Quels logiciels RH sont conformes à l'AI Act, et comment auditer les vôtres ?

Le marché n'aide pas à y voir clair. Entre les SIRH généralistes qui glissent un assistant dans chaque module, de Lucca à Eurécia en passant par Kelio, Factorial ou Personio, les suites mondiales qui annoncent des agents autonomes et les spécialistes du recrutement, tout le monde promet une IA « de confiance » sans toujours dire ce qu'elle décide à la place d'un humain. La sélection ci-dessous ne retient que des solutions dont les preuves sont publiques et vérifiables.

Ce que l'AI Act impose vraiment à vos outils RH

Le règlement (UE) 2024/1689 ne classe pas des logiciels, il classe des usages. Son annexe III, point 4, vise deux familles côté emploi. D'abord le recrutement : diffusion d'annonces ciblées, filtrage et analyse des candidatures, évaluation des candidats. Ensuite la relation de travail : décisions de promotion ou de rupture, attribution des tâches selon le comportement ou des caractéristiques personnelles, suivi et évaluation des performances et du comportement. Un même SIRH peut donc héberger un usage à haut risque, un usage soumis à simple transparence et un usage hors champ.

Le calendrier réel, après l'omnibus numérique

C'est le point que la plupart des articles n'ont pas intégré. Ces obligations devaient s'appliquer le 2 août 2026. Le règlement (UE) 2026/1744, publié au Journal officiel de l'Union européenne le 24 juillet 2026, les a repoussées au 2 décembre 2027, et au 2 août 2028 pour les systèmes intégrés à des produits. Rien n'a bougé en revanche sur les pratiques interdites, applicables depuis le 2 février 2025 : les lignes directrices de la Commission rangent l'inférence d'émotions à partir de données biométriques pendant un entretien parmi les usages interdits, et précisent que le « lieu de travail » couvre aussi les candidats pendant la sélection.

Le risque immédiat n'est pas l'AI Act

Un report n'est pas une dispense, et surtout il ne suspend ni le RGPD ni le droit du travail. L'article 22 du RGPD encadre déjà les décisions automatisées : une autorité néerlandaise a infligé 824,99 millions d'euros à Uber pour des déconnexions de chauffeurs décidées par algorithme, décision relayée par la CNIL en août 2026. La CNIL a d'ailleurs inscrit le recrutement parmi ses trois priorités de contrôle pour 2026, avec trois angles : décisions automatisées, information des candidats et durées de conservation. Côté social, l'introduction d'un outil d'IA dans les processus RH relève de la consultation du CSE sur les nouvelles technologies, et plusieurs ordonnances de référé ont suspendu des déploiements menés sans elle, dont celle du tribunal judiciaire de Nanterre du 14 février 2025 contre un projet présenté comme une simple « phase pilote ».

Ce que l'éditeur porte, ce que vous portez

L'éditeur est le fournisseur : gestion des risques, gouvernance des données, documentation technique, journalisation, notice d'utilisation, évaluation de la conformité, marquage CE et enregistrement dans la base européenne. Vous êtes déployeur : usage conforme à la notice, supervision humaine confiée à des personnes compétentes, surveillance du fonctionnement, journaux conservés au moins six mois, information des représentants du personnel et des salariés avant la mise en service, information des personnes qui font l'objet d'une décision. Trois situations vous font basculer dans le rôle de fournisseur, avec toutes ses obligations : apposer votre marque sur le système, le modifier substantiellement, ou l'utiliser pour une finalité différente de celle prévue. Un assistant conversationnel généraliste détourné en outil de tri de CV entre exactement dans ce cas.

Les 8 logiciels RH face à l'AI Act en 2026

Le tableau résume ce que chaque éditeur publie réellement, relevé chez chacun d'eux en septembre 2026. « Sur devis » signifie qu'aucun prix public n'est documenté.

1. Zola, l'IA d'assistance hébergée en France

Zola est une plateforme française de gestion des talents conçue pour les ETI et les grandes entreprises : entretiens annuels et professionnels, compétences et GPEC, formation, people review. L'IA y sert à préparer et à relire, pas à décider : analyse et priorisation des entretiens, repérage de signaux faibles, génération de fiches de poste et de référentiels, avec un modèle développé en partenariat avec Mistral et 100 % des données hébergées en France. L'éditeur est certifié ISO 27001:2022 et revendique plus de 300 DRH clients, dont BDO France, KFC ProNoïa et le Crédit Agricole. Point à traiter en interne plutôt qu'à ignorer : dès qu'une analyse d'entretiens sert à évaluer la performance ou le comportement, elle entre dans le champ du point 4 de l'annexe III, et c'est la trace de la décision humaine qu'il faudra montrer.

• Pour qui : ETI et grandes entreprises (500 salariés et plus) qui veulent de l'IA sur les entretiens et les compétences sans ouvrir le chantier du tri de candidatures.
• Point fort : hébergement des données en France, modèle Mistral, ISO 27001:2022 et un périmètre fonctionnel qui exclut la sélection de candidats, le coeur du haut risque.
• Limite : pas de module de recrutement, donc si votre exposition vient du tri de CV, c'est votre outil de gestion des candidatures qu'il faut auditer en premier.
• Tarif : sur devis, démonstration gratuite.

Notre verdict : 9,5/10. Pour une direction des ressources humaines française qui veut de l'IA utile sans se placer au centre de l'annexe III, la combinaison hébergement en France, modèle européen et décision humaine documentée est la plus simple à défendre devant un CSE. Transparence : ce comparatif est édité par Zola, qui se classe ici en tête sur les critères détaillés plus haut, à vérifier en démonstration.

2. SAP SuccessFactors, la documentation la plus explicite

La suite RH de l'éditeur allemand équipe des organisations multi-pays, du core RH à la paie. C'est aussi la seule du panel à écrire noir sur blanc où se situe son exposition : son document de gouvernance des agents Joule, publié le 17 juin 2026, indique que le tri et le classement de candidatures, l'évaluation de la performance et l'attribution des tâches relèvent du point 4 de l'annexe III, et que les classifications à haut risque confirmées se concentrent dans SuccessFactors. S'y ajoutent une FAQ AI Act publique depuis décembre 2025, une certification ISO/IEC 42001 délivrée par MSECB dont le périmètre cite explicitement SuccessFactors, l'adhésion au pacte européen sur l'IA, et trois niveaux de supervision humaine avec une alternative sans IA pour chaque tâche.

• Pour qui : grands groupes et ETI internationales qui ont besoin d'un dossier de conformité prêt à présenter à un auditeur.
• Point fort : la cartographie publique des usages à haut risque, rare sur ce marché, et l'ISO/IEC 42001 dont le périmètre nomme le produit RH.
• Limite : aucun centre de données en France (Allemagne, Irlande, Pays-Bas, Suisse), et la documentation détaillée s'obtient via l'équipe commerciale, pas en libre accès.
• Tarif : sur devis.

3. Workday, la certification la plus large et un procès en cours

Workday couvre le capital humain, le recrutement et la gestion des talents des grandes organisations. Son certificat ISO/IEC 42001, délivré par Schellman en octobre 2025 et valable jusqu'en avril 2028, couvre le HCM, la gestion des talents et HiredScore, l'outil qui note les candidatures de A à D. L'éditeur a rejoint le pacte européen sur l'IA, publie une page qui distingue ses rôles de fournisseur et de déployeur, et a fait attester son programme de gouvernance au regard du cadre NIST, attestation qui ne portait pas sur les tests techniques des modèles. À l'inverse de la plupart de ses concurrents, il fournit aussi des agents de performance et de mobilité qui entrent directement dans le périmètre de l'annexe III.

• Pour qui : grands comptes qui veulent une suite unique du recrutement à la performance, avec une gouvernance de l'IA certifiée.
• Point fort : le périmètre de certification, le plus large du panel, inclut l'outil de notation des candidatures.
• Limite : l'action collective Mobley v. Workday, engagée en Californie sur une présélection soupçonnée de discrimination par l'âge, est toujours en cours ; l'audit de biais publié début 2026 par un client portait sur le genre et l'origine, pas sur l'âge.
• Tarif : sur devis.

4. Cornerstone, certifié mais documentation datée

Spécialiste historique de la formation et de la gestion des compétences, Cornerstone a obtenu en décembre 2025 une certification ISO/IEC 42001 délivrée par BARR, explicitement au titre de son rôle de fournisseur d'IA, valable jusqu'en décembre 2028. Ses fonctions récentes vont chercher plus loin : Skills Architect déduit les compétences d'un salarié à partir de ses données, les agents de préparation accompagnent la mobilité et les entretiens de performance. C'est précisément le type d'usage que l'annexe III surveille. La communication, elle, n'a pas suivi : la seule page consacrée à l'AI Act date d'avril 2024 et avance que des modèles seraient vérifiés « exempts de biais » et conformes aux exigences du règlement, ce qu'aucun label existant ne permet d'attester.

• Pour qui : organisations qui pilotent formation et compétences à grande échelle et veulent une certification de gouvernance de l'IA.
• Point fort : une ISO/IEC 42001 obtenue en tant que fournisseur d'IA, avec des dates vérifiables.
• Limite : documentation AI Act obsolète et promesse d'absence de biais invérifiable ; la localisation des données dans l'Union ne se vérifie pas publiquement, le centre de confiance étant accessible sur demande.
• Tarif : sur devis.

5. Teamtailor, le seul à assumer par écrit son rôle de fournisseur

Cet outil de gestion des candidatures venu de Suède est le seul du panel à publier une page dédiée à l'AI Act, mise à jour le 18 août 2026. L'éditeur s'y déclare fournisseur, reconnaît que certaines de ses fonctions relèveront du haut risque, retient la date de décembre 2027 et s'engage sur la documentation, la gestion des risques et l'enregistrement dans la base européenne. Côté produit, le filtrage des candidatures affiche un verdict par critère et le recruteur peut le corriger, ce qui est la bonne pratique. Un point mérite un garde-fou explicite : le déclencheur qui déplace automatiquement un candidat d'une étape à l'autre selon l'évaluation de l'IA se rapproche d'une décision sans intervention humaine.

• Pour qui : entreprises qui recrutent en volume et veulent un éditeur qui documente sa position réglementaire.
• Point fort : la transparence sur le rôle de fournisseur et sur les fonctions concernées, avec ISO 27001, ISO 27701 et SOC 2 de type 2.
• Limite : pas d'ISO/IEC 42001, et l'hébergement se choisit entre l'Irlande et les États-Unis, un point à verrouiller au contrat.
• Tarif : sur devis.

6. Cegid HR, l'éditeur français signataire du pacte sur l'IA

Cegid, qui revendique 11 millions d'utilisateurs, est le seul éditeur français du panel à avoir signé le pacte volontaire sur l'IA porté par la Commission européenne. Sa gamme RH couvre la paie, la gestion administrative et les talents, avec un positionnement ETI et grandes entreprises assumé. En juin 2026, l'éditeur a annoncé trois agents bâtis sur les modèles de Mistral pour le recrutement : rédaction d'offres, tri de CV avec critères pondérables et préqualification des candidats. Ces agents n'étaient pas encore disponibles pour tous à la mi-septembre 2026, et le tri pondéré, lui, tombera clairement dans l'annexe III le jour où il sera activé.

• Pour qui : ETI françaises qui veulent un éditeur national couvrant paie et talents dans le même contrat.
• Point fort : la signature du pacte sur l'IA et le choix de modèles européens pour les agents annoncés.
• Limite : ni ISO/IEC 42001, ni page AI Act, ni fiche de transparence publique ; l'argument de souveraineté reste déclaratif, à documenter en phase d'achat.
• Tarif : sur devis.

7. HireVue, les seuls audits de biais publiés

HireVue fait passer des entretiens vidéo et des évaluations structurées, l'usage le plus exposé de ce comparatif. L'éditeur se déclare fournisseur dans sa déclaration d'explicabilité entrée en vigueur le 21 juillet 2026 et reste le seul du panel à publier des audits de biais réalisés par des tiers, dont celui exigé par la loi 144 de la ville de New York. Autre pratique rare : un candidat peut refuser l'évaluation par IA et obtenir une notation humaine sur les mêmes grilles. Attention à la lecture des allégations : l'alignement sur l'ISO/IEC 42001 est revendiqué, pas certifié.

• Pour qui : recrutements à fort volume où l'évaluation doit être standardisée et documentée.
• Point fort : audits de biais publiés et possibilité de sortir du parcours IA sur demande du candidat.
• Limite : un règlement de 3,75 millions de dollars aux États-Unis dans un litige sur la biométrie, avec une audience finale fin octobre 2026 ; et depuis février 2025, toute détection d'émotions par analyse biométrique pendant un entretien est interdite dans l'Union.
• Tarif : sur devis.

8. Oracle Fusion Cloud HCM, la grille tarifaire publique

La suite HCM d'Oracle propose des suggestions de meilleurs candidats, un score de candidature, un coach de carrière et des résumés de performance : les deux jambes de l'annexe III. C'est aussi le seul éditeur du panel à publier ses prix, dans une liste tarifaire mondiale datée du 10 septembre 2026. En matière de conformité, le contraste est net : aucune documentation AI Act publique, et des conditions d'utilisation de l'IA qui se disent alignées sur le règlement, l'ISO/IEC 42001 et le cadre NIST tout en confiant au client la responsabilité de vérifier les résultats, fournis en l'état.

• Pour qui : organisations déjà équipées en technologies Oracle qui veulent un budget connu à l'avance.
• Point fort : la transparence tarifaire, avec 15 dollars par salarié et par mois pour la base HCM et 150 dollars par utilisateur nommé pour les agents IA.
• Limite : rien de public sur l'AI Act, pas de signature du pacte sur l'IA, et une réserve sur la localisation des traitements des modèles, qui peuvent sortir de la région choisie.
• Tarif : grille publique, socle HCM, recrutement, gestion des talents et agents IA facturés séparément.

Auditer vos outils RH en 5 étapes

Un audit AI Act ne commence pas par la liste de vos licences, mais par la liste de ce que l'IA fait à la place d'un humain. Voici la séquence, avec le livrable attendu à chaque étape.

1. Inventorier les usages, pas les logiciels

Listez chaque fonction d'IA réellement activée : tri et classement de candidatures, matching sur les offres, génération de comptes rendus d'entretien, détection d'écarts de rémunération, suggestion de formations, chatbot de réponse aux salariés. Le piège se trouve ailleurs que dans le SIRH : selon l'Apec, 8 % des entreprises utilisent l'IA pour recruter des cadres en 2026, mais 74 % de celles qui le font passent par un assistant généraliste comme ChatGPT ou Mistral, contre 36 % par leur outil de recrutement. Un manager qui colle une trame d'entretien dans un assistant grand public crée le même risque qu'un module de scoring, sans contrat ni journal. Le livrable est un tableau usage par usage, avec l'outil, la finalité, la donnée d'entrée et le décideur. Beaucoup d'entreprises y ajoutent une charte d'usage de l'IA présentée au CSE, qui nomme un responsable et fixe la règle pour les outils installés hors du SIRH.

2. Classer chaque usage, pas chaque éditeur

Pour chaque ligne, tranchez : pratique interdite, haut risque au titre de l'annexe III, obligation de transparence ou hors champ. L'article 6 du règlement prévoit une dérogation quand le système se contente d'une tâche procédurale étroite, améliore le résultat d'une activité humaine déjà achevée, détecte des écarts par rapport à une décision antérieure ou prépare une évaluation. La limite est explicite : dès qu'il y a profilage de personnes, le système reste à haut risque. Le projet de lignes directrices de la Commission, publié en mai 2026 et attendu en version finale d'ici la fin de l'année, donne des exemples utiles : le matching et le scoring de candidatures restent à haut risque même lorsqu'un recruteur valide derrière, alors que la planification d'entretiens ou le classement bureautique de CV n'y entrent pas.

3. Déterminer votre rôle, éditeur par éditeur

Vous êtes déployeur par défaut, et fournisseur dans trois cas : marque apposée, modification substantielle, ou usage détourné vers une autre finalité. Cette étape se conclut par une ligne de plus dans votre registre : pour chaque outil, qui est fournisseur, qui est déployeur, et ce que dit le contrat en cas de contrôle. C'est aussi le moment de vérifier si l'outil était déjà sur le marché avant l'échéance, puisque les systèmes existants bénéficient d'une antériorité tant que leur conception n'est pas substantiellement modifiée.

4. Demander à l'éditeur les preuves qui existent vraiment

Il n'y a pas de certificat AI Act à réclamer : pour les usages RH, la conformité passe par une évaluation interne du fournisseur, une déclaration de conformité, un marquage CE et un enregistrement dans la base européenne. Six preuves, en revanche, se demandent dès l'appel d'offres : la notice d'utilisation (finalité, limites, performances, modalités de supervision), la documentation technique et la description des données d'entraînement, les tests de biais et leurs résultats, la nature et la durée de conservation des journaux, la localisation des données et la liste des sous-traitants, enfin le calendrier de mise en conformité avec l'échéance de décembre 2027. Une certification ISO/IEC 42001 est un signal de gouvernance, pas une présomption de conformité : au 14 septembre 2026, aucune norme harmonisée n'était encore citée au Journal officiel de l'Union.

5. Tenir vos obligations d'employeur

Ce sont elles qui vous exposent en premier, et aucun éditeur ne les portera à votre place : usage conforme à la notice, supervision confiée à des personnes formées, surveillance du fonctionnement, journaux conservés au moins six mois, information des représentants du personnel et des salariés concernés avant la mise en service, information des personnes qui font l'objet d'une décision. Ajoutez-y le volet juridique français : consultation du CSE, analyse d'impact sur la protection des données quand le traitement le justifie, mise à jour du registre des traitements et des durées de conservation des données RH. Pour le reste des usages, la cartographie des usages de l'IA en RH aide à distinguer ce qui relève de l'assistance et ce qui touche à la décision.

Comment choisir un logiciel RH quand l'IA entre dans la boucle

Face à une réglementation qui bouge encore, le bon critère n'est pas la quantité d'IA annoncée, mais la clarté de ce qu'elle fait et la facilité à prouver que l'humain décide. Quatre profils reviennent dans les projets d'équipement.

• Votre exposition vient du recrutement : auditez d'abord l'outil de gestion des candidatures, pas la plateforme d'entretiens. Le tri, le matching et le scoring sont le coeur de l'annexe III.
• Vous équipez la gestion des talents : vérifiez que l'IA reste sur l'assistance à la rédaction et à la synthèse, et qu'aucune note automatique n'alimente seule une décision de carrière.
• Vous êtes un groupe multi-pays : demandez la localisation des traitements pays par pays et le calendrier de conformité de l'éditeur avant de signer un contrat cadre.
• Vous répondez à des marchés publics : anticipez les exigences de documentation, où la preuve écrite prime sur la démonstration commerciale.

Les critères d'évaluation habituels restent valables : prise en main, interface, qualité du support, tableaux de bord, période d'essai, mise en place et intégrations avec la paie et le SIRH existant, sujets que détaille notre méthode pour choisir un logiciel RH. Ajoutez-y trois questions propres à l'IA : peut-on la désactiver fonction par fonction, qui voit les résultats, et que reste-t-il dans les journaux le jour où un salarié conteste une décision. Si le panorama des suites vous intéresse au-delà de l'IA, notre comparatif des logiciels SIRH couvre les briques classiques.

FAQ

L'AI Act s'applique-t-il depuis le 2 août 2026 ?

En partie. Les interdictions s'appliquent depuis le 2 février 2025 et le régime de sanctions depuis le 2 août 2025. Depuis le 2 août 2026 s'ajoutent les obligations de transparence de l'article 50, la surveillance du marché et les pouvoirs des autorités nationales. Mais les obligations propres aux systèmes à haut risque de l'annexe III, celles qui visent le recrutement et l'évaluation des salariés, ont été reportées au 2 décembre 2027.

Le tri de CV par intelligence artificielle est-il interdit ?

Non, il est encadré. Le tri, le classement et l'évaluation de candidatures sont des usages à haut risque : documentation, supervision humaine, information des candidats, journaux. Ce qui est interdit sur le lieu de travail, candidats compris, c'est la reconnaissance des émotions fondée sur des données biométriques, sauf raisons médicales ou de sécurité, ainsi que la catégorisation biométrique sur des critères sensibles.

Qui contrôle l'usage de l'IA en ressources humaines en France ?

Le schéma publié par le gouvernement en septembre 2025 confie à la CNIL la surveillance des systèmes d'IA du domaine de l'emploi et de l'interdiction de la reconnaissance des émotions au travail, la DGCCRF assurant la coordination. Le texte qui installe ce dispositif dans le droit français n'était pas encore adopté à la mi-septembre 2026, mais la CNIL contrôle déjà le recrutement au titre du RGPD.

Quelles sanctions risque un employeur qui utilise une IA RH non conforme ?

Les amendes les plus lourdes, jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial, visent les pratiques interdites. Le manquement aux obligations liées aux systèmes à haut risque, y compris celles du déployeur, plafonne à 15 millions d'euros ou 3 %, avec le montant le plus faible pour les PME, et à partir de décembre 2027. Le risque financier immédiat reste celui du RGPD, jusqu'à 4 % du chiffre d'affaires mondial.

Faut-il former les équipes RH à l'intelligence artificielle ?

Oui, et c'est déjà le cas depuis février 2025. Le règlement impose aux employeurs qui utilisent des systèmes d'IA d'assurer un niveau suffisant de maîtrise de l'IA aux personnes qui s'en servent, sans seuil d'effectif. La version révisée du texte en fait une obligation de moyens, sans niveau garanti à atteindre : une sensibilisation tracée, adaptée aux usages réels, suffit à démontrer l'effort.

Pour aller plus loin

• Les assistants IA pour la gestion RH
• IA et RH : 10 chiffres clés
• Piloter la GEPP avec l'IA
• RGPD et RH : le guide des obligations
• Construire un référentiel de compétences