Le cadre IA RH que personne ne réclame, jusqu'au jour où il manque

Votre équipe RH utilise l'IA tous les jours. Elle ne vous en parle pas forcément.

Pas par malice mais par réflexe : coller un CV dans un outil grand public prend trente secondes, poser la question à quelqu'un en prend cinq fois plus. L'usage ne ralentit jamais. Le cadre autour, lui, reste optionnel tant que personne ne le rend obligatoire.

Le calendrier de l'AI Act, de son côté, a vraiment bougé, sauf que la version qui circule encore dans beaucoup de boîtes mail date d'avant cette bascule, et elle est souvent périmée de plusieurs mois.

Cet article fait les deux choses en même temps : remettre à plat ce qui tourne probablement dans vos équipes sans supervision, et vérifier, aux sources officielles, ce qui a vraiment changé sur l'AI Act. Un cadre qui n'existe que sur le papier ne protège personne. Autant repartir sur des dates exactes.

Ce qui tourne dans vos RH sans que vous le sachiez

Scénario le plus banal : un.e chargé.e de recrutement seul.e sur son service un jour de pic, deux entretiens à préparer, un manager qui relance pour une short-list. Elle colle trois CV et une fiche de poste dans l'outil IA grand public qu'elle utilise déjà pour ses mails, elle récupère une grille de comparaison en trente secondes, elle l'envoie au manager. Personne n'a validé cet usage. Personne ne l'a interdit non plus. Il s'est juste installé, parce que c'était plus rapide qu'attendre une réponse à une question qu'elle n'a jamais posée.

C'est ça, le Shadow IA en RH : pas un logiciel piraté, pas une tentative de contourner une règle.

Un usage utile, individuel, jamais remonté, qui échappe à toute décision collective. Il prospère précisément dans les périodes où la vigilance baisse d'un cran : sous-effectif, urgence, fin de trimestre, campagne de recrutement qui déborde.

Le problème ne se loge pas dans la vitesse gagnée sur la short-list. Il se loge dans trois angles morts qui restent ouverts tant que personne ne regarde.

• Une donnée candidat qui part dans un outil sans garantie sur son traitement, alors que l'article 22 du RGPD encadre depuis longtemps les décisions individuelles automatisées, AI Act ou pas.

• Une IRP jamais informée d'un usage qui touche pourtant les conditions de recrutement, alors que l'article L.2312-38 du Code du travail impose la consultation du CSE avant l'introduction d'une technologie qui affecte les conditions de travail.

• Une décision de tri qui s'est appuyée sur un outil dont personne ne peut dire, six mois plus tard, ce qu'il a réellement recommandé ni pourquoi.

Le même mécanisme joue sur l'évaluation, pas seulement sur le recrutement.

Un manager qui prépare quarante comptes rendus d'entretien annuel en trois semaines, seul, va chercher la voie la plus rapide:

• Coller les notes brutes d'un collaborateur dans un assistant de rédaction pour en sortir une synthèse propre prend cinq minutes.

• Vérifier ensuite qu'aucune donnée sensible n'a atterri dans un historique de conversation stocké on ne sait où en prend zéro, parce que personne n'y a pensé sur le moment.

Le problème n'est jamais l'outil. C'est l'absence du réflexe qui aurait dû faire hésiter avant de cliquer sur envoyer.

Rien de tout ça n'exige un grand plan de conformité pour se corriger. Ça exige une chose plus modeste et plus difficile à obtenir en pratique : que chaque usage individuel remonte quelque part, avant de devenir une habitude qu'on découvre a posteriori. Je le détaillais déjà dans l'audit à faire avant la rentrée : la question n'est jamais si l'IA est utilisée dans votre entreprise. Elle l'est. La vraie question, c'est qui le sait.

Le calendrier AI Act, sans le brouillard

Le report qui fait le plus de bruit concerne l'annexe III, celle des systèmes à haut risque autonomes. Recrutement, évaluation de performance, attribution de tâches, promotion, rupture : tout ce qui touche directement une trajectoire professionnelle individuelle.

Ces obligations, documentation du système, gestion des risques, supervision humaine renforcée, ne s'appliqueront qu'au 2 décembre 2027.

Le Digital Omnibus qui a acté ce report a été publié au Journal officiel de l'Union européenne fin juillet 2026, après un accord politique entre le Parlement et le Conseil début mai. Ce n'est plus une hypothèse de négociation, c'est un texte en vigueur.

Ce report a un effet secondaire prévisible : il donne l'impression que le sujet entier repart à plus tard. C'est faux, et c'est précisément ce qui coince les formations qui continuent de vendre l'urgence de l'ancienne échéance sans avoir mis à jour leur argumentaire.

Trois obligations restent dues aujourd'hui, indépendamment du report:

• L'article 50 sur la transparence n'a pas bougé d'un jour : informer un candidat ou un salarié qu'il interagit avec un système d'IA, étiqueter un contenu généré, reste une obligation active depuis le 2 août 2026.

• L'article 5 sur les pratiques interdites est en vigueur depuis février 2025, et une nouvelle interdiction, visant les contenus sexuels non consentis et pédocriminels générés par IA, entrera en application en décembre 2026, sans lien direct avec le recrutement mais utile à connaître.

• L'article 4, sur la littératie IA, l'obligation de cartographier ses usages et de former son personnel de façon proportionnée, s'applique lui aussi depuis février 2025.

Ce qui change au 2 août 2026, ce n'est pas cette obligation elle-même, c'est le fait que les autorités nationales peuvent désormais sanctionner son absence.

Un chiffre revient souvent sans être toujours bien attribué : 35 millions d'euros ou 7% du chiffre d'affaires mondial. Ce plafond concerne les pratiques interdites de l'article 5, pas un défaut de cartographie ou de formation sur un outil de recrutement à haut risque.

Sur ce dernier point, le plafond réel est de 15 millions d'euros ou 3% du chiffre d'affaires mondial. La différence n'est pas cosmétique quand elle sert à évaluer un risque réel plutôt qu'à faire peur.

Cette confusion entre les deux plafonds n'est pas un détail de juriste. Elle change complètement l'ordre des priorités d'un DRH pressé.

Traiter en urgence un risque à 35 millions d'euros qui ne concerne pas votre usage, pendant que la vraie obligation actionnable dès aujourd'hui reste sans réponse, revient à répondre à la mauvaise alerte incendie.

Si un outil s'est glissé dans votre entreprise sans supervision, la priorité n'est donc pas de se demander s'il respecte une annexe III qui n'entrera en vigueur que dans un peu plus d'un an.

La priorité, c'est de savoir s'il est cartographié, si les personnes qui l'utilisent ont reçu une formation proportionnée à ce qu'elles en font, et si un candidat sait qu'il a affaire à une IA quand c'est le cas.

C'est exactement ce que je détaillais pour le recrutement dans IA et recrutement en 2026, et ce sont ces trois points-là qui sont actionnables dès maintenant, pas dans quinze mois.

Sobriété numérique : le pilier qu'on abandonne dès que la pression revient

La sobriété numérique revient souvent dans mes contenus, et ce n'est pas un supplément d'âme qu'on sort quand le rythme se prête à la nuance. C'est un pilier de ma méthode. Le problème, c'est que ce pilier-là est exactement celui qui saute en premier dès que la pression opérationnelle monte. La sobriété demande un temps de réflexion avant l'usage. L'urgence du moment, elle, demande des résultats avant midi.

Ce n'est pas un hasard si le Shadow IA prospère précisément là où la sobriété recule.

Coller un CV dans un outil grand public, générer une dixième variante d'une même annonce, relancer une requête parce que la précédente ne convenait pas tout à fait : chacun de ces gestes est anodin isolément. Répétés sans discernement, à l'échelle d'une équipe entière, ils représentent un coût réel, pas seulement énergétique, aussi organisationnel : plus d'outils dispersés, plus de données qui circulent sans traçabilité, moins de mémoire collective sur ce qui a été essayé et ce qui a marché.

Une IA RH responsable ne renonce pas à l'IA au nom de l'écologie.

Elle pose une question simple avant chaque nouvel usage : est-ce que cet outil résout un problème réel, ou est-ce qu'il ajoute un geste de plus à une pile déjà trop haute ? Cette question-là coûte trente secondes. Elle évite des mois de recadrage.

Et la sobriété ne se limite pas à l'empreinte serveur d'un modèle.

Dans ma méthode IA RH® Responsable, le mot recouvre aussi l'équité et l'inclusion : un outil de tri utilisé sans supervision peut reproduire un biais présent dans des données historiques, aussi discrètement qu'il consomme de l'électricité. La sobriété, ici, c'est le même réflexe appliqué à deux échelles différentes : ne pas activer un usage qu'on ne peut pas expliquer, ni à l'environnement, ni à la personne concernée par la décision.

Ce qu'un cadre IA qui tient vraiment change

Une enseigne nationale, présente depuis 1990, avec une soixantaine de collaborateurs au siège, m'a contactée dans une situation qui ressemble beaucoup à ce qu'on vient de décrire. Des licences IA achetées, un questionnaire interne jamais exploité, des usages déjà lancés côté franchisés, et une question qui revenait en boucle sans réponse claire : comment l'IA va m'aider dans mon quotidien.

La mission a duré deux mois, en trois phases : un diagnostic terrain avec interviews et questionnaire quantitatif, une analyse croisée pour distinguer maturité technique, craintes légitimes et vraies opportunités par métier, puis un plan d'action traduit en gouvernance concrète. Cinquante-trois collaborateurs ont répondu, 21 métiers ont été analysés, et 100% d'entre eux ont identifié au moins une tâche automatisable.

La maturité moyenne ressortait à 2,4 sur 4 : une organisation curieuse, mais sans cap partagé, avec 60% des équipes en attente d'un cadre plutôt qu'en refus de l'outil.

Le résultat ne tient pas dans un taux d'adoption. Il tient dans ce que l'équipe sait faire aujourd'hui qu'elle ne savait pas faire avant : par quoi commencer, comment donner de la visibilité à ses propres usages, comment avancer sans perturber l'organisation en place. Le détail qui compte le plus dans cette mission ne tient pas dans les chiffres.

C'est cette personne du service juridique, rencontrée en interview, convaincue que l'IA allait remplacer son métier. Personne ne l'a rassurée avec un grand discours. On a juste parlé de ce qui lui pesait vraiment au quotidien, et deux axes concrets sont apparus où l'IA l'aiderait, elle, dans son travail. Elle a terminé l'entretien avec l'envie de tester.

C'est ce que fait un cadre qui tient : il transforme une inquiétude en curiosité, sans jamais forcer personne.

On ne déploie pas l'IA parce qu'on a acheté des licences. On la déploie quand les équipes comprennent pourquoi, savent par où commencer, et disposent d'un cadre pour avancer en confiance. C'est le même principe que je développe dans IA RH® Responsable : comprendre avant d'agir.

Le test à faire cette semaine, pas dans un mois

Pas besoin d'un audit complet pour commencer. Quatre vérifications suffisent pour savoir où vous en êtes réellement, avant que d'autres urgences n'écrasent le sujet.

1. Demander à chaque manager de lister, de mémoire, les outils IA que son équipe a utilisés ces dernières semaines. Compare cette liste à celle des outils que tu penses avoir autorisés. L'écart entre les deux, c'est ton Shadow IA réel, pas une estimation.

2. Vérifier qui, dans l'entreprise, sait aujourd'hui expliquer la différence entre ce qui est reporté à décembre 2027 et ce qui est dû depuis le 2 août 2026. Si la réponse est personne, la formation proportionnée exigée par l'article 4 n'est pas encore en place, et c'est ce point précis qui est sanctionnable dès maintenant.

3. Reposer, une fois, la question de la sobriété : sur les outils utilisés récemment, combien résolvent un vrai problème, et combien ont simplement rempli un vide entre deux tâches. La réponse ne demande pas un tableau de bord. Elle demande une conversation honnête avec les équipes concernées.

4. Enfin, regarder qui, dans l'entreprise, porterait la décision si un candidat contestait demain une présélection assistée par IA. S'il n'y a pas de nom précis en face de cette question, ce n'est pas un problème de conformité abstraite. C'est un problème de gouvernance très concret, qui se règle en une réunion, pas en un audit externe.

   
   

Foire aux questions

Qu'est-ce que le Shadow IA en RH ? C'est l'usage d'outils d'intelligence artificielle par des collaborateurs, en dehors de tout cadre validé par l'entreprise. En RH, cela concerne typiquement le tri de CV, la rédaction de fiches de poste ou de comptes rendus d'entretien avec des outils grand public, sans traçabilité ni validation collective.

Le report de l'AI Act à 2027 concerne-t-il le recrutement ? Oui, en partie. Les obligations renforcées de l'annexe III (documentation, gestion des risques, supervision humaine) pour les systèmes à haut risque autonomes utilisés en recrutement sont reportées au 2 décembre 2027. Mais l'obligation de transparence de l'article 50 et la littératie IA de l'article 4 restent dues, elles, dès aujourd'hui.

Quelles obligations AI Act restent dues au 2 août 2026 ? La transparence envers les candidats et salariés (article 50), les pratiques interdites (article 5), et la cartographie des usages avec formation proportionnée du personnel (article 4, en vigueur depuis février 2025 mais désormais sanctionnable par les autorités nationales).

Que dit l'article 4 sur la formation IA en entreprise ? Il impose à toute entreprise utilisant l'IA de cartographier ses usages et de former son personnel de façon proportionnée à son exposition à l'outil, sans seuil d'effectif minimal. Cette obligation est en vigueur depuis le 2 février 2025 et n'a jamais été reportée.

Sobriété numérique et usage de l'IA en RH sont-elles compatibles ? Oui, à condition de traiter la sobriété comme un critère de décision avant l'usage, pas comme une contrainte après coup. Un outil IA qui résout un problème réel identifié en amont s'inscrit dans une démarche sobre ; un outil ajouté par réflexe ou par pression du moment, non.

Pour recevoir ce type de décryptage chaque semaine sans engagement, la newsletter reste l'entrée la plus simple : c'est par ici