Quels systèmes d'IA RH sont à haut risque selon l'annexe III

Parmi tous les services d'une entreprise, les ressources humaines sont celles qui utilisent le plus probablement un système d'IA classé à haut risque, et celles qui le savent le moins souvent. Non que l'outil soit particulièrement sophistiqué, mais parce que l'annexe III du règlement vise précisément cela : les décisions qui affectent l'emploi d'une personne.

Ce que dit l'annexe III sur l'emploi

Le point 4 de l'annexe III classe à haut risque les systèmes d'IA destinés au recrutement ou à la sélection de personnes physiques, notamment pour diffuser des offres d'emploi ciblées, analyser et filtrer les candidatures, et évaluer les candidats. S'y ajoute un second volet : les systèmes destinés à prendre des décisions affectant les conditions des relations de travail, la promotion ou la résiliation de contrats, à attribuer des tâches en fonction du comportement ou de traits personnels, ou à surveiller et évaluer la performance et le comportement.

Autrement dit : nul besoin d'un système exotique. Un filtre automatique de CV, un outil qui note des entretiens, un algorithme qui répartit les plannings selon la productivité historique, ou un panel qui évalue la performance annuelle relèvent tous de cette catégorie dès qu'ils interviennent de façon significative dans la décision.

Ce qu'ajoute l'étiquette haut risque

Être déployeur d'un système à haut risque ne change pas seulement l'application de l'article 4 : cela ajoute les obligations spécifiques de l'article 26, qu'il vaut mieux connaître avant de signer un contrat avec un fournisseur.

• Utilisation conforme aux instructions du fournisseur, et vérification que les données d'entrée sont pertinentes et suffisamment représentatives pour la finalité du système.
• Contrôle humain par des personnes disposant de la compétence, de la formation et de l'autorité nécessaires, et de la capacité réelle d'annuler une décision du système.
• Conservation des journaux générés automatiquement par le système pendant au moins six mois.
• Information des représentants du personnel et des personnes concernées qu'elles seront soumises à un système à haut risque, avant sa mise en service.
• Notification au fournisseur et à l'autorité de surveillance en cas de risque grave détecté, et suspension de l'utilisation le temps de l'enquête.

La nuance souvent oubliée : informer avant, pas après

L'obligation d'informer les salariés n'est pas une formalité a posteriori : l'article 26, paragraphe 7, exige qu'elle soit remplie avant la mise en service du système ou sa première utilisation sur le lieu de travail. Une entreprise qui utilise déjà un système de présélection et n'envisage l'information que maintenant est, à strictement parler, déjà en retard.

Ce qu'exige réellement le contrôle humain

Il ne suffit pas qu'une personne puisse, en théorie, examiner le résultat. L'article 14 exige que celui qui exerce le contrôle comprenne les capacités et les limites du système, soit capable d'en interpréter correctement la sortie, et puisse décider de ne pas l'utiliser ou d'annuler une décision qui s'en inspire. Un responsable RH qui valide automatiquement ce que suggère l'algorithme, sans pouvoir réellement le remettre en question, ne satisfait pas au contrôle humain significatif exigé par le règlement. C'est précisément cette compétence que l'article 4 impose d'acquérir.

Questions fréquentes

Par où commencer

Si un processus de sélection, d'évaluation ou de promotion de votre entreprise s'appuie sur un outil automatisé, il convient de vérifier d'abord trois points : si cet usage relève de l'annexe III, si les personnes concernées ont déjà été informées, et si la personne chargée du contrôle dispose réellement de la formation et de l'autorité pour annuler les décisions du système. Notre évaluation gratuite aide à situer votre cas concret dans ce cadre.