Pendant six mois, tout le monde a annoncé la même chose : le 2 août 2026, les obligations les plus lourdes de l’AI Act tomberaient sur les outils de recrutement. J’ai lu des dizaines d’articles là-dessus, j’en ai relayé quelques-uns. Ils sont périmés depuis le 27 juillet. Un règlement européen publié trois jours plus tôt a repoussé cette échéance de seize mois. Mais en conclure que rien ne s’applique serait l’erreur symétrique, et probablement la plus coûteuse des deux.

En résumé Le report ne concerne que les obligations « haut risque », désormais applicables au 2 décembre 2027. L’interdiction de la reconnaissance des émotions en entretien est en vigueur depuis février 2025. L’obligation de littératie IA reste applicable, sous une forme assouplie. Les obligations de transparence sont bien entrées en application le 2 août 2026. Et surtout : la CNIL a fait du recrutement une priorité de contrôle pour 2026, en visant nommément les cabinets.

Ce qui s’est passé le 24 juillet

Le règlement (UE) 2026/1744, surnommé Digital Omnibus sur l’IA, a été publié au Journal officiel de l’Union européenne le 24 juillet 2026 et est entré en vigueur le 27. C’est la première modification de l’AI Act depuis son adoption en juin 2024.

Son contenu est simple : il ne touche pas à l’architecture du règlement ni à son approche par les risques, il déplace des dates. Les obligations applicables aux systèmes d’IA à haut risque listés à l’annexe III, qui devaient entrer en application le 2 août 2026, sont reportées au 2 décembre 2027. Celles des systèmes intégrés à des produits déjà réglementés glissent au 2 août 2028. Le motif invoqué par le législateur est prosaïque : les normes techniques et les autorités nationales compétentes n’étaient pas prêtes.

Le recrutement figure dans cette annexe III. Le tri de candidatures, le scoring de CV, le classement automatisé de profils : tout cela relève bien du haut risque, et tout cela vient de gagner seize mois. Voilà pour la bonne nouvelle.

Es-tu concerné en tant que recruteur indépendant ?

Oui, et c’est le point que la plupart des articles écrits pour les DRH de grands groupes ne disent pas clairement.

Le règlement raisonne en rôles, pas en tailles. Il distingue le fournisseur, celui qui développe et met sur le marché un système d’IA, et le déployeur, celui qui l’utilise sous sa propre autorité. Si tu utilises un ATS avec du scoring, un assistant de sourcing ou un outil d’analyse de candidatures pour tes propres missions, tu es déployeur. Aucun seuil d’effectif ne t’exonère. Un cabinet d’une personne relève exactement du même régime qu’un groupe de cinq mille salariés.

Deux nuances jouent en ta faveur. D’abord, la charge de conformité la plus lourde pèse sur ton éditeur, pas sur toi : c’est lui qui doit produire la documentation technique, la gestion des risques et l’évaluation de conformité. Ensuite, le Digital Omnibus a introduit des allègements explicites pour les PME et les entreprises de taille intermédiaire, notamment une documentation technique simplifiée. Et sur les sanctions, le règlement prévoit déjà que pour une PME ou une start-up, c’est le plus faible des deux plafonds qui s’applique, pas le plus élevé. Les 35 millions d’euros qu’on voit passer dans tous les titres ne sont pas ton horizon.

Une nuance joue contre toi, en revanche, et elle est peu commentée. Si tu modifies substantiellement un système, si tu changes sa finalité, ou si tu déploies sous ton propre nom un outil que tu as assemblé toi-même, tu peux basculer du statut de déployeur à celui de fournisseur. Le recruteur qui bricole un assistant de tri de CV sur une brique générative et le propose à ses clients comme un service maison n’est plus un simple utilisateur. Ce point-là devient opposable en décembre 2027, mais il mérite d’être connu maintenant, parce qu’il conditionne des choix d’outillage qu’on fait aujourd’hui.

Ce qui s’applique déjà, report ou pas

Trois blocs sont en vigueur et ne bougent pas.

L’interdiction de la reconnaissance des émotions. Depuis le 2 février 2025, l’article 5 interdit les systèmes d’IA qui infèrent les émotions d’une personne sur le lieu de travail, sauf raisons médicales ou de sécurité. Les lignes directrices publiées par la Commission en février 2025 retiennent une lecture large de la notion de lieu de travail, qui englobe le processus de recrutement, et précisent que l’interdiction s’impose au déployeur même si son fournisseur avait contractuellement exclu cet usage. Concrètement : un outil d’entretien vidéo différé qui prétend mesurer la confiance, le stress ou la sincérité d’un candidat à partir de ses micro-expressions ou de sa voix est hors la loi. Aujourd’hui, pas en 2027. Et changer le vocabulaire commercial pour parler d’analyse de l’engagement ou de mesure d’attention ne change rien si la finalité reste la même.

La littératie IA. L’article 4 impose aux fournisseurs et aux déployeurs de prendre des mesures pour développer les compétences en IA de leur personnel et des personnes qui utilisent ces systèmes pour leur compte. Le Digital Omnibus l’a réécrit : on est passé d’une obligation d’assurer un niveau suffisant à une obligation de prendre des mesures pour en soutenir le développement, et le texte précise désormais qu’aucun niveau individuel n’est garanti. C’est une obligation de moyens. Pour un indépendant qui travaille seul, cela veut dire savoir expliquer ce que fait l’outil qu’on utilise, ce qu’il ne fait pas, et où il peut se tromper. Ce n’est pas un certificat qu’on achète, contrairement à ce que suggèrent certaines offres de formation qui ont fleuri sur le sujet.

La transparence. Les obligations de l’article 50 sont bien entrées en application le 2 août 2026, sans report. Si tu fais dialoguer tes candidats avec un agent conversationnel, ils doivent savoir qu’ils parlent à une machine.

Tes outils, un par un

Un ATS qui score ou classe les candidatures. Haut risque au sens de l’annexe III. Obligations complètes au 2 décembre 2027 pour ton éditeur, et pour toi en tant que déployeur. Rien à faire côté AI Act cette année, beaucoup à faire côté RGPD, on y vient.

Un assistant générique pour rédiger tes annonces ou tes messages d’approche. Hors haut risque : il n’évalue personne et ne décide rien. Seules la transparence et la littératie s’appliquent.

Un outil d’analyse vidéo d’entretien. À vérifier ligne à ligne. S’il se contente de transcrire et de résumer, il ne pose pas de problème particulier. S’il prétend inférer un état émotionnel, il tombe sous l’interdiction en vigueur. C’est le seul cas de la liste où le risque est immédiat.

Un outil de sourcing et de prospection sur LinkedIn. C’est le cas le plus mal compris. Un outil qui identifie des profils, séquence des invitations et envoie des messages n’évalue pas les candidats et ne décide pas de l’accès à un emploi. Il ne relève donc pas de l’annexe III. J’utilise Waalaxy pour cette partie de mon activité, et la distinction est nette : automatiser une prise de contact n’est pas automatiser une sélection. En revanche, tout ce que tu collectes au passage reste du traitement de données personnelles, avec les obligations d’information qui vont avec.

Le vrai sujet n’est pas l’AI Act

Voilà le point que je n’ai vu nulle part, et qui devrait déplacer ton attention.

Le 3 avril 2026, la CNIL a publié ses thématiques prioritaires de contrôle pour l’année. Le recrutement en fait partie. Les contrôles porteront sur les systèmes de prise de décision automatisée, l’information des candidats et les durées de conservation. Et l’autorité précise que ces contrôles viseront prioritairement les grandes entreprises et les cabinets de recrutement, compte tenu du volume de candidatures qu’ils traitent. Elle ajoute que cette campagne préfigure ses futures attributions d’autorité de surveillance de marché dans le champ du travail au titre de l’AI Act.

Traduction : pendant que le secteur commentait un report européen, le régulateur français a annoncé qu’il venait vérifier, cette année, sur des fondements juridiques qui n’ont jamais été reportés.

Ces fondements existent depuis longtemps. L’article 22 du RGPD interdit qu’une personne fasse l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets significatifs, et écarter un candidat en est un. L’article L1221-8 du Code du travail impose d’informer expressément le candidat, préalablement à leur mise en œuvre, des méthodes et techniques d’aide au recrutement utilisées à son égard, et exige que ces méthodes soient pertinentes au regard de la finalité poursuivie. L’article L1221-9 ajoute qu’aucune information ne peut être collectée par un dispositif qui n’a pas été porté préalablement à la connaissance du candidat. L’article L1221-6 limite les informations demandées à ce qui présente un lien direct et nécessaire avec l’emploi.

Ces textes sont antérieurs à l’IA générative et s’y appliquent parfaitement. Un scoring automatique dont tes candidats ignorent l’existence est un problème aujourd’hui, indépendamment du calendrier bruxellois.

Ce que je fais concrètement

Quatre actions, et elles tiennent en une demi-journée.

D’abord, l’inventaire : la liste de tous les outils que j’utilise sur une mission, avec pour chacun ce qu’il fait des données candidat. C’est fastidieux et c’est la seule étape indispensable, parce que tout le reste en découle.

Ensuite, une question écrite à chaque éditeur : ton outil produit-il un score ou un classement, et où en es-tu de ta préparation à l’échéance de décembre 2027 ? Une réponse évasive est une information en soi.

Puis une mention d’information candidat, courte et lisible, qui dit quels outils interviennent dans le process et rappelle qu’une personne prend la décision. C’est l’exigence du Code du travail et c’est aussi le premier point que la CNIL ira regarder.

Enfin, une purge : les candidatures non retenues ne se conservent pas indéfiniment, et c’est le troisième axe annoncé des contrôles.

Et côté client

Il y a un angle commercial à ne pas laisser passer. Tes clients vont recevoir ces questions de leur propre DPO, ou les voir arriver dans un appel d’offres. Un recruteur indépendant capable de dire en trois phrases quels outils il utilise, lesquels produisent un score, et comment les candidats en sont informés, se distingue immédiatement d’un cabinet qui répond qu’il va se renseigner. La conformité est ici une contrainte à peu près gratuite pour une petite structure, et un argument différenciant face à des concurrents plus gros et plus lents.

Questions fréquentes

Un recruteur indépendant est-il concerné par l’AI Act ? Oui. Le règlement s’applique aux déployeurs sans seuil d’effectif. Les obligations les plus lourdes ne s’appliqueront qu’au 2 décembre 2027, mais l’interdiction de la reconnaissance des émotions et l’obligation de littératie sont déjà en vigueur.

Puis-je utiliser une IA générative pour trier des CV ? Pour préparer, résumer ou structurer, oui. Pour écarter automatiquement une candidature sans intervention humaine réelle, non : l’article 22 du RGPD s’y oppose, et cela ne dépend pas du calendrier de l’AI Act.

Mes candidats doivent-ils être informés ? Oui, et cette obligation ne vient pas de l’AI Act mais de l’article L1221-8 du Code du travail, en vigueur depuis longtemps.

L’AI Act s’applique-t-il si mon outil est américain ? Oui, dès lors que le système est utilisé dans l’Union ou que ses résultats y sont utilisés.

Que se passe-t-il le 2 décembre 2027 ? Les obligations complètes applicables aux systèmes à haut risque de l’annexe III entrent en application, pour les fournisseurs comme pour les déployeurs.