Tri de CV par IA : l'AI Act « haut risque » s'applique-t-il déjà à votre agence d'intérim ?

Non, les obligations « haut risque » de l'AI Act ne s'appliquent pas encore à votre agence. Un outil qui analyse, filtre ou classe des candidatures relève de l'annexe III, point 4 a), du règlement (UE) 2024/1689, mais le règlement (UE) 2026/1744 (en vigueur le 27 juillet 2026) a repoussé ces obligations du 2 août 2026 au 2 décembre 2027. Le tri de CV automatisé n'est pas pour autant sans règles : l'interdiction d'inférer les émotions sur le lieu de travail s'applique depuis le 2 février 2025, l'article 50 de l'AI Act depuis le 2 août 2026, et le RGPD comme le Code du travail encadrent déjà chaque candidature triée.

Publié au Journal officiel de l'Union européenne le 24 juillet 2026, le règlement (UE) 2026/1744 du 8 juillet 2026 est entré en vigueur le troisième jour suivant, soit le 27 juillet 2026. Son article 1er, point 40, réécrit le calendrier de l'article 113 de l'AI Act :

« c) le chapitre III, sections 1, 2 et 3, à l'exception de l'article 6, paragraphe 5, s'applique à partir: i) du 2 décembre 2027 en ce qui concerne les systèmes d'IA classés comme étant à haut risque en vertu de l'article 6, paragraphe 2, et de l'annexe III; et ii) du 2 août 2028 en ce qui concerne les systèmes d'IA classés à haut risque en vertu de l'article 6, paragraphe 1, et de l'annexe I. »
Règlement (UE) 2026/1744, article 1er, point 40, modifiant l'article 113, troisième alinéa, point c), du règlement (UE) 2024/1689

Le recrutement figure bien dans cette annexe III : son point 4 a) vise les « systèmes d'IA destinés à être utilisés pour le recrutement ou la sélection de personnes physiques, en particulier pour publier des offres d'emploi ciblées, analyser et filtrer les candidatures et évaluer les candidats ».

Le report ne vise que les sections 1 à 3 du chapitre III. Quatre règles jouent dès aujourd'hui.

• En principe, pas de refus entièrement automatique. L'article 22 du RGPD, applicable depuis le 25 mai 2018, donne au candidat « le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage », dès lors qu'elle l'affecte de manière significative, sauf exceptions étroites (contrat, loi, consentement explicite). Le considérant 71 cite lui-même « des pratiques de recrutement en ligne sans aucune intervention humaine ».
• Information préalable du candidat. Le candidat doit être « expressément informé, préalablement à leur mise en oeuvre, des méthodes et techniques d'aide au recrutement utilisées à son égard », méthodes qui « doivent être pertinentes au regard de la finalité poursuivie » (Code du travail, article L1221-8). Aucune information ne peut être collectée par un dispositif qu'il ne connaît pas (article L1221-9), et les informations demandées doivent avoir un « lien direct et nécessaire » avec l'emploi (article L1221-6).
• Aucune analyse des émotions des candidats. Depuis le 2 février 2025, l'article 5, paragraphe 1, point f), de l'AI Act interdit d'utiliser l'IA pour inférer les émotions d'une personne « sur le lieu de travail », sauf raisons médicales ou de sécurité. Le règlement ne cite pas les candidats, mais les lignes directrices de la Commission, non contraignantes, étendent le lieu de travail à la sélection et au recrutement et classent parmi les usages interdits la reconnaissance des émotions pendant un recrutement. Désactivez tout module d'« analyse émotionnelle » des entretiens vidéo.
• Chatbot de préqualification signalé. Depuis le 2 août 2026, le fournisseur d'un système qui dialogue avec des personnes doit les informer qu'elles interagissent avec une IA, sauf évidence (article 50, paragraphe 1). Un assistant conversationnel que vous faites développer et que vous mettez en service sous votre marque fait de votre agence le fournisseur (article 3, point 3).

Dès qu'elle utilise sous sa propre autorité un outil de tri ou d'évaluation des candidats, votre agence en est le « déployeur ». L'article 26 lui imposera notamment :

• d'utiliser l'outil selon sa notice et de confier le contrôle humain à des personnes compétentes, formées et dotées de l'autorité nécessaire (paragraphes 1 et 2) ;
• de surveiller l'outil et de le suspendre s'il présente un risque (paragraphe 5) ;
• d'informer les représentants des travailleurs et les travailleurs concernés avant toute utilisation sur le lieu de travail (paragraphe 7), et les candidats qu'ils sont soumis à l'outil (paragraphe 11).

Trois nuances pèsent lourd. Un outil limité à une tâche procédurale étroite, comme la mise en forme des données d'un CV, peut échapper au haut risque s'il ne présente pas de risque important de préjudice pour les droits fondamentaux, ce que son fournisseur doit documenter (article 6, paragraphes 3 et 4). Mais un système de l'annexe III qui effectue un profilage reste « toujours » à haut risque, et le RGPD (article 4, point 4) définit le profilage comme l'évaluation d'aspects personnels, notamment « le rendement au travail » : un score d'aptitude en relève en principe. Ensuite, l'article 111, paragraphe 2, réécrit par le point 39, n'applique le règlement aux opérateurs de systèmes mis sur le marché ou en service avant le 2 décembre 2027 que si ces systèmes « subissent d'importantes modifications de leurs conceptions » à compter de cette date ; pour un logiciel en ligne mis à jour en continu, le texte ne tranche pas. Enfin, détourner un assistant d'IA généraliste pour classer des CV peut faire de l'agence un fournisseur, aux obligations bien plus lourdes (article 25, paragraphe 1, point c).

Le report décale des obligations, pas les réclamations. Exemple : pour une mission de 25 préparateurs de commandes, sur 400 candidatures, l'outil en retient 60 en écartant d'office les parcours comportant plus d'un an d'interruption. Ce critère peut défavoriser indirectement des candidats pour leur santé ou leur situation familiale. Trois fronts s'ouvrent :

• le candidat écarté, qui conteste un refus automatisé ou discriminatoire et réclame réparation, parfois après une plainte à la CNIL ;
• l'entreprise utilisatrice, si la sélection biaisée la met elle-même en cause ou retarde la mission ;
• les autorités : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour une pratique interdite (article 5), 15 millions ou 3 % pour un manquement à l'article 50, le plus faible des deux montants étant retenu pour une PME (article 99).

Les deux premiers sont des risques de responsabilité civile professionnelle ; leur prise en charge dépend des conditions de votre assurance RC Pro : activité déclarée, traitement des réclamations de candidats, dommages immatériels, exclusions. Une amende administrative sanctionne une infraction ; elle ne répare pas le dommage d'un tiers. Son assurabilité dépend de la loi et de votre contrat : demandez-le par écrit à votre courtier. La fuite d'un fichier candidats est un risque cyber, à examiner avec les conditions de l'assurance cyber ; les autres risques du métier sont sur la page agence d'intérim.

• Inventoriez vos outils : logiciel de candidatures avec score ou « matching », chatbot, analyse d'entretien vidéo, assistants d'IA des équipes.
• Coupez toute fonction d'analyse des émotions et tout refus envoyé sans relecture humaine.
• Informez les candidats avant tout traitement, dans l'annonce ou le formulaire, de l'usage d'un outil d'aide au tri (article L1221-8).
• Interrogez votre éditeur par écrit : classement de l'outil (article 6), date de mise sur le marché, position sur l'article 111, feuille de route pour le 2 décembre 2027.
• Interdisez par écrit le classement de CV avec un assistant d'IA généraliste.
• Relisez votre RC Pro avec ces scénarios et signalez à votre courtier tout outil de tri automatisé absent de l'activité déclarée.