AI Act : ce que les obligations « haut risque » changent pour vous

La plupart des directions juridiques et RH lisent l’AI Act comme un texte qui s’adresse aux éditeurs de logiciels d’intelligence artificielle, pas à leur propre entreprise. C’est une lecture dangereuse pour tout usage de l’IA touchant à l’emploi : le règlement européen classe explicitement les systèmes utilisés pour le recrutement, l’évaluation de la performance, l’allocation des tâches ou la promotion parmi les usages à haut risque — et il impose des obligations directement à l’entreprise qui déploie ces systèmes, pas seulement à celle qui les conçoit. Les obligations de documentation s’appliquent à partir d’août 2026, décembre 2027 pour les entités couvertes par le mécanisme Omnibus. Voici ce que cela change concrètement.

Ce que « haut risque » signifie concrètement en matière d’emploi

L’annexe III de l’AI Act classe explicitement comme à haut risque les systèmes d’IA utilisés pour le recrutement et la sélection de candidats, l’évaluation de la performance et du comportement au travail, la répartition des tâches fondée sur des traits individuels, ou les décisions de promotion et de rupture du contrat de travail. Cette classification ne dépend pas de la sophistication technique du système : un outil de tri de CV assisté par IA, même simple, entre dans ce périmètre dès lors qu’il influence une décision d’emploi.

Ce qui change avec le haut risque, ce n’est pas une interdiction — c’est une obligation de preuve. L’entreprise doit être capable de démontrer, sur demande, comment le système fonctionne, sur quelles données il s’appuie, et quelle supervision humaine encadre ses résultats.

Fournisseur et déployeur : deux jeux d’obligations distincts

L’AI Act distingue le fournisseur, qui conçoit le système, du déployeur, qui l’utilise dans son activité. La plupart des entreprises françaises de taille intermédiaire sont des déployeurs : elles achètent ou intègrent des outils d’IA plutôt que de les développer elles-mêmes. Cela ne les dispense en rien d’obligations propres — évaluation d’impact sur les droits fondamentaux, information des personnes concernées, supervision humaine effective, et documentation de l’usage réel du système dans l’organisation. Le contrat avec l’éditeur ne transfère pas ces obligations : il peut au mieux préciser qui documente quoi.

Le calendrier qui compte : août 2026 et décembre 2027

Les obligations de documentation pour les usages à haut risque s’appliquent à compter d’août 2026 pour la majorité des entités concernées. Le mécanisme Omnibus, qui accorde un délai supplémentaire à certaines catégories d’entités, repousse cette échéance à décembre 2027 — un allongement bienvenu, mais qui ne dispense pas de se préparer dès maintenant : la documentation exigée porte sur l’usage réel du système, pas sur un état futur idéal. Plus l’entreprise attend pour commencer à tracer ses usages, plus la reconstitution rétroactive de cette documentation sera longue et coûteuse.

Le calendrier de l’AI Act n’est pas une date à laquelle se mettre en conformité. C’est une date à laquelle il faut déjà pouvoir prouver qu’on l’était.

Ce que la documentation doit prouver, pas seulement déclarer

Une documentation de conformité qui se contente d’affirmer des principes généraux ne résiste pas à un contrôle. Les éléments qui doivent être traçables et vérifiables :

• La correspondance tâche-système — quelle tâche précise, dans quel poste, est effectivement assistée ou décidée par le système d’IA.
• La supervision humaine réelle — qui valide, à quelle étape, avec quelle possibilité effective de corriger ou d’écarter la recommandation du système.
• Le journal des décisions automatisées — un historique exploitable, pas une déclaration d’intention sur le papier.
• L’évaluation avant déploiement à l’échelle — une analyse de risque conduite avant l’extension d’un usage pilote à l’ensemble d’une direction, pas après coup.

Pourquoi la souveraineté des données devient un levier de conformité

Un déploiement sur site, où les données de l’entreprise ne quittent jamais son périmètre et ne servent jamais à entraîner un modèle tiers, simplifie une partie substantielle de cette documentation : la chaîne de traitement des données reste entièrement traçable et opposable au régulateur comme au CSE. Une architecture qui respecte nativement le RGPD depuis sa conception, plutôt que par ajustements successifs, réduit d’autant le nombre de zones grises à documenter a posteriori.

Ce que cela change concrètement pour votre feuille de route IA

La conséquence pratique pour une direction générale n’est pas de retarder ses projets d’IA en attendant que le cadre se stabilise — c’est l’inverse : chaque usage lancé sans documentation dès le départ est un usage à reconstituer plus tard, dans l’urgence, avec une charge de preuve renversée en cas de contrôle. Intégrer la traçabilité et la supervision humaine dès la conception d’un cas d’usage RH coûte marginalement plus cher au démarrage et beaucoup moins cher à l’échéance de 2026 ou 2027.

L’AI Act ne demande pas aux entreprises de prouver que l’IA fonctionne bien. Il leur demande de prouver qu’elles savent précisément ce qu’elle fait — ce qui, pour la plupart des directions RH aujourd’hui, reste encore à construire.