ATS recrutement & AI Act : le guide pilier conformité haut risque en 16 semaines

#Chapitre 1 — ATS et IA dans le recrutement : adoption massive 2024-2026 et biais documentés

L'enquête Welcome to the Jungle 2025 estime que 81 % des entreprises françaises de plus de 250 collaborateurs utilisaient un ATS en 2025, contre 47 % cinq ans plus tôt. Côté éditeurs, la concurrence s'est concentrée autour d'une douzaine de plateformes dominantes : Workday Recruiting (≈ 14 % du marché ETI européen), SmartRecruiters, iCIMS, Greenhouse, Lever (rachat Employ Inc.), Teamtailor, BambooHR, Flatchr, Welcome Kit, plus les solutions intégrées aux suites HCM (SAP SuccessFactors, Oracle HCM, Cornerstone). Toutes, sans exception, embarquent désormais au moins une couche IA — souvent plusieurs : parsing CV par NLP, scoring automatique, matching offre/candidat, ranking pré-shortlist, chatbot conversationnel, recommandation de jobs sortants, prédiction de turnover.

#Adoption explosive 2024-2026

L'arrivée des LLM en 2023 a accéléré le mouvement. Selon le Stanford AI Index Report 2026, 73 % des éditeurs HR tech B2B SaaS interrogés en 2025 déclaraient avoir intégré au moins un modèle de fondation (OpenAI, Anthropic, Mistral ou propriétaire) dans leur pipeline de scoring CV ou de génération de feedback. Côté ETI, l'usage de chatbots de recrutement est passé de 12 % à 41 % entre 2023 et 2026. La conversation candidat-machine est devenue normale : un postulant à une ETI industrielle de 800 collaborateurs interagit en moyenne avec 2,3 systèmes IA différents pendant un parcours de candidature classique — chatbot d'accueil, scoring CV, ranking interne. Aucun de ces systèmes n'était classé haut risque avant le 1er août 2026. Tous le sont désormais par défaut.

#Biais documentés : un dossier qui s'épaissit depuis 2018

Les biais des ATS sont étudiés depuis longtemps. L'affaire Amazon de 2018 — l'outil de scoring interne pénalisant les CV contenant le mot « femme » ou un cursus dans des universités féminines, abandonné en interne — a ouvert la voie. Depuis, la littérature s'est étoffée. Une étude de Carnegie Mellon (Datta, Tschantz et Datta, 2019) avait déjà montré que les algorithmes de placement publicitaire pour les offres d'emploi exposaient moins de femmes aux annonces de postes hautement rémunérés. L'audit publié par l'université de Cambridge en 2022 a documenté des écarts de scoring de 11 à 18 points selon le seul prénom à CV identique. Le rapport « Stochastic Parrots » et les travaux dérivés ont étendu ces analyses aux modèles de fondation utilisés en NLP RH.

En avril 2026, l'EU AI Office relayée par les autorités nationales a sanctionné Workday à hauteur de 25 millions d'euros pour des biais de scoring sur les candidats de plus de 50 ans. Motifs : sous-représentation des candidats > 50 ans dans le top-quintile de scoring (écart -19 points moyens à profil équivalent), documentation Annexe IV incomplète sur les datasets d'entraînement, supervision humaine théorique non outillée chez les déployeurs ETI européens. La décision a déclenché une vague de réévaluations chez les autres éditeurs ATS en mai 2026 — plusieurs scale-ups françaises ont dû produire en urgence leur Annexe IV pour rassurer leurs clients ETI cotées. Voir le glossaire AI Act pour le détail du Règlement et la page secteur RH & formation Nehos.

#Pourquoi les biais sont structurels, pas accidentels

Un ATS apprend sur des données historiques de recrutement. Si une entreprise a, par le passé, peu embauché de femmes en métiers techniques, peu de candidats de plus de 50 ans en commerce, peu de profils issus de l'enseignement public dans certaines fonctions — les datasets reflètent ces choix. Le modèle apprend à reproduire la décision passée. Sans audit explicite et sans rééquilibrage, le biais devient une « caractéristique apprise » du système. C'est pour cette raison que l'AI Act exige des datasets représentatifs et un audit biais documenté pour les systèmes haut risque (article 10).

#Chapitre 2 — AI Act Annexe III : recrutement classé haut risque automatique

L'Annexe III du Règlement (UE) 2024/1689 liste les domaines pour lesquels un système IA est automatiquement classé haut risque. Le point 4 vise explicitement « l'emploi, la gestion des travailleurs et l'accès au travail indépendant », et inclut deux sous-catégories : (a) les systèmes destinés à être utilisés pour le recrutement ou la sélection de personnes physiques, en particulier pour publier des offres d'emploi ciblées, analyser et filtrer les candidatures, évaluer les candidats ; (b) les systèmes destinés à être utilisés pour prendre des décisions affectant les conditions de travail, la promotion ou le licenciement, attribuer des tâches sur la base du comportement individuel ou de traits de personnalité, surveiller et évaluer les performances et le comportement.

#Pas d'appréciation discrétionnaire

L'erreur courante chez les CTO HR tech consiste à argumenter que leur ATS « ne décide pas vraiment » — il propose seulement une short-list au recruteur, lequel décide en dernier ressort. Cet argument ne tient pas devant l'Annexe III, qui classe haut risque les systèmes destinés à « analyser et filtrer » les candidatures, pas seulement à les décider. Dès qu'un score, un ranking, un matching ou un filtre IA est appliqué à un candidat, le système entre dans le périmètre haut risque, même si la décision finale reste humaine. L'article 6 paragraphe 3 prévoit une exception très étroite (système purement préparatoire à une tâche limitée) qui ne s'applique quasi jamais à un ATS commercial.

#Quels modules ATS sont concrètement haut risque ?

Pour un ATS typique vendu en B2B SaaS, sont haut risque par défaut au moins ces modules : (1) le parsing CV par NLP (extraction structurée de l'expérience, formation, compétences) dès qu'il alimente une décision de tri ; (2) le scoring CV automatique en regard d'une offre ; (3) le matching offre-candidat (recommandation aux recruteurs) ; (4) le ranking interne entre candidats sur une short-list ; (5) le chatbot de qualification quand il filtre l'accès à l'étape suivante ; (6) les modèles prédictifs de turnover ou de fit culturel s'ils sont utilisés pour orienter le choix. Les modules de pure visualisation, d'archivage ou de communication ne sont pas concernés. La frontière passe au moment précis où une sortie IA influence le sort d'un candidat.

#Statut fournisseur vs déployeur : qui est responsable de quoi ?

L'article 3 distingue le fournisseur (qui met le système sur le marché) du déployeur (qui l'utilise en interne). Pour un éditeur HR tech français qui vend son ATS aux ETI, c'est le statut de fournisseur qui s'applique : évaluation de conformité ex ante article 43, déclaration UE de conformité article 47, marquage CE article 48, documentation Annexe IV complète, journalisation article 12, surveillance post-commercialisation article 72. Pour une DRH d'ETI qui déploie l'ATS d'un éditeur tiers, c'est le statut de déployeur : AIIA (AI Impact Assessment) article 27 pour certains acteurs, supervision humaine effective, mention de transparence aux candidats, conservation des logs côté ATS. Les deux acteurs sont co-responsables sur la chaîne de traitement, mais avec des obligations différentes. Voir l'Annexe III glossaire Nehos et le glossaire AI Act intégral.

#Conséquence directe sur les appels d'offres

Depuis l'amende Workday d'avril 2026, plus de 60 % des appels d'offres ATS lancés par les ETI cotées et les grands comptes français en mai 2026 incluent désormais une clause demandant la production d'une déclaration UE de conformité AI Act, de la documentation Annexe IV résumée, et d'un rapport d'audit biais récent. Une scale-up HR tech qui ne peut pas produire ces éléments perd l'appel d'offres avant même la démo produit. Le sujet est passé de purement juridique à directement commercial. Voir le service Conformité AI Act dédié Nehos et le service Agents IA conformité by design.

#Chapitre 3 — Obligations renforcées pour un ATS classé haut risque

Pour un système haut risque comme un ATS, l'AI Act impose une superposition d'obligations articulées entre gouvernance, données, technique, processus et contrôle. Voici la lecture opérationnelle pour un ATS.

#(a) Gouvernance binôme CAIO + DPO

Un éditeur HR tech ou une DRH d'ETI doit désigner formellement un responsable IA. Pour un fournisseur, c'est typiquement un Chief AI Officer interne qui pilote la conformité produit. Pour un déployeur ETI, c'est plus souvent un Compliance Officer IA rattaché à la direction juridique ou à la DRH, voire un CAIO externalisé Nehos pour 12 à 24 mois (60 % de nos clients en 2024-2026). Le binôme avec le DPO est indispensable : l'ATS traite des données personnelles candidat sensibles (CV, scores, communications), ce qui déclenche le RGPD en parallèle de l'AI Act. CAIO et DPO siègent ensemble dans un comité IA mensuel transversal — produit, juridique, RH, DSI, RSSI. Voir le glossaire CAIO Chief AI Officer et le glossaire DPO Data Protection Officer.

#(b) Documentation technique Annexe IV par modèle

Pour chaque modèle IA embarqué dans l'ATS (scoring, matching, parsing, chatbot), une fiche model card conforme Annexe IV est exigée. Contenu minimal : description du système et de l'usage prévu, architecture et composants, instructions d'utilisation pour le déployeur ETI, modifications apportées et versioning, description détaillée des données d'entraînement (origine, taille, gouvernance, biais connus, représentativité), choix de conception et hyperparamètres, métriques de performance et précision par sous-groupe, mesures de robustesse et cybersécurité, supervision humaine prévue, journalisation. Nehos formalise sous forme de model cards standardisées archivées sur Object Storage OVH (souverain France ou Pays-Bas) avec hash SHA-256 pour intégrité. Voir l'Annexe IV glossaire Nehos.

#(c) Supervision humaine effective et outillée (article 14)

Pour un ATS, la supervision humaine théorique ne suffit plus depuis le cas Workday. Quatre exigences concrètes. Premièrement, le recruteur doit comprendre les capacités et limites du système : formation de 4 à 8 heures par profil recruteur, documentation accessible dans l'outil. Deuxièmement, il doit rester conscient du biais d'automatisation — pas de validation par défaut, pas de pré-cochage des cases. Troisièmement, il doit pouvoir interpréter la sortie : explicabilité LIME ou SHAP intégrée à l'interface recruteur, indiquant les variables qui ont pesé sur le score. Quatrièmement, il doit pouvoir override la sortie IA en un clic, override tracé dans le log immuable. Le KPI Nehos cible : taux d'override mesurable, délai moyen de supervision affiché.

#(d) Transparence candidat (article 13 + article 22 RGPD)

La mention de transparence est obligatoire dès la confirmation de candidature. Formulation Nehos type : « Votre candidature sera traitée par un système IA d'analyse et de scoring CV. Vous disposez d'un droit à un examen humain avant toute décision finale, conformément à l'article 22 du RGPD et à l'article 13 du Règlement (UE) 2024/1689. Pour exercer ce droit, contactez [coordonnées]. » Validation juridique par avocat partenaire ou DPO. Pour les scale-ups HR tech, cette mention doit être proposée en template directement intégré au produit, livrée prête à l'emploi au déployeur ETI.

#(e) Audit biais documenté et répété (article 10)

L'article 10 exige des datasets pertinents, représentatifs, exempts d'erreurs autant que possible et complets. Pour un ATS, cela se traduit par un audit biais multidimensionnel répété — voir le chapitre 4 pour les outils. Fréquence préconisée par Nehos pour les ATS : trimestrielle au minimum, mensuelle pour les modules à fort volume (> 10 000 candidats traités / mois). Biais à surveiller : genre, âge, origine présumée par patronyme, code postal, parcours scolaire (public vs privé). Rapport d'audit archivé Object Storage OVH, présentable en cas de contrôle CNIL ou EU AI Office.

#(f) Audit annuel obligatoire + surveillance post-commercialisation (articles 17, 72)

L'article 17 impose un système de gestion de la qualité incluant un audit interne. L'article 72 ajoute pour les fournisseurs une surveillance post-commercialisation continue avec retour de signal terrain (incidents, biais détectés en production, retours déployeurs ETI). En pratique pour un ATS : revue annuelle complète au mois N+12 du go-live, plus un monitoring continu via tableau de bord conformité. Inclus dans le forfait annuel CAIO externalisé Nehos ou facturable en mission ponctuelle.

#(g) Journalisation immuable (article 12)

Log de chaque décision IA : horodatage, identifiant candidat anonymisé, identifiant offre, version du modèle, score brut, score corrigé éventuel après supervision humaine, override recruteur le cas échéant. Conservation 6 mois AI Act minimum, durée alignée avec l'obligation RGPD (2 ans typiquement post-traitement candidat). Object Storage OVH avec hash SHA-256. Voir la supervision humaine IA article 14.

#Chapitre 4 — Outils d'audit biais opérationnels : Aequitas, Fairlearn, IBM AIF360, LIME/SHAP

L'audit biais est l'obligation la plus visible et la plus tangible. Quatre outils open source dominent les missions Nehos en 2024-2026.

#Aequitas (Carnegie Mellon / DSSG University of Chicago)

Le toolkit Aequitas, développé initialement par le Data Science for Social Good Center de l'université de Chicago (et l'équipe Carnegie Mellon dans sa lignée), propose une analyse multidimensionnelle de l'équité algorithmique. Il calcule par groupe protégé (genre, âge tranches, origine présumée, code postal) les métriques classiques : True Positive Rate (TPR), False Positive Rate (FPR), Positive Predictive Value (PPV), False Discovery Rate, statistical parity. Le dashboard de comparaison permet de voir d'un coup d'œil si un groupe est systématiquement défavorisé. Idéal pour les rapports périodiques destinés à un Compliance Officer, à un comité éthique IA ou à la CNIL en cas de contrôle. Chez Nehos, nous l'utilisons en routine trimestrielle pour les ATS HR tech sur les axes genre, âge tranches, origine présumée par patronyme et code postal. Lien : aequitas.dssg.io.

#Fairlearn (Microsoft Research)

Fairlearn est une bibliothèque Python open source publiée par Microsoft Research. Elle propose des métriques de fairness (demographic parity, equalized odds, equal opportunity) directement intégrables dans un pipeline scikit-learn, et des algorithmes d'atténuation des biais (reduction, post-processing, threshold optimization). Pour une scale-up HR tech, l'intégration Fairlearn dans le pipeline ML interne est la voie pragmatique : tests de fairness en CI/CD, alerte si une métrique dégrade au-delà d'un seuil, ré-entraînement avec algo d'atténuation. Nehos l'intègre systématiquement en MLOps ATS. Voir le glossaire MLOps. Lien : fairlearn.org.

#IBM AI Fairness 360 (IBM Research)

IBM AI Fairness 360 (AIF360) est une bibliothèque open source plus exhaustive — 70+ métriques de fairness et 10+ algorithmes de mitigation. Avantages : couverture plus large que Fairlearn, support de plusieurs frameworks ML (scikit-learn, TensorFlow, PyTorch). Utilisation typique : audit approfondi semestriel ou annuel quand Fairlearn (en routine) signale une anomalie. AIF360 sert alors d'outil de diagnostic croisé. Nous l'utilisons typiquement en mission d'audit indépendant. Lien : aif360.res.ibm.com.

#Explainable AI : LIME et SHAP

L'article 14 AI Act et l'article 22 RGPD imposent indirectement l'explicabilité des décisions IA. Deux bibliothèques dominent. LIME (Local Interpretable Model-agnostic Explanations, Ribeiro 2016) génère une explication locale par décision : pour ce candidat précis, voici les variables qui ont pesé sur le score (positivement ou négativement). SHAP (SHapley Additive exPlanations, Lundberg 2017) repose sur les valeurs de Shapley issues de la théorie des jeux et offre une cohérence mathématique supérieure pour additionner les contributions. Pour un ATS, l'interface recruteur doit afficher pour chaque candidat la liste des 5-7 variables qui ont influencé le score, idéalement via SHAP — c'est ce qui permet au recruteur d'exercer une supervision humaine effective au sens article 14. Voir le glossaire MLOps et le glossaire LLM observability.

#Méthode Nehos : combiner les quatre

Notre cadre type ATS combine les quatre outils. Fairlearn en pipeline de développement (tests fairness en CI/CD à chaque release). Aequitas en reporting trimestriel (rapport Compliance Officer / CNIL-ready). IBM AIF360 en audit semestriel ou annuel approfondi (diagnostic croisé). SHAP en interface recruteur (explicabilité par décision). Chaque outil a son rôle, aucun n'est redondant. Voir la page sur le service Conformité AI Act et la méthode AI Act Compliance Nehos™.

#Chapitre 5 — Articulation AI Act + RGPD article 22 + Convention 108+ + EU AI Office

Un ATS de recrutement ne relève pas que de l'AI Act. Il croise au moins quatre autres régimes ou autorités. La cohérence de l'articulation est l'enjeu opérationnel central.

#Article 22 RGPD : la pierre angulaire

L'article 22 du RGPD (en vigueur depuis 2018) interdit, sauf exceptions, qu'une personne soit soumise à une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou significatifs. Pour un ATS, cela impose trois choses. Premièrement, la décision finale ne peut pas être 100 % automatisée : un humain doit intervenir effectivement, pas seulement en théorie. Deuxièmement, le candidat doit pouvoir demander une intervention humaine, exprimer son point de vue et contester la décision. Troisièmement, la transparence sur l'existence du traitement automatisé est obligatoire dès l'information du candidat (article 13 RGPD). L'article 22 RGPD et l'article 14 AI Act se renforcent mutuellement : la supervision humaine outillée demandée par l'AI Act répond à l'exigence de non-automatisation pure du RGPD.

#Convention 108+ du Conseil de l'Europe

La Convention 108+ (modernisée 2018) du Conseil de l'Europe protège les personnes à l'égard du traitement automatisé des données à caractère personnel. Son article 9 reconnaît un droit à ne pas être soumis à une décision purement automatisée significative et un droit à un examen humain. Elle s'applique aux 47 États signataires (UE + États tiers européens). Pour une scale-up HR tech avec ambitions internationales (UK, Suisse, Norvège, Israël), c'est un texte de référence parallèle au RGPD.

#EU AI Office et coordination EDPB

L'EU AI Office (DG CNECT à la Commission européenne) coordonne l'application de l'AI Act au niveau européen, publie des guidelines transversales (notamment sur la classification, la documentation Annexe IV, les pratiques interdites). En France, la CNIL est l'autorité de contrôle principale, en articulation avec l'EDPB (European Data Protection Board) pour les positions communes sur l'articulation AI Act / RGPD. Pour un ATS, l'interlocuteur de premier ressort en cas de contrôle est la CNIL, avec remontée possible vers l'EU AI Office pour les cas transfrontaliers (cas Workday d'avril 2026 : décision EU AI Office relayée par les autorités nationales). Voir le glossaire EDPB.

#Comment éviter de démultiplier les comités

La réponse Nehos : un comité conformité numérique unique mensuel, transversal — direction produit / DRH, juridique, DSI, RSSI, DPO, CAIO. Un registre intégré avec entrée par système IA et tags AI Act / RGPD / autres. Une DPIA fusionnée article 35 RGPD + article 27 AI Act évite le doublon documentaire. Une mention de transparence unique satisfait les articles 13 RGPD et 13 AI Act. Voir le guide pilier AI Act checklist complète et le guide RGAA collectivités pour les autres standards conformité.

#Chapitre 6 — Méthode Nehos mise en conformité ATS : 5 phases sur 16 semaines

Voici la méthode opérationnelle Nehos pour mettre un ATS HR tech en conformité AI Act bout-en-bout en 16 semaines. Le phasage suppose une scale-up HR tech 80-200 collaborateurs avec un ATS en production ou une DRH d'ETI déployant un ATS tiers. Pour une grosse plateforme multi-modules (Workday-like), il faut allonger à 24-32 semaines.

#Phase 1 — Cadrage et inventaire ATS (semaines 1-2)

Objectif : cartographier exhaustivement les composants IA de l'ATS et désigner la gouvernance. Activités : ateliers produit/tech pour lister tous les modules IA (scoring, matching, parsing, chatbot, ranking, prédictif), classification Annexe III formelle de chaque module, désignation du CAIO (interne ou externalisé Nehos) avec lettre de mission signée par le dirigeant, désignation du binôme DPO, calendrier comité IA mensuel, ouverture du registre AI Act propriétaire Nehos. Livrable : référentiel stack IA ATS validé, matrice de classification Annexe III argumentée, registre AI Act initialisé. Durée 8-10 jours ouvrés cumulés.

#Phase 2 — Audit biais initial (semaines 3-6)

Objectif : produire un état des lieux biais par modèle ATS. Activités : extraction des datasets d'entraînement et de validation, audit Aequitas multidimensionnel (genre, âge tranches, origine présumée, code postal, parcours scolaire), intégration Fairlearn dans le pipeline ML existant pour les tests de fairness en CI/CD, audit approfondi IBM AIF360 sur les modules critiques (scoring, matching), intégration SHAP dans l'interface recruteur pour l'explicabilité. Livrable : rapport audit biais initial 30-60 pages, plan de remédiation priorisé, pipeline ML augmenté Fairlearn. Durée 15-20 jours ouvrés cumulés répartis sur 4 semaines.

#Phase 3 — Documentation technique Annexe IV (semaines 5-10)

Objectif : produire la documentation Annexe IV exigible. Activités : rédaction des model cards standardisées Nehos pour chaque modèle ATS haut risque, documentation des datasets (origine, taille, gouvernance, biais connus, représentativité, mesures de mitigation), métriques de performance par sous-groupe (genre, âge tranches), description de la supervision humaine prévue côté produit, description de la journalisation, DPIA articulée article 35 RGPD + article 27 AI Act. Livrable : documentation Annexe IV complète par modèle, archivée Object Storage OVH avec hash SHA-256, DPIA finalisée. Durée 20-30 jours ouvrés cumulés répartis sur 6 semaines, chevauchement partiel avec la phase 2.

#Phase 4 — Supervision humaine outillée et transparence candidat (semaines 9-14)

Objectif : implémenter dans le produit ATS la supervision humaine effective et la transparence candidat. Activités : refonte de l'interface recruteur avec affichage SHAP des variables ayant influencé le score, bouton override systématique avec log immuable, formation des recruteurs (4-8 heures par profil), rédaction et déploiement des mentions de transparence dans la confirmation de candidature, intégration produit du droit à un examen humain article 22 RGPD, mise en place des workflows d'exercice de ce droit côté candidat et côté déployeur ETI. Livrable : produit ATS conforme articles 13 et 14 AI Act + article 22 RGPD, équipes formées, mentions juridiquement validées. Durée 25-35 jours ouvrés cumulés répartis sur 6 semaines.

#Phase 5 — Audit indépendant et plan d'amélioration continue (semaines 14-16)

Objectif : valider la conformité par un tiers et organiser la revue annuelle. Activités : audit indépendant par cabinet tiers (Nehos en mission ponctuelle ou cabinet partenaire), production de la déclaration UE de conformité article 47 si statut fournisseur, marquage CE article 48 si applicable, calendrier de la revue annuelle obligatoire, plan de monitoring continu (dashboard conformité, fréquence audits biais répétés, KPIs supervision humaine). Livrable : rapport audit indépendant favorable, déclaration UE de conformité, plan année N+1. Durée 8-12 jours ouvrés cumulés répartis sur 3 semaines.

Total : 16 semaines effectives, environ 80-110 jours ouvrés Nehos cumulés selon scope. Tarif forfaitaire indicatif Nehos : 110 000 à 180 000 € HT selon volume de modèles IA dans l'ATS et taille du parc. Voir la Méthode AI Act Compliance Nehos™ déposée à l'INPI et le service Conformité Nehos 7 standards.

#Chapitre 7 — Cas concret : scale-up HR tech 80 000 candidats / an, 16 semaines avant échéance août 2026

#Contexte client

Scale-up HR tech française série B (NDA), 140 collaborateurs en avril 2026, environ 80 000 candidats par an traités par leur ATS commercialisé auprès de 220 ETI clientes (effectif client moyen 600-1500 collaborateurs). Stack IA principale : module de scoring CV propriétaire (modèle interne fine-tuné depuis 2021), matching offre-candidat (modèle interne), chatbot de qualification (LLM tiers via API), parsing CV (modèle NLP open source augmenté). Mandat reçu mi-avril 2026 dans la foulée du cas Workday : mise en conformité AI Act avant le 1er août 2026, soit 16 semaines effectives. Enjeu business direct : trois appels d'offres ETI cotées en cours, tous exigeant la déclaration UE de conformité AI Act.

#Déroulé mission Nehos

Semaines 1-2 (phase 1). Cadrage en deux ateliers de 4 heures avec le CTO, la Head of Product, la Compliance Officer interne fraîchement nommée et le DPO externe. Inventaire de 7 modules IA actifs en production. Classification Annexe III : 6 modules haut risque, 1 module risque limité (chatbot de qualification quand purement informationnel). Désignation Compliance Officer IA interne (mi-temps) + appui CAIO externalisé Nehos (jusqu'au mois N+18). Registre AI Act ouvert et alimenté.

Semaines 3-6 (phase 2). Audit biais Aequitas sur le scoring CV : écart de 14 points moyen défavorable aux candidats > 50 ans (parallèle frappant avec le cas Workday), écart 8 points défavorable aux candidats issus de cursus public en métiers tech. Intégration Fairlearn dans le pipeline ML interne avec tests de fairness en CI/CD à chaque release. Plan de remédiation : ré-entraînement avec algo de mitigation Fairlearn, rééquilibrage du dataset d'entraînement (sur-échantillonnage > 50 ans et cursus public). Audit IBM AIF360 approfondi sur le scoring CV. Intégration SHAP dans l'interface recruteur (en prototype).

Semaines 5-10 (phase 3 chevauchée). Production des model cards Annexe IV pour les 6 modules haut risque. DPIA fusionnée RGPD + AI Act validée par le DPO et l'avocat partenaire (Bird & Bird). Archivage Object Storage OVH Pays-Bas avec hash SHA-256.

Semaines 9-14 (phase 4). Refonte interface recruteur : SHAP en production avec affichage des 6 variables ayant influencé chaque score, bouton override systématique tracé. Formation de l'équipe Customer Success (8 collaborateurs, 6 heures chacun) pour qu'ils puissent former à leur tour les recruteurs côté ETI cliente. Rédaction mention de transparence type, livrée en template directement intégré au produit. Workflow droit à un examen humain article 22 RGPD côté candidat (formulaire dédié) et côté déployeur ETI (interface recruteur).

Semaines 14-16 (phase 5). Audit indépendant croisé par cabinet partenaire Nehos. Déclaration UE de conformité produite et signée par le CEO. Plan année N+1 (audit biais trimestriel, revue annuelle complète juillet 2027). Communication aux 220 ETI clientes le 25 juillet 2026, 7 jours avant l'échéance.

#Résultats mesurés à novembre 2026 (mois N+6)

Conformité atteinte avant le 1er août 2026. Aucun client ETI perdu sur audit AI Act. Trois appels d'offres ETI cotées remportés grâce à la production rapide de la déclaration UE de conformité. Écart de scoring après remédiation Fairlearn : ramené à 3 points sur l'axe > 50 ans, 2 points sur l'axe cursus public (en dessous du seuil d'alerte). Investissement total mission Nehos : 138 000 € HT (forfait fixe). CA annuel préservé évalué à plus de 1,2 M€ par le COO du client (scénario contre-factuel : perte ETI cotées + arrêt CNIL).

Voir le cas client détaillé scale-up HR tech ATS AI Act 16 semaines et la page secteur RH & formation Nehos.

#Chapitre 8 — Sanctions, perte de clients ETI et risques réputationnels

#Trois niveaux de sanctions financières AI Act

Le Règlement gradue les sanctions à l'article 99. Maximum : 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel — le plus élevé des deux — pour les pratiques interdites de l'article 5 (rare en recrutement, sauf scoring émotionnel sur le lieu de travail). Intermédiaire : 15 millions d'euros ou 3 % du CA mondial pour les manquements aux obligations sur les systèmes haut risque (articles 8 à 15). C'est le niveau le plus probable pour un défaut de conformité ATS — c'est ce qu'a payé Workday. Minimum : 7,5 millions d'euros ou 1,5 % du CA mondial pour fausses informations transmises aux autorités. Pour les PME et startups, plafonnement au montant le plus faible des deux options.

#Cas Workday avril 2026 : la jurisprudence fondatrice

La décision EU AI Office d'avril 2026 contre Workday a fixé plusieurs lignes claires. Premièrement, la documentation Annexe IV incomplète sur les datasets d'entraînement est un manquement caractérisé, non rattrapable par des promesses post-contrôle. Deuxièmement, la supervision humaine théorique mais non outillée chez les déployeurs ETI est imputable au fournisseur (responsabilité solidaire sur la chaîne). Troisièmement, l'audit biais répété n'est pas une option : son absence est elle-même un manquement. Quatrièmement, le calcul de l'amende a tenu compte du caractère systémique du biais (sous-représentation > 50 ans sur l'ensemble du parc déployeur) et non d'un défaut isolé. Cette décision a immédiatement fait jurisprudence et accéléré les démarches de conformité chez les autres éditeurs ATS européens et nord-américains.

#Perte de clients ETI : le risque commercial direct

L'effet le plus immédiat n'est pas l'amende elle-même mais la perte de clients. Plus de 60 % des appels d'offres ATS lancés par des ETI cotées en mai 2026 exigeaient une déclaration UE de conformité AI Act. Plusieurs scale-ups HR tech françaises ont perdu des appels d'offres entre mai et juillet 2026 par incapacité à produire ces documents en temps voulu. À l'inverse, les éditeurs ayant anticipé (déclaration UE de conformité prête fin juin 2026, audit biais trimestriel publié, model cards Annexe IV disponibles sous NDA) ont gagné des parts de marché significatives sur cette fenêtre. Le sujet conformité AI Act est devenu, pour un ATS, un argument commercial direct au même titre que la sécurité ou la conformité RGPD.

#Risques réputationnels et collectifs

Quatre risques additionnels. Premier : publication de la décision de sanction au registre public CNIL et EU AI Office, avec impact réputationnel direct et durable. Deuxième : recours collectifs possibles des candidats lésés (la loi Justice Numérique 2025 a élargi les actions de groupe). Troisième : couverture média défavorable — le cas Workday a été couvert par toute la presse économique européenne, jusqu'à devenir une référence dans les comités exécutifs. Quatrième : impact sur les talents tech recrutés par l'éditeur HR tech lui-même (un développeur qui voit son employeur faire la une pour biais discriminatoires démissionne plus vite).

#Plan de réponse Nehos en cas de contrôle imminent

Quatre réflexes immédiats. (1) Activer votre cabinet d'avocats partenaire (Bird & Bird, De Gaulle Fleurance, Gide ou équivalent spécialisé tech / IA). (2) Mobiliser votre CAIO ou Compliance Officer IA pour rassembler la documentation Annexe IV existante, l'argumentaire de classification, les derniers rapports d'audit biais. (3) Geler les modifications du système IA concerné jusqu'à cadrage juridique. (4) Contacter Nehos en mode urgence — intervention 48 à 72 h pour cadrage, 2 à 4 semaines pour production des éléments techniques manquants. Voir le service Conformité AI Act dédié et l'audit conformité AI Act forfait fixe.

#Outils Nehos en aide directe

Outil scoring AI Act gratuit pour pré-classifier votre ATS en 5 minutes : /outils/scoring-ai-act. Audit ATS AI Act forfait fixe 12 000 € HT sur 5 jours : /agence-ia/audit-conformite-ai-act. Mise en conformité bout-en-bout 110-180 k€ HT sur 16 semaines pour un ATS HR tech : /services/conformite/ai-act. Formation Qualiopi Méthode AI Act Compliance Nehos™ n° 76311234500031, 2 400 € HT par personne, finançable OPCO : /formations/methode-ai-act-compliance-nehos-qualiopi. RDV de cadrage 60 minutes gratuit avec Foued Cherni ou Zoé Assié via le lien Calendly en fin de page.