Votre logiciel RH ou CRM ajoute l’IA : que vérifier ?
Tri de CV, scoring de prospects, résumés automatiques : quand l’éditeur d’un outil que vous utilisez déjà active une fonction d’IA, ce qu’il faut regarder côté AI Act, RGPD, droit du travail et contrat.
À jour au 17 septembre 2026 — AI Act & PME
Une nouvelle fonction d’IA dans votre SIRH ou votre CRM ne vous met pas en faute du jour au lendemain. Mais c’est vous qui en répondez : au regard de l’AI Act, vous êtes le « déployeur », et au regard du RGPD, vous restez responsable des données de vos salariés, candidats et clients. Quatre questions suffisent : que fait la fonction, que devient votre donnée, qui décide, et qui doit être informé. Un outil de résumé demande peu. Une fonction qui classe ou note des personnes demande beaucoup plus.
Check-list gratuite. Faites le point en 15 minutes sur les 10 points AI Act et RGPD à vérifier dans votre PME. Ouvrir la check-list →
Pourquoi une simple mise à jour change votre position
Un e-mail annonce de « nouvelles fonctionnalités d’IA », parfois activées par défaut, avec des conditions mises à jour. Deux textes vous visent pourtant directement.
L’AI Act (règlement (UE) 2024/1689) distingue le fournisseur, qui développe le système d’IA et le met sur le marché « sous son propre nom ou sa propre marque » (article 3, point 3), et le déployeur, qui utilise le système « sous sa propre autorité » dans un cadre professionnel (article 3, point 4). L’éditeur est fournisseur, vous êtes déployeur.
Le RGPD fait de vous le responsable du traitement : vous décidez pourquoi les données de vos salariés ou clients sont traitées. L’éditeur est en principe votre sous-traitant. Il ne traite ces données que « sur instruction documentée » de votre part (article 28, paragraphe 3, point a).
Un piège : détourner une fonction générique vers un usage à haut risque que l’éditeur n’a pas prévu, par exemple le résumé du CRM utilisé pour classer des candidats, peut faire de vous le fournisseur d’un système à haut risque (article 25, paragraphe 1, point c). Restez dans l’usage décrit par l’éditeur.
Le document est gratuit. Vous n’avez pas à le rédiger. Le modèle de politique d’usage de l’IA reprend les neuf clauses d’une politique d’usage, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.
Essayer le modèle — remplir et voir le document →
ou recevoir le modèle complet, gratuitement
Gratuit. Une adresse email suffit pour le recevoir.
Question 1 : que fait exactement la nouvelle fonction ?
Le niveau d’exigence dépend de l’usage, pas de la technologie. L’annexe III de l’AI Act liste les usages « à haut risque ». Trois concernent directement les logiciels de gestion :
le recrutement : systèmes destinés à « analyser et filtrer les candidatures et évaluer les candidats » (point 4, a) ;
la gestion des salariés : décisions sur la promotion ou le licenciement, attribution de tâches selon le comportement ou la personnalité, suivi et évaluation des performances (point 4, b) ;
le crédit aux particuliers : évaluation de la solvabilité ou note de crédit des personnes physiques, sauf détection de fraude (point 5, b).
Un système listé peut échapper au haut risque s’il ne présente pas de risque important, notamment parce qu’il n’accomplit qu’une tâche « procédurale étroite » ou « préparatoire » (article 6, paragraphe 3) ; c’est au fournisseur de documenter cette évaluation (paragraphe 4), demandez-la-lui. Jamais s’il effectue un profilage, c’est-à-dire évalue des aspects personnels : c’est presque toujours le cas d’un score de candidat ou de salarié.
Le calendrier. Depuis le règlement (UE) 2026/1744, les obligations liées aux systèmes à haut risque de l’annexe III s’appliquent à partir du 2 décembre 2027 (article 113, troisième alinéa, point c) i). Pour un système mis sur le marché avant cette date, le règlement ne s’applique qu’en cas d’« importantes modifications » de sa conception à compter de cette date (article 111, paragraphe 2). Son application à un logiciel en ligne mis à jour en continu reste incertaine. D’autres règles s’appliquent déjà :
depuis le 2 février 2025, l’interdiction de déduire les émotions d’une personne sur le lieu de travail, sauf raisons médicales ou de sécurité (article 5, paragraphe 1, point f), et l’obligation de prendre des mesures en faveur de la « maîtrise de l’IA » du personnel (article 4, assoupli par le règlement 2026/1744 : il s’agit désormais de « favoriser » cette maîtrise) ;
depuis le 2 août 2026, les obligations de transparence de l’article 50, par exemple informer un client qu’il échange avec une IA, obligation qui pèse sur le fournisseur du chatbot (paragraphe 1) : vérifiez qu’elle est bien active. Le marquage des contenus générés (paragraphe 2) peut attendre le 2 décembre 2026 pour les systèmes déjà sur le marché (article 111, paragraphe 4).
Pour le tri de CV, voir Trier des candidatures avec l’IA : est-ce autorisé ?
Selon la fonction ajoutée
| Fonction | Niveau AI Act probable | Points RGPD / travail | Que faire |
|---|---|---|---|
| Résumé, rédaction d’e-mails ou de fiches | En principe risque minimal | Données envoyées au modèle ; réutilisation pour l’entraînement ; transferts hors UE | Vérifier l’avenant de traitement et le réglage d’entraînement ; former les utilisateurs à relire |
| Chatbot pour vos clients | Risque limité : transparence (article 50, paragraphe 1) | Information des clients ; durée de conservation des conversations | Vérifier que le message « vous échangez avec une IA » est bien affiché |
| Tri ou classement de candidatures | En principe haut risque (annexe III, 4, a) ; obligations à partir du 2 décembre 2027 | Article 22 du RGPD ; information préalable des candidats (L. 1221-8) ; AIPD requise selon la liste CNIL ; information du CSE dès 50 salariés | Ne pas activer sans analyse ; garder une relecture humaine réelle |
| Évaluation ou suivi de la performance des salariés | En principe haut risque (annexe III, 4, b) ; obligations à partir du 2 décembre 2027 | Information préalable des salariés (L. 1222-3) ; consultation du CSE dès 50 salariés ; AIPD en principe requise (liste CNIL) | Désactiver en attendant l’information et, le cas échéant, la consultation |
| Scoring de leads B2B | En principe hors annexe III | Profilage à des fins de prospection : information et droit d’opposition (article 21 du RGPD) | Mettre à jour la politique de confidentialité et le registre |
| Score de solvabilité de clients particuliers | En principe haut risque (annexe III, 5, b), sauf détection de fraude ; analyse d’impact sur les droits fondamentaux à partir du 2 décembre 2027 (article 27) | Décision automatisée interdite sauf exceptions (article 22 du RGPD) si le score est déterminant, y compris lorsqu’il est calculé par l’éditeur (arrêt SCHUFA) ; AIPD requise selon la liste CNIL | Faire vérifier par un conseil avant toute activation |
| Analyse d’émotions ou de « sentiment » sur les appels | Voix, visage ou frappe au clavier des salariés ou candidats : interdit, sauf raisons médicales ou de sécurité. Voix des clients seuls : information dès maintenant (article 50, paragraphe 3), en principe haut risque à partir du 2 décembre 2027 (annexe III, 1, c). Texte seul : hors reconnaissance des émotions selon la Commission | Contrôle de l’activité : consultation du CSE dès 50 salariés (L. 2312-38) ; information préalable des salariés (L. 1222-4) ; AIPD en principe requise (liste CNIL) | Ne pas activer la fonction sur les salariés |
Sur la dernière ligne : l’AI Act définit la reconnaissance des émotions à partir de « données biométriques » (article 3, point 39), comme la voix ou le visage (considérant 18 et lignes directrices de la Commission sur les pratiques interdites, point 251). Une analyse du seul texte n’y entre donc pas, en principe.
Question 2 : que devient votre donnée ?
Le vrai changement est souvent là : l’éditeur se réserve d’utiliser les données de ses clients pour entraîner ses propres modèles.
Or un sous-traitant ne peut pas réutiliser vos données pour son propre compte de sa propre initiative ; s’il décide seul des finalités, il est considéré comme responsable du traitement (article 28, paragraphe 10, du RGPD). Selon la CNIL, une telle réutilisation suppose votre autorisation écrite après un « test de compatibilité » avec la finalité d’origine, et « une autorisation préalable et générale de réutilisation des données n’est pas légale ». Si vous l’autorisez, l’éditeur devient responsable de ce nouveau traitement, et il vous revient en principe d’en informer les personnes concernées.
Deux exemples de pratiques publiées, consultés le 17 septembre 2026 :
HubSpot indique dans son centre d’aide (page mise à jour le 8 septembre 2026) pouvoir utiliser les données clients pour entraîner ses propres modèles d’IA, certains sur les seules données de votre compte, d’autres sur celles de nombreux clients. Le réglage est activé par défaut, un super administrateur peut le désactiver, et la désactivation ne vaut que pour l’avenir.
Microsoft indique, dans la documentation de Dynamics 365 Sales mise à jour le 20 mai 2026, que Copilot est « activé par défaut » pour les organisations situées dans des régions où un point de terminaison Azure OpenAI est disponible, sauf si vous l’aviez déjà désactivé. Le partage optionnel de données pour améliorer les fonctions d’IA est, lui, désactivé par défaut.
Les réglages existent, mais il faut aller les chercher. Pour la CNIL, une clause générale des conditions d’utilisation ne vaut pas autorisation : si vous n’avez pas fait le test de compatibilité et donné une autorisation écrite pour ce traitement précis, désactivez l’entraînement. Regardez aussi où les données sont traitées. Un transfert vers les États-Unis peut reposer sur le cadre de protection des données UE–États-Unis, à condition que le destinataire figure sur la liste des organismes certifiés, rappelle la CNIL. Le Tribunal de l’Union européenne a rejeté le recours contre ce cadre le 3 septembre 2025 (affaire T-553/23, Latombe). Un pourvoi a été formé le 31 octobre 2025 (affaire C-703/25 P) : vérifiez son état sur le site de la Cour de justice avant de vous appuyer durablement sur ce cadre.
Question 3 : qui prend la décision ?
L’article 22 du RGPD donne à chacun le droit de ne pas faire l’objet d’une décision « fondée exclusivement sur un traitement automatisé », y compris le profilage, qui l’affecte de manière significative. Dans l’arrêt SCHUFA du 7 décembre 2023 (C-634/21), la Cour de justice de l’Union européenne juge que l’établissement automatisé d’un score de solvabilité est une telle décision lorsque le tiers qui l’utilise en dépend « de manière déterminante » pour conclure, exécuter ou rompre un contrat. Par prudence, un score que vos équipes suivent sans jamais le discuter doit être traité avec la même vigilance.
Une telle décision n’est permise que si elle est nécessaire à la conclusion ou à l’exécution d’un contrat, autorisée par la loi ou fondée sur le consentement explicite de la personne, avec au minimum le droit d’obtenir une intervention humaine, d’exprimer son point de vue et de contester la décision (article 22, paragraphes 2 et 3). Vous devez aussi informer les personnes de sa « logique sous-jacente » (articles 13 et 14). Dans l’arrêt Dun & Bradstreet Austria du 27 février 2025 (C-203/22), rendu sur le droit d’accès (article 15), la Cour précise que la personne peut exiger une explication de « la procédure et les principes concrètement appliqués ». Le secret d’affaires ne suffit pas à refuser : le responsable du traitement doit communiquer les informations en cause à l’autorité de contrôle ou au juge, qui arbitre. Si l’éditeur ne peut rien vous dire de son score, vous ne pourrez rien dire aux personnes.
Deux documents sont aussi à mettre à jour :
le registre des traitements (article 30) : nouvelle finalité, nouveaux destinataires, éventuels transferts ;
l’analyse d’impact (AIPD) (article 35) : la liste publiée par la CNIL la rend obligatoire notamment pour les traitements « établissant des profils de personnes physiques à des fins de gestion des ressources humaines » (exemple cité : un algorithme de sélection pour le recrutement), pour la surveillance constante de l’activité des employés, et pour le profilage pouvant exclure d’un contrat (exemple cité : un score d’octroi de crédit).
Question 4 : salariés, candidats et CSE sont-ils informés ?
Le Code du travail n’a pas attendu l’IA :
le candidat est « expressément informé, préalablement à leur mise en œuvre », des méthodes d’aide au recrutement utilisées, qui doivent être « pertinentes » (article L. 1221-8), et aucune information le concernant ne peut être collectée par un dispositif qui ne lui a pas été signalé (article L. 1221-9) ;
il en va de même pour le salarié et les méthodes d’évaluation professionnelle (articles L. 1222-3 et L. 1222-4).
Le CSE dépend de votre effectif. Dans une entreprise d’au moins 50 salariés, il est informé, avant leur utilisation ou leur introduction, des méthodes d’aide au recrutement et des traitements automatisés de gestion du personnel, ainsi que de « toute modification de ceux-ci ». Il est informé et consulté sur les moyens permettant un contrôle de l’activité des salariés (article L. 2312-38) et sur « l’introduction de nouvelles technologies » (article L. 2312-8). Entre 11 et 49 salariés, le CSE n’a pas ces attributions, mais présenter le projet aux élus reste prudent. L’information individuelle s’impose dans tous les cas. Voir Charte IA et CSE : faut-il le consulter, et comment ?
À partir du 2 décembre 2027, l’AI Act ajoutera pour les systèmes à haut risque l’obligation d’informer les représentants du personnel et les travailleurs concernés avant la mise en service sur le lieu de travail (article 26, paragraphe 7).
Et le contrat : l’éditeur peut-il tout changer seul ?
En droit commun, un contrat ne peut être modifié « que du consentement mutuel des parties » (article 1193 du Code civil). Mais les contrats SaaS prévoient souvent une clause permettant à l’éditeur de faire évoluer le service ou ses conditions, avec un préavis et une faculté de résiliation. Une clause très déséquilibrée entre professionnels peut être contestée au titre du « déséquilibre significatif » (article L. 442-1, I, 2°, du Code de commerce, applicable à l’éditeur comme prestataire de services), mais le contentieux est long et incertain. Le levier réaliste : lire la notification, comparer l’avenant de traitement des données (souvent appelé DPA), puis ajuster les réglages ou résilier.
La méthode : dans les 30 jours suivant l’annonce
Archivez l’annonce. E-mail, nouvelles conditions, nouvel avenant de traitement, date d’effet et délai de résiliation.
Décrivez la fonction en une phrase. Qui est concerné ? Produit-elle un texte, un classement ou un score ?
Situez-la dans le tableau ci-dessus. En cas de doute sur un classement ou un score de personnes, traitez-la comme à haut risque tant que ce n’est pas vérifié.
Vérifiez les réglages. Activation par défaut, entraînement des modèles sur vos données, lieu de traitement. Désactivez ce qui n’est pas décidé.
Envoyez vos questions à l’éditeur (encadré ci-dessous) et conservez les réponses écrites.
Mettez à jour vos documents. Registre des traitements, AIPD si nécessaire, registre de vos systèmes d’IA, mentions d’information des candidats, salariés ou clients.
Informez avant d’utiliser. Salariés et candidats concernés, CSE selon votre effectif, puis formez les utilisateurs aux limites de l’outil.
Questions à envoyer à l’éditeur
Quelles fonctions d’IA sont activées par défaut sur notre compte, et comment les désactiver ?
Nos données sont-elles utilisées pour entraîner ou améliorer vos modèles ou ceux d’un tiers ? Sur quel fondement contractuel, et comment nous y opposer ?
Quels sous-traitants ultérieurs interviennent (fournisseur du modèle, hébergeur), et dans quels pays les données sont-elles traitées ?
Combien de temps conservez-vous les requêtes, les réponses et les journaux d’utilisation ?
À quel usage la fonction est-elle destinée, et considérez-vous qu’elle relève de l’annexe III de l’AI Act ?
Quels critères pèsent dans le score ou le classement, et pouvez-vous nous fournir une explication réutilisable auprès des personnes concernées ?
Quelle documentation fournissez-vous pour notre analyse d’impact et, le moment venu, la notice d’utilisation prévue par l’AI Act ?
Ce que vous n’avez pas à faire
Résilier par principe. Une fonction de résumé bien paramétrée pose rarement difficulté.
Auditer le modèle de l’éditeur. La conformité technique du système incombe au fournisseur. À vous de poser les questions et de garder les réponses.
Appliquer dès aujourd’hui tout l’article 26. Les obligations des déployeurs de systèmes à haut risque (contrôle humain formel, journaux conservés au moins six mois, information au titre de l’AI Act) s’appliquent à partir du 2 décembre 2027. Le RGPD et le Code du travail, eux, s’appliquent déjà.
Consulter le CSE pour une amélioration mineure d’un outil qui ne touche ni au recrutement, ni à la gestion du personnel, ni au contrôle de l’activité. Attention : dans une entreprise d’au moins 50 salariés, toute modification des méthodes d’aide au recrutement ou des traitements automatisés de gestion du personnel doit faire l’objet d’une information préalable du CSE, même si elle est mineure (article L. 2312-38) ; en cas de doute, informez les élus.
Rédiger une AIPD pour chaque fonction. Elle vise les traitements à risque élevé, pas un assistant de rédaction qui ne note personne.
Le modèle de politique d’usage — gratuit
Les neuf clauses d’une politique d’usage de l’IA, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.
Gratuit. Une adresse email suffit pour le recevoir.
Le kit de conformité — 199 €
Quand une nouvelle fonction d’IA arrive dans votre logiciel, le kit vous aide à l’inscrire dans votre registre des systèmes d’IA et à consigner dans le journal des usages sensibles les cas où elle trie ou note des personnes.
Vous renseignez votre raison sociale et la liste de vos outils. Vous choisissez vous-même la catégorie de risque de chaque usage — interdit, haut risque, risque limité, risque minimal, ou « Je ne sais pas encore — à faire vérifier » — à l’aide d’un rappel des règles. Le kit met ensuite en forme votre politique d’usage de l’IA, dont les neuf clauses sont complétées avec les informations que vous avez saisies, votre registre des systèmes d’IA, votre journal des usages sensibles et votre note d’information au personnel.
Pas encore prêt ? Faites l’auto-diagnostic en 3 minutes ou commencez par la check-list AI Act gratuite : 10 points à vérifier en 15 minutes.
La newsletter. Un numéro tous les quinze jours : une question de conformité IA traitée avec les textes applicables et leurs dates, chaque affirmation sourcée. Gratuite, sans publicité. Lire le premier numéro — « Le premier risque de l’IA en entreprise n’est pas européen ».
À lire ensuite
Sources
Règlement (UE) 2024/1689 (AI Act), version consolidée au 27 juillet 2026 intégrant le règlement (UE) 2026/1744 : articles 3, 4, 5, 6, 25, 26, 27, 50, 111 et 113, annexe III, considérant 18 (consulté le 17 septembre 2026)
Règlement (UE) 2016/679 (RGPD) : articles 13, 14, 21, 22, 28, 30 et 35
Tribunal de l’UE, 3 septembre 2025, Latombe / Commission, T-553/23 et pourvoi C-703/25 P (JOUE C/2025/6610 du 22 décembre 2025)
CNIL — Sous-traitants : la réutilisation de données confiées par un responsable de traitement (11 janvier 2022)
CNIL — Liste des types d’opérations de traitement pour lesquelles une AIPD est requise (PDF) et présentation (6 novembre 2018)
CNIL — Adéquation des États-Unis : les premières questions-réponses (17 juillet 2024)
Code du travail numérique : articles L. 1221-8, L. 1221-9, L. 1222-3, L. 1222-4, L. 2312-8 et L. 2312-38 (consultés le 17 septembre 2026)
Légifrance : Code civil, article 1193 et Code de commerce, article L. 442-1 (consultés le 17 septembre 2026)
HubSpot — Comprendre l’entraînement du modèle d’IA de HubSpot (consulté le 17 septembre 2026)
Microsoft Learn — Activer et configurer Copilot dans Dynamics 365 Sales (20 mai 2026) et FAQ sur le partage facultatif de données pour les fonctionnalités d’IA Copilot (22 janvier 2025)
Rédigé par Adrien Bano, fondateur d’IA en Règle. Nous ne sommes pas avocats : cet article a été préparé avec l’aide d’outils d’IA et vérifié sur les textes officiels cités.
Cet article a un but d’information générale, établi d’après les textes en vigueur au 17 septembre 2026 ; il ne constitue pas un conseil juridique.
