé un kit : la notice d’utilisation avec les limites déclarées des fonctions d’IA, un modèle d’information aux travailleurs pour l’art. 1-bis du décret législatif 152/1997 et quelques notes pour l’analyse d’impact. Ce sont des documents de support, pas des avis juridiques : les obligations restent à la charge de l’entreprise qui utilise le logiciel, qui fera bien de les faire valider par son propre conseil ou par son DPO.

Ce qui reste

La partie utile de l’AI Act, pour qui achète un logiciel RH, n’est pas l’échéance. C’est qu’il oblige à mettre par écrit ce que le système fait, ce qu’il ne fait pas et où finissent les données. Ce sont ensuite les mêmes questions qu’un responsable du personnel poserait de toute façon, avec ou sans règlement.

Si vous voulez voir où l’IA intervient dans TalentRewards et où elle n’intervient pas du tout, vous pouvez demander une présentation du produit.

Cet article a une finalité informative et ne constitue pas un avis juridique. Mis à jour au 18 septembre 2026.