EU AI Act: Nouvelles obligations liées à l’utilisation de l’IA dans les RH
Contenu
- Comment les entreprises suisses doivent-elles se préparer à l'EU AI Act pour leurs ressources humaines ?
- L’EU AI Act et son applicabilité aux entreprises suisses
- Impact de l’EU AI Act sur les RH
- Le risque comme critère déterminant des exigences de conformité
- Les compétences en matière d’IA deviennent une obligation
- Check-list: comment les entreprises suisses peuvent-elles vérifier le champ d’application?
- La plupart des obligations s’appliqueront à partir du 2 décembre 2027 au lieu du 2 août 2026: davantage de temps, mais il faut agir dès maintenant
- FAQ: EU AI Act
EN BREF
Depuis août 2024, l'EU AI Act impose un cadre réglementaire strict pour l'intelligence artificielle, classant de nombreuses applications RH comme des systèmes à haut risque. Bien que l'entrée en vigueur des dispositions principales soit repoussée au 2 décembre 2027, les entreprises suisses opérant sur le marché de l'UE ou ciblant des candidats européens doivent dès à présent évaluer leur conformité pour éviter des sanctions pouvant atteindre 7 % du chiffre d'affaires mondial.
À retenir:
- L'EU AI Act s'applique aux entreprises suisses via le principe des effets extraterritoriaux, notamment si des personnes dans l'UE sont concernées.
- Les outils de recrutement, de sélection et d'évaluation des performances sont considérés comme des systèmes à haut risque.
- Le scoring social et la reconnaissance des émotions lors d'entretiens sont strictement interdits.
- Une maîtrise de l'IA par le personnel et un contrôle humain effectif sont des obligations légales impératives.
- La date de mise en application est reportée au 2 décembre 2027, mais la préparation doit commencer immédiatement.
Marco S. Meier
Marco S. Meier, avocat, MLaw, CIPP/E, informaticien CFC, est partenaire chez Binder Rechtsanwälte KLG. Il conseille et représente des clients nationaux et internationaux dans tous les domaines du droit de l'informatique, de la technologie, de la protection des données, de la cybersécurité et de la propriété intellectuelle, ainsi que dans les questions de conformité d’ordre technologique, comme par exemple l'utilisation ou le développement de l'intelligence artificielle (IA). De plus, il est expert en questions de logiciels et de licences ainsi qu'en projets technologiques et d'externalisation dans divers secteurs. Le règlement des litiges dans le domaine des TIC ainsi que le conseil en matière d'activités de marketing digital et de transactions IT/IP M&A constituent d'autres points forts de son activité.
Aides de travail appropriées
Comment les entreprises suisses doivent-elles se préparer à l'EU AI Act pour leurs ressources humaines ?
L’EU AI Act et son applicabilité aux entreprises suisses
Le règlement européen sur l’intelligence artificielle («EU AI Act») instaure pour la première fois un cadre réglementaire contraignant pour l’utilisation de l’IA et adopte une approche fondée sur les risques. Il classe ainsi les systèmes intégrant de l’IA dans différentes catégories de risques. Les obligations et exigences applicables varient en fonction de l’impact potentiel du système d’IA sur la sécurité, les droits fondamentaux et la société.
Avec l’entrée en vigueur de l’EU AI Act le 1er août 2024, le premier cadre juridique complet au monde consacré à l’IA a vu le jour. À la suite de l’«AI Omnibus», la plupart des dispositions de l’EU AI Act ne devraient désormais s’appliquer qu’à partir du 2 décembre 2027, au lieu du 2 août 2026 comme initialement prévu.
De nombreuses entreprises suisses se demandent actuellement si l’EU AI Act les concerne. Celui-ci ne s’applique en effet pas uniquement aux entreprises établies dans l’UE. Il peut également concerner des acteurs situés hors de l’UE, notamment des entreprises suisses, lorsqu’ils mettent sur le marché, fournissent ou exploitent un système d’IA dans l’UE ou lorsque des personnes se trouvant dans l’UE sont concernées par l’utilisation d’un tel système. Ce principe dit des effets confère aux dispositions une portée extraterritoriale, à l’instar du RGPD.
Concrètement, pour les entreprises suisses, l’EU AI Act s’applique notamment lorsqu’une entreprise est fournisseur d’un système d’IA mis sur le marché ou mis en service dans l’UE, ou lorsqu’elle est considérée comme déployeur d’un système d’IA dont les résultats sont utilisés dans l’UE (voir les définitions ci-dessous).
Même lorsque l’EU AI Act ne s’applique pas directement à une entreprise suisse, il peut avoir des effets indirects, par exemple lorsque des partenaires contractuels établis dans l’UE exigent contractuellement son respect. Il est également important de déterminer le rôle de l’entreprise au sens de l’EU AI Act . Est considéré comme fournisseur celui qui développe ou fait développer un système d’IA et le met pour la première fois à disposition sur le marché de l’UE sous son propre nom ou sa propre marque. Est considéré comme déployeur celui qui utilise un système d’IA sous sa propre autorité. Les obligations prévues par l’EU AI Act dépendent étroitement de ce rôle. Dans le domaine des RH, une entreprise qui utilise un outil de recrutement existant intégrant de l’IA et fourni par un tiers afin de recruter des personnes dans l’UE constitue un exemple typique.
Impact de l’EU AI Act sur les RH
L’IA est utilisée dans de nombreux services des ressources humaines et ses applications sont multiples. Les systèmes d’IA utilisés pour le recrutement ou la sélection des candidats – par exemple pour examiner ou filtrer des candidatures, évaluer des candidats ou leur envoyer des refus – ainsi que ceux utilisés pour évaluer les performances des collaborateurs, notamment en vue d’une promotion, sont considérés comme des systèmes d’IA à haut risque au sens de l’annexe III de l’EU AI Act . Le recrutement, l’embauche et la gestion du personnel relèvent donc du segment à haut risque.
Pour les entreprises qui utilisent des outils d’IA dans les RH, cela signifie qu’elles sont, dans la plupart des cas, confrontées aux exigences réglementaires les plus strictes de l’EU AI Act .
Le risque comme critère déterminant des exigences de conformité
L’EU AI Act distingue quatre catégories de risques:
Systèmes d’IA interdits
Les systèmes d’IA considérés comme une menace manifeste pour la sécurité, les moyens de subsistance et les droits des personnes sont interdits par l’EU AI Act . Dans le contexte RH, les pratiques interdites suivantes sont particulièrement pertinentes:
- le scoring social ou l’évaluation sociale;
- la reconnaissance des émotions, une application souvent évoquée dans le domaine des RH, par exemple lors d’entretiens d’embauche ou pour la surveillance des collaborateurs.
Pas d’interdiction générale des systèmes d’IA à haut risque
L’utilisation de l’IA dans les RH n’est en principe pas interdite par l’EU AI Act , mais elle doit respecter les exigences réglementaires. Restent notamment autorisés:
| Catégorie de risque | Conséquences | Exemples |
|---|---|---|
| Systèmes d'IA interdits | Ces systèmes d’IA sont répertoriés dans l’EU AI Act et leur utilisation est interdite. | Scoring social, reconnaissance des émotions |
| Systèmes d’IA à haut risque | Les fournisseurs, déployeurs et autres acteurs concernés doivent respecter des obligations strictes. | Systèmes d’IA dans le domaine des RH |
| Risque limité ou risque en matière de transparence | L’AI Act européen prévoit des obligations spécifiques de transparence pour ces systèmes. | Utilisation de chatbots |
| Risque minimal | Aucune obligation particulière ne s’applique au titre de l’AI Act européen. | Filtres antispam |
- l’utilisation de l’IA pour assister la présélection des candidatures, à condition que la décision finale reste du ressort d’un humain et que toutes les exigences de l’EU AI Act soient respectées;
- les systèmes d’assistance basés sur l’IA dans les RH qui effectuent des tâches préparatoires sans prendre directement de décisions concernant des personnes;
- les outils d’IA destinés à la génération de textes, par exemple d’offres d’emploi, à condition qu’aucune donnée personnelle ne soit traitée et que les obligations de transparence soient respectées.
Recommandations de produits
Exemple pratique d’un système d’IA à haut risque: logiciel de recrutement basé sur l’IA
Un logiciel de recrutement basé sur l’IA qui analyse et évalue les CV reçus et, le cas échéant, envoie automatiquement des refus constitue un exemple classique de système d’IA à haut risque au sens de l’EU AI Act . Si une entreprise suisse utilise un tel logiciel et s’adresse ainsi à des candidats dans l’UE, les exigences étendues applicables aux systèmes à haut risque prévues par l’EU AI Act s’appliquent. Il en va de même lorsque l’entreprise exploite un système existant sous son propre nom ou sa propre marque, par exemple sous la forme d’une solution en marque blanche. Dans ce cas, elle est considérée juridiquement comme fournisseur au sens de l’EU AI Act et est soumise aux obligations de conformité correspondantes.
Exigences applicables aux systèmes d’IA à haut risque
L’EU AI Act définit notamment les exigences suivantes pour les systèmes d’IA à haut risque:
- qualité élevée des données: les données d’entraînement, de validation et de test doivent être pertinentes, représentatives et présenter le moins d’erreurs possible;
- obligations de documentation et d’enregistrement: documentation technique et journalisation automatique;
- transparence à l’égard des utilisateurs: utilisation appropriée du système et informations sur ses principales caractéristiques;
- contrôle humain: mécanismes permettant de détecter et d’empêcher les dysfonctionnements;
- exigences en matière d’exactitude, de robustesse et de cybersécurité.
Pour les systèmes à haut risque, l’EU AI Act exige en outre notamment la mise en place d’un système de gestion de la qualité, une évaluation de conformité, un enregistrement dans une base de données à l’échelle de l’UE et, le cas échéant, la désignation d’un représentant dans l’UE.
En cas d’infraction, des amendes considérables peuvent être prononcées: jusqu’à 35 millions d’euros ou 7% du chiffre d’affaires annuel mondial en cas de violation des interdictions ou de non-respect des exigences relatives aux données, ainsi que jusqu’à 15 millions d’euros ou 3% du chiffre d’affaires annuel mondial en cas de violation d’autres exigences ou obligations.
Les compétences en matière d’IA deviennent une obligation
Une exigence de l’EU AI Act souvent négligée dans la pratique concerne ce que l’on appelle la «maîtrise de l’IA». Les fournisseurs et déployeurs de systèmes d’IA doivent veiller à ce que leur personnel ainsi que toutes les autres personnes chargées, pour leur compte, de l’exploitation et de l’utilisation de systèmes d’IA disposent d’un niveau suffisant de maîtrise de l’IA.
Toute entreprise qui utilise des outils basés sur l’IA pour le recrutement ou la gestion des performances doit donc s’assurer que les collaborateurs qui travaillent avec ces systèmes en comprennent le fonctionnement, les limites et les risques. Ils doivent être en mesure d’évaluer de manière critique les résultats produits par le système d’IA, d’identifier les dysfonctionnements et d’exercer efficacement le contrôle humain.
Check-list: comment les entreprises suisses peuvent-elles vérifier le champ d’application?
La check-list suivante aide les responsables RH et les décideurs à déterminer de manière structurée si, et dans quelle mesure, l’EU AI Act s’applique à leurs outils d’IA.
Étape 1: établir un inventaire des systèmes d’IA
Recensez les solutions d’IA utilisées ou développées dans l’entreprise. Parmi les applications RH typiques figurent les plateformes de recrutement avec sélection automatisée des candidats, les outils de gestion des performances, les chatbots RH ou encore les outils d’analyse de la satisfaction des collaborateurs.
Étape 2: vérifier l’applicabilité de l’EU AI Act
Analysez si vous entrez dans le champ d’application matériel, personnel et territorial de l’EU AI Act . Posez-vous notamment les questions suivantes: utilisons-nous un outil de recrutement basé sur l’IA pour recruter des collaborateurs dans l’UE? Les résultats produits par l’IA sont-ils utilisés dans l’UE? Des clients ou des collaborateurs situés dans l’UE utilisent-ils le système d’IA?
Étape 3: procéder à la classification des risques
Classez vos systèmes d’IA dans l’une des catégories de risques suivantes: systèmes interdits, systèmes à haut risque, risque limité soumis à des obligations de transparence et risque minimal. Dans le domaine des RH, les systèmes utilisés pour le recrutement, l’évaluation et la gestion du personnel sont généralement considérés comme des systèmes à haut risque.
Checklist pratique
- Établir un inventaire complet de tous les systèmes d'IA utilisés dans les RH (recrutement, performance, chatbots).
- Déterminer si l'entreprise agit en tant que fournisseur ou déployeur selon les définitions de l'EU AI Act.
- Classer chaque système d'IA dans la catégorie de risque appropriée (interdit, haut risque, limité ou minimal).
- Vérifier l'absence totale de pratiques interdites comme le scoring social ou la reconnaissance des émotions.
- S'assurer que les données d'entraînement sont pertinentes, représentatives et exemptes d'erreurs.
- Mettre en place des mécanismes de contrôle humain pour valider les décisions critiques.
- Documenter la classification des risques et les mesures de conformité pour garantir la traçabilité.
- Former le personnel concerné à la maîtrise de l'IA, ses limites et ses risques spécifiques.
Étape 4: clarifier votre rôle au sens de l’EU AI Act
Êtes-vous fournisseur, c’est-à-dire utilisez-vous un système d’IA sous votre propre nom, ou déployeur, c’est-à-dire utilisez-vous un système existant fourni par un tiers? Le fournisseur assume la responsabilité principale de la sécurité du développement et de la conformité du système d’IA à haut risque. Le déployeur est quant à lui responsable de son utilisation correcte et responsable au quotidien.
Étape 5: exclure les pratiques interdites
Vérifiez si votre système d’IA relève d’une pratique interdite, par exemple un système destiné à manipuler des personnes ou à effectuer du scoring social. De tels systèmes ne peuvent pas être utilisés sur le marché de l’UE.
Étape 6: effectuer une première évaluation des risques élevés
Les questions suivantes peuvent servir de première analyse: l’outil d’IA est-il entraîné ou développé par notre entreprise? Son utilisation peut-elle nuire à notre réputation? S’agit-il d’un système à haut risque au sens de l’annexe III de l’EU AI Act ? L’outil d’IA prend-il des décisions importantes sans intervention humaine? Traite-t-il des données sensibles? Si la réponse à au moins l’une de ces questions est «oui», une analyse approfondie des risques est indiquée.
Étape 7: mettre en œuvre et documenter les obligations
Analysez les obligations qui en découlent et mettez-les en œuvre. Documentez la classification des risques de vos systèmes d’IA afin de garantir la transparence et la traçabilité.
Étape 8: mettre en place une gouvernance de l’IA
Au-delà de la conformité juridique, la responsabilité éthique joue également un rôle central. L’utilisation de l’IA devrait reposer sur des principes éthiques clairement définis au sein de l’entreprise, notamment en matière de transparence, d’équité et d’utilisation de la technologie centrée sur l’humain.
La plupart des obligations s’appliqueront à partir du 2 décembre 2027 au lieu du 2 août 2026: davantage de temps, mais il faut agir dès maintenant
L’EU AI Act n’est pas un sujet purement académique ou exclusivement européen. Pour les entreprises suisses, s’y préparer constitue souvent une nécessité stratégique. Mettre dès maintenant en place une gouvernance de l’IA légère et fondée sur les risques peut leur procurer un avantage concurrentiel.
Pour les responsables RH, cela signifie concrètement que l’utilisation de l’IA dans le recrutement, l’évaluation des performances et la gestion du personnel relève, dans la plupart des cas, du domaine fortement réglementé par l’EU AI Act . Cela n’exclut toutefois pas l’utilisation de l’IA, mais exige que les systèmes soient utilisés de manière transparente et traçable, sous contrôle humain.
Les entreprises devraient donc vérifier si l’EU AI Act leur est applicable et quelles obligations en découlent. Indépendamment de son applicabilité directe, il est judicieux, à long terme, de mettre dès aujourd’hui en place une gouvernance de l’IA. En posant les bonnes bases maintenant, les entreprises se protègent contre les amendes, renforcent la confiance des collaborateurs et des candidats et se préparent aux ressources humaines de demain.
FAQ: EU AI Act
L'EU AI Act concerne-t-il les entreprises suisses qui n'ont pas de filiale en Europe ?
Oui, si l'entreprise fournit ou utilise un système d'IA dont les résultats sont destinés à des personnes situées dans l'Union européenne, ou si elle cible le marché de l'UE. Le principe des effets confère une portée extraterritoriale similaire au RGPD.
Quels sont les outils RH les plus concernés par l'EU AI Act ?
Les systèmes utilisés pour le recrutement, la sélection des candidats (filtrage de CV, évaluation), l'envoi de refus et l'évaluation des performances pour des promotions sont classés comme systèmes à haut risque et soumis aux obligations les plus strictes.
Quelles sont les conséquences du non-respect de l'EU AI Act ?
Les sanctions peuvent aller jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les violations d'interdictions ou de règles sur les données, et jusqu'à 15 millions d'euros ou 3 % pour d'autres obligations.
L'utilisation de l'IA pour le recrutement est-elle interdite ?
Non, elle n'est pas interdite en principe, mais elle est fortement réglementée. L'IA peut assister la présélection à condition que la décision finale reste humaine et que toutes les exigences de conformité (qualité des données, transparence, contrôle) soient respectées.
