actualités & événements
retour à toutes les nouvelles
L'AI Act est le règlement européen qui encadre l'usage de l'intelligence artificielle en Europe. Pour les directions RH et Finance, ce n'est pas un texte technique parmi d'autres : il touche directement des usages déjà répandus, en particulier le recrutement assisté par IA et l'évaluation de la solvabilité.
Ce texte revient sur ce qu'est concrètement l'AI Act, son calendrier d'application (qui a changé récemment), ses niveaux de risque, et surtout ce qu'il implique pour une DRH ou une direction financière qui utilise, ou envisage d'utiliser, des outils d'IA dans ses processus.
L'AI Act, ou règlement (UE) 2024/1689, est le premier cadre juridique complet au monde sur l'intelligence artificielle. Approuvé le 13 juin 2024 et publié au Journal officiel de l'Union européenne le 12 juillet 2024, il est entré en vigueur le 1er août 2024, avec une application progressive de ses dispositions sur une période de 6 à 36 mois.
L'approche du texte repose sur une logique de risque : plus un usage de l'IA présente un danger potentiel pour les droits fondamentaux des personnes, plus les obligations qui pèsent sur l'entreprise qui le déploie sont strictes. Le règlement s'applique à toute organisation qui développe, commercialise ou utilise un système d'IA touchant le marché européen, quel que soit son lieu d'établissement.
L'annexe III du règlement classe explicitement les systèmes d'IA utilisés pour le recrutement ou la sélection de personnes parmi les usages à haut risque. Cette classification est large et couvre la plupart des outils IA RH aujourd'hui commercialisés.
Concrètement, un chatbot de présélection qui filtre automatiquement des candidats sur la base d'un premier échange, un outil d'analyse vidéo d'entretien qui évalue des traits comportementaux, ou un test de personnalité IA qui infère des compétences à partir des réponses, entrent tous dans le périmètre haut risque.
L'annexe III couvre également deux usages directement liés à la fonction Finance : les systèmes d'IA destinés à évaluer la solvabilité des personnes physiques ou à établir leur score de crédit, et les systèmes utilisés pour l'évaluation des risques et la tarification en assurance vie et santé. Pour ces usages, l'article 27 du règlement impose une analyse d'impact spécifique avant tout déploiement, à l'exception des systèmes utilisés à des fins de détection de fraude financière, qui en sont exemptés.
Pour une direction financière qui utilise ou envisage d'utiliser des outils d'IA pour du scoring de crédit interne, de l'évaluation de risque client ou de la tarification, ce point mérite une attention particulière dès la phase de sélection de l'outil.
Le calendrier initial prévoyait une application des obligations liées aux systèmes à haut risque au 2 août 2026. Ce calendrier a été revu.
L'AI Act distingue le fournisseur d'un système d'IA (l'éditeur) du déployeur (l'entreprise qui l'utilise dans ses processus). Une DRH ou une direction Finance qui achète et paramètre un outil IA RH ou Finance a le statut de déployeur, et porte à ce titre des obligations propres, définies notamment par l'article 26 du règlement.
| Obligation | Ce qu'elle implique concrètement |
|---|---|
| Usage conforme aux instructions | Utiliser le système selon la notice fournie par l'éditeur, sans détournement d'usage. |
| Supervision humaine effective | Désigner des personnes formées et compétentes, capables d'intervenir en temps réel ou de désactiver le système. La supervision ne peut pas être purement formelle. |
| Journalisation | Conserver les journaux d'activité du système pendant au moins 6 mois. |
| Information des collaborateurs | Informer les salariés avant la mise en usage d'un système d'IA sur leur lieu de travail. |
| Information des personnes concernées | Informer, de façon claire et préalable, toute personne faisant l'objet d'une décision impliquant un système à haut risque (un candidat, par exemple). |
| Déclaration d'incidents | Surveiller le fonctionnement du système et déclarer tout incident grave à l'autorité compétente. |
Le régime de sanctions de l'AI Act retient systématiquement le montant le plus élevé entre une somme fixe et un pourcentage du chiffre d'affaires annuel mondial de l'entreprise.
Pour les PME et TPE, chaque amende est plafonnée au montant le plus bas entre le pourcentage du chiffre d'affaires et le montant fixe, un mécanisme protecteur qui n'existe pas pour les grandes entreprises.
Oui, dès lors qu'une entreprise développe, commercialise ou utilise un système d'IA touchant le marché européen, quel que soit son lieu d'établissement. La nature des obligations dépend du niveau de risque de l'usage concerné, pas de la taille de l'entreprise, même si des aménagements existent pour les PME sur le montant des sanctions.
Un chatbot RH purement informatif (FAQ congés, politiques internes) relève généralement du risque minimal, avec une simple obligation de transparence si l'utilisateur pourrait croire échanger avec un humain. Le régime haut risque ne s'applique que si le chatbot participe à une décision de recrutement, d'évaluation ou de gestion de carrière, par exemple un chatbot de présélection de candidats.
Le fournisseur est l'entreprise qui développe et commercialise le système d'IA. Le déployeur est l'entreprise qui l'utilise dans ses propres processus. Une DRH qui achète un outil de tri de CV à un éditeur est déployeur : elle porte des obligations propres (supervision humaine, information des personnes concernées), distinctes de celles du fournisseur.
Non. Le report donne un délai supplémentaire, mais la mise en conformité (cartographie des usages, documentation, supervision humaine, formation des équipes) prend du temps à mettre en place sérieusement. Les organisations qui commencent tôt évitent une course contre la montre à l'approche de l'échéance, un scénario déjà observé lors du report précédent.
Oui, les deux textes sont complémentaires et se cumulent. Le RGPD encadre tout traitement de données personnelles, y compris lorsqu'il est réalisé par un système d'IA. L'AI Act encadre spécifiquement le système d'IA lui-même, ses risques et sa supervision. Un projet IA RH ou Finance touchant des données personnelles doit donc respecter les deux cadres simultanément.
Vous souhaitez structurer votre stratégie IA en RH ou en Finance ?
