IA recrutement : un seul audit, cinq réglementations

L’essentiel

• L’IA recrutement relève désormais de cinq régimes juridiques distincts : le règlement européen sur l’intelligence artificielle, le droit du travail français, la Local Law 144 de New York, la loi HB 3773 de l’Illinois et la réglementation californienne sur les systèmes de décision automatisée. Chacun retient une définition différente.
• L’échéance européenne a bougé. Les obligations applicables aux systèmes à haut risque de l’annexe III passent du 2 août 2026 au 2 décembre 2027. Les quatre autres régimes, eux, n’ont pas bougé.
• Un audit de biais annuel est une mesure, pas un moyen de défense. Il produit des ratios d’impact, il ne certifie aucune conformité.
• Une recherche indépendante a recensé 18 rapports d’audit publiés sur 391 employeurs examinés à New York. Le taux de conformité observé est proche de zéro, et cet écart constitue lui-même l’exposition.
• La durée de conservation californienne de quatre ans constitue le plancher pratique. Construire la chaîne de preuve une seule fois à ce niveau satisfait l’essentiel des quatre autres régimes.

Ce qu’est un outil de décision automatisée en recrutement

La question paraît simple. Elle ne l’est pas, parce qu’aucun législateur n’a repris la définition d’un autre. Le règlement européen sur l’IA retient le périmètre le plus large. Le point 4 de son annexe III couvre les systèmes utilisés pour diffuser des offres d’emploi ciblées, filtrer les candidatures, évaluer les candidats, décider des conditions d’emploi, de la promotion et de la rupture du contrat, répartir les tâches, et surveiller ou évaluer le comportement et les performances des travailleurs. La diffusion d’annonces et la répartition des tâches entrent donc dans le champ européen alors qu’elles échappent au texte new-yorkais. New York, à l’inverse, a rédigé la première définition contraignante et l’a voulue étroite. Un outil de décision automatisée y est un processus computationnel produisant une sortie simplifiée utilisée pour assister substantiellement ou remplacer une décision discrétionnaire d’embauche ou de promotion. Les textes d’application ont resserré encore : la sortie simplifiée doit primer sur les autres critères ou contredire une conclusion humaine. Ce resserrement a produit ses effets. Il a permis à de nombreux employeurs de considérer que leur outil d’analyse de CV se contentait d’informer un recruteur, et échappait donc à la loi. La Californie a fait le chemin inverse. Sa réglementation, entrée en vigueur le 1er octobre 2025, vise tout processus computationnel qui prend une décision ou facilite une décision humaine relative à un avantage lié à l’emploi. Faciliter est un seuil nettement plus bas qu’assister substantiellement.

Les définitions ne concordent pas, et c’est le premier problème

Un même outil d’analyse de candidatures peut se situer hors champ à New York, dans le champ en Californie et en catégorie haut risque dans l’Union, le même jour. Il n’existe aucun test unique. La qualification doit donc être menée outil par outil, régime par régime, et surtout consignée par écrit : c’est précisément ce raisonnement qu’une autorité de contrôle examinera en premier. Considérer qu’un avis de qualification favorable vaut réponse universelle est l’erreur la plus fréquente.

Les cinq régimes applicables à l’IA recrutement

L’IA recrutement n’est pas encadrée par un texte unique assorti de cinq annexes. Elle l’est par cinq textes rédigés séparément, à des années d’intervalle, par des législateurs répondant à des problèmes différents.

Le règlement européen sur l’IA

L’emploi et la gestion des travailleurs constituent l’un des huit domaines à haut risque de l’annexe III. L’article 6, paragraphe 2, ne laisse aucune marge d’interprétation : « Outre les systèmes d’IA à haut risque visés au paragraphe 1, les systèmes d’IA visés à l’annexe III sont considérés comme étant à haut risque. » Cette qualification emporte l’ensemble des obligations du chapitre III : système de gestion des risques, gouvernance des données, journalisation, documentation technique, contrôle humain et surveillance après commercialisation. Notre guide opérationnel du règlement européen sur l’IA détaille la répartition entre fournisseur et déployeur.

Le droit du travail français

C’est la couche que les analyses anglo-saxonnes omettent systématiquement, et c’est celle qui s’applique aujourd’hui, sans attendre 2027. L’article L.1222-4 du code du travail interdit de collecter des informations sur un salarié par un dispositif qui ne lui a pas été préalablement porté à sa connaissance. Un outil de scoring de candidatures ou d’évaluation de la performance relève directement de cette exigence d’information préalable. Le comité social et économique doit par ailleurs être informé et consulté avant l’introduction de nouvelles technologies ayant des conséquences sur l’emploi, les conditions de travail ou la formation. Un déploiement d’IA recrutement mené sans cette consultation est contestable indépendamment de toute question de biais. La CNIL encadre le volet données personnelles, avec une doctrine constante sur le recrutement : pertinence des données collectées, information des candidats, durée de conservation limitée. Le Défenseur des droits, de son côté, a documenté à plusieurs reprises le risque de discrimination algorithmique à l’embauche et dispose d’un pouvoir d’enquête propre.

New York : la Local Law 144

En vigueur depuis juillet 2023, c’est le texte dont les autres se sont inspirés. Un employeur ne peut utiliser un outil de décision automatisée qu’à trois conditions : un audit de biais indépendant réalisé dans les douze mois, la publication d’un résumé des résultats, et l’information des candidats au moins dix jours ouvrés avant l’utilisation. Les sanctions civiles atteignent 1 500 dollars par manquement, chaque jour d’utilisation constituant un manquement distinct.

Illinois et Californie

La loi HB 3773 de l’Illinois, applicable depuis le 1er janvier 2026, interdit l’usage d’une IA produisant un effet discriminatoire, sans imposer d’audit. Le résultat constitue l’infraction. Elle interdit également le recours au code postal comme variable de substitution d’un critère protégé. En Californie, la réglementation applicable depuis le 1er octobre 2025 vise les employeurs de cinq salariés et plus. Trois éléments comptent : la preuve de tests de biais proactifs est opposable en défense, le comportement du fournisseur peut être imputé à l’employeur, et la durée de conservation des dossiers du personnel passe de deux à quatre ans, journaux de candidatures inclus.

Colorado

La loi coloradienne, telle qu’amendée, produira ses effets en 2027 et retient une logique de devoir de vigilance plutôt que d’audit publié. Nous la traitons dans notre guide dédié au Colorado AI Act.

L’échéance qui a bougé et les quatre qui n’ont pas bougé

Le 2 août 2026 devait être la date d’entrée en application des obligations haut risque de l’annexe III. Ce n’est plus le cas. Dans le cadre du paquet Digital Omnibus, le Parlement européen s’est prononcé le 16 juin 2026 par 423 voix contre 57 et 174 abstentions, et le Conseil a donné son approbation finale le 29 juin 2026. Les systèmes autonomes de l’annexe III, catégorie dont relèvent les outils de recrutement, basculent au 2 décembre 2027, soit un report de seize mois. Les systèmes intégrés à des produits réglementés relevant de l’annexe I basculent au 2 août 2028. Trois éléments n’ont pas bougé. Les pratiques interdites, d’abord. Elles s’appliquent depuis le 2 février 2025, sans période transitoire. La reconnaissance des émotions sur le lieu de travail figure dans cette liste et non dans la catégorie haut risque : un outil qui évalue l’enthousiasme d’un candidat à partir d’un entretien filmé est donc déjà illicite, et non simplement encadré. Le droit national, ensuite. L’article 2, paragraphe 11, du règlement le prévoit expressément : « Le présent règlement n’empêche pas l’Union ou les États membres de maintenir ou d’introduire des dispositions législatives, réglementaires ou administratives plus favorables aux travailleurs quant à la protection de leurs droits en ce qui concerne l’utilisation de systèmes d’IA par les employeurs. » Les obligations françaises d’information préalable et de consultation du CSE continuent donc de produire leurs effets. Les quatre régimes américains, enfin. Un dernier point tempère le soulagement : le report a été accordé en grande partie parce que les normes techniques harmonisées ne sont pas prêtes. Le référentiel sur lequel un employeur sera évalué reste en cours de rédaction. Ces seize mois sont donc consommés par les organismes de normalisation, non offerts aux déployeurs.

Ce que mesure réellement un audit de biais

L’audit exigé par la Local Law 144 est un exercice statistique précis, et en comprendre la forme distingue un audit utile d’un audit coûteux. L’auditeur calcule le taux de sélection pour chaque catégorie de sexe, de race et d’origine ethnique, c’est-à-dire la proportion de candidats retenus dans le groupe. Pour un outil qui note plutôt qu’il ne sélectionne, il calcule la note moyenne par groupe. Il en déduit le ratio d’impact : le taux de sélection d’un groupe rapporté à celui du groupe le mieux sélectionné. Le résultat se lit à l’aune de la règle des quatre cinquièmes. Un ratio d’impact inférieur à 80 % peut signaler un impact défavorable. Il s’agit d’une heuristique de détection, non d’un seuil juridique. Deux détails méritent plus d’attention qu’ils n’en reçoivent. L’auditeur peut exclure toute catégorie représentant moins de 2 % des données auditées, ce qui retire discrètement du calcul les petits groupes, précisément là où la discrimination est la plus difficile à détecter. Et l’indépendance a une portée réelle : l’auditeur ne doit détenir aucun intérêt financier dans l’outil, et un fournisseur ne peut auditer son propre produit.

Ce que l’audit ne fait pas

Il ne vaut pas certificat de conformité. Il ne crée aucune protection au titre du Title VII américain, ni aucune présomption au regard du droit français. Et il constitue un instantané annuel d’un système souvent réentraîné chaque trimestre. Les onze mois qui séparent deux audits sont l’intervalle où la dérive s’installe. Les mécanismes sous-jacents sont traités dans nos guides sur les biais de l’IA et les biais algorithmiques.

La couche fédérale américaine que personne n’a supprimée

Le 27 janvier 2025, l’EEOC a retiré de son site ses lignes directrices de mai 2023 sur l’IA, à la suite de l’abrogation du décret présidentiel précédent sur l’intelligence artificielle. L’agence a ensuite engagé la clôture des plaintes pendantes fondées sur l’impact disproportionné. Plusieurs groupes européens exploitant une filiale américaine y ont vu la fermeture du dossier fédéral. C’est une lecture erronée. L’interdiction des pratiques produisant un impact disproportionné figure dans le Title VII, qui est une loi. Les Uniform Guidelines on Employee Selection Procedures et leurs exigences de validation s’appliquent à toute procédure de sélection, algorithmique ou non, et aucun de ces deux textes n’a été modifié. Des lignes directrices expliquent la règle, elles ne la créent pas, et leur retrait n’abroge rien. Ce qui a changé, c’est la posture d’application fédérale, non le standard. Les demandeurs privés, les actions collectives et les procureurs généraux des États agissent indépendamment des priorités de l’EEOC. Le retrait de la publication a rendu la norme moins lisible sans la rendre moins contraignante, ce qui est une position plus inconfortable, pas plus confortable.

Un seul dispositif de preuve pour cinq régimes

Cinq régimes, cinq définitions, trois logiques de responsabilité. Mener cinq chantiers de conformité distincts n’est pas tenable. Construire une chaîne de preuve unique l’est, parce que ces textes réclament des artefacts qui se recouvrent largement sous des dénominations différentes.

1. Recenser tout outil qui note, classe, filtre ou surveille une personne. Cela inclut les fonctionnalités activées à l’intérieur d’un ATS ou d’un SIRH que personne n’a achetées en tant qu’IA, là où se loge l’essentiel de l’exposition non déclarée. Notre guide sur le shadow AI détaille la démarche de découverte.
2. Qualifier le périmètre régime par régime, par écrit. Le même outil reçoit cinq réponses. Consigner le raisonnement et son signataire.
3. Conduire une évaluation préalable structurée. L’article 27 du règlement européen fournit un modèle utilisable bien au-delà de l’Union : description des processus du déployeur, période et fréquence d’utilisation, catégories de personnes concernées, risques de préjudice spécifiques, mesures de contrôle humain mises en œuvre, et dispositifs de gouvernance interne et de traitement des réclamations. L’articulation avec l’analyse d’impact relative à la protection des données est traitée dans notre note sur la différence entre PIA, AIPD et analyse d’impact sur les droits fondamentaux.
4. Commander des tests de biais indépendants et en conserver les artefacts, pas seulement la synthèse : taux de sélection et de notation, ratios d’impact, méthodologie, déclaration d’indépendance de l’auditeur, résultat publié. Notre guide sur l’audit de l’IA traite du choix de l’auditeur.
5. Rendre la supervision humaine effective. L’article 14 exige que les systèmes à haut risque « puissent être effectivement contrôlés par des personnes physiques pendant leur période d’utilisation ». Un recruteur qui valide une liste ordonnée sans disposer du temps ni des moyens de la contredire n’exerce aucune supervision. La distinction fait l’objet de notre guide sur le human-in-the-loop et le human-on-the-loop.
6. Conserver les preuves d’information et retenir quatre ans. Adopter la fenêtre californienne comme plancher mondial évite de suivre cinq horloges de conservation, et couvre largement les obligations françaises d’information préalable.
7. Reprendre le contrat fournisseur. Il doit imposer la coopération à votre audit, l’accès aux données nécessaires au calcul des ratios d’impact, la notification de toute modification substantielle du modèle, et désigner qui réalise l’audit. Un fournisseur ne pouvant auditer son propre outil, le silence du contrat sur ce point signifie que personne ne l’a fait.
8. Surveiller entre deux audits. Suivre les taux de sélection en continu pour que l’audit annuel confirme ce que vous saviez déjà, au lieu de le découvrir onze mois trop tard. C’est de la gestion des risques liés à l’IA ordinaire appliquée à un tunnel de recrutement.

Cette chaîne constitue un seul dispositif. Elle produit l’audit new-yorkais, la preuve d’absence d’effet discriminatoire pour l’Illinois, le jeu de conservation californien, la trace de vigilance coloradienne, la documentation technique de l’annexe III et les éléments d’information du CSE à partir des mêmes opérations.

Le taux de conformité que personne ne cite

Le meilleur argument pour construire ce dispositif sérieusement tient à ce que la recherche révèle sur les autres. Une étude présentée à la conférence ACM sur l’équité, la responsabilité et la transparence a examiné la réaction des employeurs à la Local Law 144. Sur 391 employeurs étudiés par 155 enquêteurs, dans un partenariat entre le CAT Lab de Cornell, le Data & Society Research Institute et Consumer Reports, 18 avaient publié un rapport d’audit et 13 un avis de transparence. Onze seulement avaient publié les deux dans une forme conforme. Deux lectures de ce chiffre sont possibles. La rassurante : l’application est faible et le risque statistiquement mince. La juste : une absence quasi totale de publications sur un marché entièrement régulé n’est pas un équilibre stable, et l’employeur qui publie n’est pas celui que l’on vise. Les organisations réellement exposées sont celles qui ont conclu qu’elles étaient hors champ sans conserver la moindre trace du raisonnement.

Questions fréquentes

Qu’est-ce qu’un outil de décision automatisée en recrutement ? C’est tout logiciel qui recourt à l’apprentissage automatique, aux statistiques, à l’analyse de données ou à l’IA pour produire une note, un classement ou une recommandation qui assiste substantiellement ou remplace une décision humaine d’embauche ou de promotion. En pratique : analyseurs de CV, moteurs d’appariement de candidatures, notation de tests, analyse d’entretiens vidéo, certains outils de sourcing. Qu’un outil donné entre dans la catégorie dépend de la juridiction, puisque New York, la Californie et l’Union retiennent trois seuils différents. Le report européen supprime-t-il l’obligation pour l’IA recrutement ? Non, il déplace la date. Les systèmes autonomes de l’annexe III disposent désormais jusqu’au 2 décembre 2027 au lieu du 2 août 2026, confirmation du Conseil du 29 juin 2026. Les pratiques interdites, dont la reconnaissance des émotions au travail, s’appliquent depuis février 2025 et n’ont pas été reportées. Les États membres restent libres, en vertu de l’article 2, paragraphe 11, de maintenir des règles plus protectrices. Et le droit du travail français, lui, s’applique dès aujourd’hui. Le CSE doit-il être consulté avant le déploiement d’un outil d’IA recrutement ? Oui dès lors que l’outil a des conséquences sur l’emploi, les conditions de travail ou la formation professionnelle, ce qui est le cas d’un dispositif de présélection ou d’évaluation. S’y ajoute l’obligation d’information préalable des personnes concernées au titre de l’article L.1222-4 du code du travail. Ces deux exigences sont indépendantes du règlement européen et ne bénéficient d’aucun report. Un déploiement mené sans elles est contestable même si l’outil ne produit aucun biais mesurable. Un audit de biais annuel rend-il un outil juridiquement conforme ? Non. Il satisfait une exigence précise d’un texte précis. Il calcule des ratios d’impact à un instant donné. Il ne valide pas l’outil comme lié au poste et justifié par une nécessité professionnelle, il ne crée aucune protection au titre du Title VII, et il ne dit rien du critère d’effet retenu par l’Illinois ni des obligations européennes. Prendre le certificat d’audit pour une conclusion de conformité est l’erreur la plus répandue. Qui est responsable lorsque l’outil d’un fournisseur discrimine ? L’employeur, en premier lieu, dans les cinq régimes examinés. New York fait peser l’obligation sur l’employeur qui utilise l’outil. La réglementation californienne prévoit l’imputation du comportement du fournisseur à l’employeur. Le règlement européen répartit les obligations entre fournisseur et déployeur, mais le déployeur, défini comme l’entité utilisant le système sous sa propre autorité, supporte les obligations d’exploitation. Le fournisseur porte un risque contractuel et réputationnel. Vous portez le risque réglementaire. Ces règles s’appliquent-elles à une entreprise française qui ne recrute pas aux États-Unis ? Oui, par au moins deux voies. Le droit du travail français et le RGPD s’appliquent immédiatement, sans attendre décembre 2027. Et le règlement européen s’appliquera à tout système de présélection ou d’évaluation des salariés relevant du point 4 de l’annexe III. Les textes américains ne concernent que les groupes disposant d’une entité ou de candidats aux États-Unis, mais ils constituent, en pratique, le référentiel le plus exigeant et donc le plus utile pour calibrer un dispositif unique.

Conclusion

L’IA recrutement est aujourd’hui la catégorie d’IA d’entreprise la plus densément régulée, et c’est aussi celle qui a le plus de chances d’avoir été activée dans une plateforme RH existante sans décision d’achat. Cinq régimes l’atteignent selon trois logiques de responsabilité incompatibles, et l’échéance qui vient de bouger était la seule à offrir un répit. La réponse qui passe à l’échelle n’est pas cinq projets de conformité. C’est un inventaire, une qualification par régime, une structure d’évaluation, un test indépendant dont les artefacts sont conservés, une durée de conservation de quatre ans et un modèle de clause fournisseur. Chacun des régimes examinés se satisfait de preuves tirées de cette chaîne unique. AI Sigil est conçu pour porter cette chaîne : inventaire des systèmes, classification par référentiel, cartographie des contrôles et preuves auditables sur l’ensemble des régimes qui vous concernent. Pour voir comment votre dispositif de recrutement se projette sur les cinq, commencez par notre cadre de gouvernance de l’IA.