ATS recrutement et AI Act : le guide pilier de la conformité haut risque

#Chapitre 1 — ATS et IA dans le recrutement : adoption et biais documentés

La grande majorité des entreprises de taille significative utilisent aujourd'hui un ATS. Côté éditeurs, la concurrence s'est concentrée autour d'une douzaine de plateformes dominantes : Workday Recruiting, SmartRecruiters, iCIMS, Greenhouse, Lever, Teamtailor, BambooHR, Flatchr, Welcome Kit, plus les solutions intégrées aux suites HCM (SAP SuccessFactors, Oracle HCM, Cornerstone).

Presque toutes embarquent désormais au moins une couche IA, souvent plusieurs : parsing de CV par NLP, scoring automatique, matching offre/candidat, ranking de pré-shortlist, chatbot conversationnel, recommandation d'offres, prédiction de turnover.

#Une adoption rapide depuis 2023

L'arrivée des LLM en 2023 a accéléré le mouvement. De nombreux éditeurs HR tech ont intégré un modèle de fondation (OpenAI, Anthropic, Mistral ou propriétaire) dans leur pipeline de scoring de CV ou de génération de retours aux candidats, et les chatbots de recrutement se sont banalisés.

La conversation candidat-machine est devenue normale : un postulant à une ETI interagit avec plusieurs systèmes IA pendant un parcours de candidature classique — chatbot d'accueil, scoring de CV, ranking interne. Ces systèmes sont désormais, par défaut, classés haut risque.

#Biais documentés : un dossier qui s'épaissit depuis 2018

Les biais des ATS sont étudiés depuis longtemps. L'affaire Amazon de 2018 — l'outil de scoring interne qui pénalisait les CV contenant le mot « femme » ou mentionnant des universités féminines, abandonné en interne — a ouvert la voie. Depuis, la littérature s'est étoffée : des travaux universitaires ont montré, par exemple, que des algorithmes de placement publicitaire pour des offres d'emploi pouvaient exposer moins de femmes à des annonces de postes très rémunérés, et que des écarts de traitement apparaissaient selon le seul prénom à CV identique. Ces analyses ont été étendues aux modèles de fondation utilisés en NLP RH.

Un écart de scoring selon l'âge, le genre ou l'origine supposée à profil équivalent est exactement le type de défaut qu'un audit de biais doit détecter. Une documentation Annexe IV incomplète sur les datasets d'entraînement et une supervision humaine théorique, non outillée, chez les déployeurs sont les deux autres faiblesses les plus fréquentes.

Voir le glossaire AI Act pour le détail du Règlement et la page secteur RH & formation Nehos.

#Pourquoi les biais sont structurels, pas accidentels

Un ATS apprend sur des données historiques de recrutement. Si une entreprise a, par le passé, peu embauché de femmes en métiers techniques, peu de candidats de plus de 50 ans en commerce, peu de profils issus de l'enseignement public dans certaines fonctions — les datasets reflètent ces choix.

Le modèle apprend à reproduire la décision passée. Sans audit explicite et sans rééquilibrage, le biais devient une « caractéristique apprise » du système. C'est pour cette raison que l'AI Act exige des datasets représentatifs et un audit biais documenté pour les systèmes haut risque (article 10).

#Chapitre 2 — AI Act Annexe III : recrutement classé haut risque automatique

L'Annexe III du Règlement (UE) 2024/1689 liste les domaines pour lesquels un système IA est automatiquement classé haut risque. Le point 4 vise explicitement « l'emploi, la gestion des travailleurs et l'accès au travail indépendant », et inclut deux sous-catégories : (a) les systèmes destinés à être utilisés pour le recrutement ou la sélection de personnes physiques, en particulier pour publier des offres d'emploi ciblées, analyser et filtrer les candidatures, évaluer les candidats ; (b) les systèmes destinés à être utilisés pour prendre des décisions affectant les conditions de travail, la promotion ou le licenciement, attribuer des tâches sur la base du comportement individuel ou de traits de personnalité, surveiller et évaluer les performances et le comportement.

#Pas d'appréciation discrétionnaire

L'erreur courante chez les CTO HR tech consiste à argumenter que leur ATS « ne décide pas vraiment » — il propose seulement une short-list au recruteur, lequel décide en dernier ressort. Cet argument ne tient pas devant l'Annexe III, qui classe haut risque les systèmes destinés à « analyser et filtrer » les candidatures, pas seulement à les décider.

Dès qu'un score, un ranking, un matching ou un filtre IA est appliqué à un candidat, le système entre dans le périmètre haut risque, même si la décision finale reste humaine. L'article 6 paragraphe 3 prévoit une exception très étroite (système purement préparatoire à une tâche limitée) qui ne s'applique quasi jamais à un ATS commercial.

#Quels modules ATS sont concrètement haut risque ?

Pour un ATS typique vendu en B2B SaaS, sont haut risque par défaut au moins ces modules : (1) le parsing CV par NLP (extraction structurée de l'expérience, formation, compétences) dès qu'il alimente une décision de tri ; (2) le scoring CV automatique en regard d'une offre ; (3) le matching offre-candidat (recommandation aux recruteurs) ; (4) le ranking interne entre candidats sur une short-list ; (5) le chatbot de qualification quand il filtre l'accès à l'étape suivante ; (6) les modèles prédictifs de turnover ou de fit culturel s'ils sont utilisés pour orienter le choix.

Les modules de pure visualisation, d'archivage ou de communication ne sont pas concernés. La frontière passe au moment précis où une sortie IA influence le sort d'un candidat.

#Statut fournisseur vs déployeur : qui est responsable de quoi ?

L'article 3 distingue le fournisseur (qui met le système sur le marché) du déployeur (qui l'utilise en interne). Pour un éditeur HR tech français qui vend son ATS aux ETI, c'est le statut de fournisseur qui s'applique : évaluation de conformité ex ante article 43, déclaration UE de conformité article 47, marquage CE article 48, documentation Annexe IV complète, journalisation article 12, surveillance post-commercialisation article 72.

Pour une DRH d'ETI qui déploie l'ATS d'un éditeur tiers, c'est le statut de déployeur : AIIA (AI Impact Assessment) article 27 pour certains acteurs, supervision humaine effective, mention de transparence aux candidats, conservation des logs côté ATS. Les deux acteurs sont co-responsables sur la chaîne de traitement, mais avec des obligations différentes. Voir l'Annexe III glossaire Nehos et le glossaire AI Act intégral.

#Conséquence directe sur les appels d'offres

De plus en plus d'appels d'offres ATS lancés par des ETI cotées et de grands comptes incluent une clause demandant une déclaration UE de conformité AI Act, la documentation Annexe IV résumée et un rapport d'audit de biais récent. Un éditeur HR tech qui ne peut pas produire ces éléments risque de perdre l'appel d'offres avant la démo produit.

Le sujet est passé de purement juridique à directement commercial. Voir le service Conformité AI Act dédié Nehos et le service Agents IA conformité by design.

#Chapitre 3 — Obligations renforcées pour un ATS classé haut risque

Pour un système haut risque comme un ATS, l'AI Act impose une superposition d'obligations articulées entre gouvernance, données, technique, processus et contrôle. Voici la lecture opérationnelle pour un ATS.

#(a) Gouvernance binôme CAIO + DPO

Un éditeur HR tech ou une DRH d'ETI doit désigner formellement un responsable IA. Pour un fournisseur, c'est typiquement un Chief AI Officer interne qui pilote la conformité produit. Pour un déployeur ETI, c'est plus souvent un Compliance Officer IA rattaché à la direction juridique ou à la DRH, voire un CAIO externalisé pour une période donnée.

Le binôme avec le DPO est indispensable : l'ATS traite des données personnelles de candidats (CV, scores, communications), ce qui déclenche le RGPD en parallèle de l'AI Act. CAIO et DPO siègent ensemble dans un comité IA mensuel transversal — produit, juridique, RH, DSI, RSSI. Voir le glossaire CAIO Chief AI Officer et le glossaire DPO Data Protection Officer.

#(b) Documentation technique Annexe IV par modèle

Pour chaque modèle IA embarqué dans l'ATS (scoring, matching, parsing, chatbot), une fiche model card conforme à l'Annexe IV est exigée. Contenu minimal : description du système et de l'usage prévu, architecture et composants, instructions d'utilisation pour le déployeur ETI, modifications apportées et versioning, description détaillée des données d'entraînement (origine, taille, gouvernance, biais connus, représentativité), choix de conception et hyperparamètres, métriques de performance et précision par sous-groupe, mesures de robustesse et cybersécurité, supervision humaine prévue, journalisation.

Nous formalisons ces éléments sous forme de model cards standardisées, archivées chez un hébergeur européen avec un hash SHA-256 pour garantir l'intégrité. Voir l'Annexe IV glossaire Nehos.

#(c) Supervision humaine effective et outillée (article 14)

Pour un ATS, la supervision humaine théorique ne suffit pas. Quatre exigences concrètes. Premièrement, le recruteur doit comprendre les capacités et limites du système : formation de 4 à 8 heures par profil recruteur, documentation accessible dans l'outil. Deuxièmement, il doit rester conscient du biais d'automatisation — pas de validation par défaut, pas de pré-cochage des cases.

Troisièmement, il doit pouvoir interpréter la sortie : explicabilité LIME ou SHAP intégrée à l'interface recruteur, indiquant les variables qui ont pesé sur le score. Quatrièmement, il doit pouvoir override la sortie IA en un clic, override tracé dans le log immuable. Le KPI Nehos cible : taux d'override mesurable, délai moyen de supervision affiché.

#(d) Transparence candidat (article 13 + article 22 RGPD)

La mention de transparence est obligatoire dès la confirmation de candidature. Formulation type : « Votre candidature sera traitée par un système IA d'analyse et de scoring CV. Vous disposez d'un droit à un examen humain avant toute décision finale, conformément à l'article 22 du RGPD et à l'article 13 du Règlement (UE) 2024/1689.

Pour exercer ce droit, contactez [coordonnées]. » À faire valider juridiquement par un avocat ou le DPO. Pour les éditeurs HR tech, cette mention doit être proposée en template directement intégré au produit, livré prêt à l'emploi au déployeur ETI.

#(e) Audit biais documenté et répété (article 10)

L'article 10 exige des datasets pertinents, représentatifs, exempts d'erreurs autant que possible et complets. Pour un ATS, cela se traduit par un audit de biais multidimensionnel répété — voir le chapitre 4 pour les outils. Fréquence que nous préconisons : trimestrielle au minimum, mensuelle pour les modules à fort volume de candidats.

Biais à surveiller : genre, âge, origine présumée par patronyme, code postal, parcours scolaire (public vs privé). Rapport d'audit archivé, présentable en cas de contrôle CNIL ou EU AI Office.

#(f) Audit annuel obligatoire + surveillance post-commercialisation (articles 17, 72)

L'article 17 impose un système de gestion de la qualité incluant un audit interne. L'article 72 ajoute pour les fournisseurs une surveillance post-commercialisation continue avec retour de signal terrain (incidents, biais détectés en production, retours des déployeurs ETI). En pratique pour un ATS : revue annuelle complète, plus un monitoring continu via un tableau de bord de conformité. Peut être assuré en mission ponctuelle ou dans le cadre d'un accompagnement CAIO externalisé.

#(g) Journalisation immuable (article 12)

Log de chaque décision IA : horodatage, identifiant candidat anonymisé, identifiant offre, version du modèle, score brut, score corrigé éventuel après supervision humaine, override recruteur le cas échéant. Durée de conservation : au moins 6 mois selon l'AI Act, à aligner avec les durées du RGPD. Stockage chez un hébergeur européen avec hash SHA-256. Voir la supervision humaine IA article 14.

#Chapitre 4 — Outils d'audit biais opérationnels : Aequitas, Fairlearn, IBM AIF360, LIME/SHAP

L'audit de biais est l'obligation la plus visible et la plus tangible. Quatre outils open source reviennent le plus souvent dans nos missions.

#Aequitas (Carnegie Mellon / DSSG University of Chicago)

Le toolkit Aequitas, développé initialement par le Data Science for Social Good Center de l'université de Chicago (et l'équipe Carnegie Mellon dans sa lignée), propose une analyse multidimensionnelle de l'équité algorithmique. Il calcule par groupe protégé (genre, tranches d'âge, origine présumée, code postal) les métriques classiques : True Positive Rate (TPR), False Positive Rate (FPR), Positive Predictive Value (PPV), False Discovery Rate, statistical parity.

Le dashboard de comparaison permet de voir d'un coup d'œil si un groupe est systématiquement défavorisé. Idéal pour les rapports périodiques destinés à un Compliance Officer, à un comité éthique IA ou à la CNIL en cas de contrôle. Nous le recommandons en reporting trimestriel pour les ATS, sur les axes genre, tranches d'âge, origine présumée par patronyme et code postal. Lien : aequitas.dssg.io.

#Fairlearn (Microsoft Research)

Fairlearn est une bibliothèque Python open source publiée par Microsoft Research. Elle propose des métriques de fairness (demographic parity, equalized odds, equal opportunity) directement intégrables dans un pipeline scikit-learn, et des algorithmes d'atténuation des biais (reduction, post-processing, threshold optimization).

Pour une scale-up HR tech, l'intégration Fairlearn dans le pipeline ML interne est la voie pragmatique : tests de fairness en CI/CD, alerte si une métrique dégrade au-delà d'un seuil, ré-entraînement avec algo d'atténuation. Nehos l'intègre systématiquement en MLOps ATS. Voir le glossaire MLOps. Lien : fairlearn.org.

#IBM AI Fairness 360 (IBM Research)

IBM AI Fairness 360 (AIF360) est une bibliothèque open source plus exhaustive — 70+ métriques de fairness et 10+ algorithmes de mitigation. Avantages : couverture plus large que Fairlearn, support de plusieurs frameworks ML (scikit-learn, TensorFlow, PyTorch). Utilisation typique : audit approfondi semestriel ou annuel quand Fairlearn (en routine) signale une anomalie.

AIF360 sert alors d'outil de diagnostic croisé. Nous l'utilisons typiquement en mission d'audit indépendant. Lien : aif360.res.ibm.com.

#Explainable AI : LIME et SHAP

L'article 14 AI Act et l'article 22 RGPD imposent indirectement l'explicabilité des décisions IA. Deux bibliothèques dominent. LIME (Local Interpretable Model-agnostic Explanations, Ribeiro 2016) génère une explication locale par décision : pour ce candidat précis, voici les variables qui ont pesé sur le score (positivement ou négativement).

SHAP (SHapley Additive exPlanations, Lundberg 2017) repose sur les valeurs de Shapley issues de la théorie des jeux et offre une cohérence mathématique supérieure pour additionner les contributions. Pour un ATS, l'interface recruteur doit afficher pour chaque candidat la liste des 5-7 variables qui ont influencé le score, idéalement via SHAP — c'est ce qui permet au recruteur d'exercer une supervision humaine effective au sens article 14. Voir le glossaire MLOps et le glossaire LLM observability.

#Méthode Nehos : combiner les quatre

Notre cadre type pour un ATS combine les quatre outils. Fairlearn en pipeline de développement (tests de fairness en CI/CD à chaque release). Aequitas en reporting trimestriel (rapport pour le Compliance Officer, prêt pour la CNIL). IBM AIF360 en audit approfondi semestriel ou annuel (diagnostic croisé).

SHAP dans l'interface recruteur (explicabilité par décision). Chaque outil a son rôle, aucun n'est redondant. Voir la page sur le service Conformité AI Act et la méthode AI Act Compliance Nehos™.

#Chapitre 5 — Articulation AI Act + RGPD article 22 + Convention 108+ + EU AI Office

Un ATS de recrutement ne relève pas que de l'AI Act. Il croise au moins quatre autres régimes ou autorités. La cohérence de l'articulation est l'enjeu opérationnel central.

#Article 22 RGPD : la pierre angulaire

L'article 22 du RGPD (en vigueur depuis 2018) interdit, sauf exceptions, qu'une personne soit soumise à une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou significatifs. Pour un ATS, cela impose trois choses. Premièrement, la décision finale ne peut pas être 100 % automatisée : un humain doit intervenir effectivement, pas seulement en théorie.

Deuxièmement, le candidat doit pouvoir demander une intervention humaine, exprimer son point de vue et contester la décision. Troisièmement, la transparence sur l'existence du traitement automatisé est obligatoire dès l'information du candidat (article 13 RGPD). L'article 22 RGPD et l'article 14 AI Act se renforcent mutuellement : la supervision humaine outillée demandée par l'AI Act répond à l'exigence de non-automatisation pure du RGPD.

#Convention 108+ du Conseil de l'Europe

La Convention 108+ (modernisée en 2018) du Conseil de l'Europe protège les personnes à l'égard du traitement automatisé des données à caractère personnel. Son article 9 reconnaît un droit à ne pas être soumis à une décision purement automatisée significative et un droit à un examen humain.

Elle s'applique aux États parties, au-delà de l'Union européenne. Pour une éditrice HR tech avec des ambitions internationales (UK, Suisse, Norvège), c'est un texte de référence parallèle au RGPD.

#EU AI Office et coordination EDPB

L'EU AI Office (DG CNECT à la Commission européenne) coordonne l'application de l'AI Act au niveau européen et publie des guidelines transversales (notamment sur la classification, la documentation Annexe IV, les pratiques interdites). En France, la CNIL est l'autorité de contrôle principale pour les données personnelles, en articulation avec l'EDPB (European Data Protection Board) pour les positions communes sur l'articulation AI Act / RGPD.

Pour un ATS, l'interlocuteur de premier ressort en cas de contrôle est la CNIL, avec remontée possible vers l'EU AI Office pour les cas transfrontaliers. Voir le glossaire EDPB.

#Comment éviter de démultiplier les comités

La réponse Nehos : un comité conformité numérique unique mensuel, transversal — direction produit / DRH, juridique, DSI, RSSI, DPO, CAIO. Un registre intégré avec entrée par système IA et tags AI Act / RGPD / autres. Une DPIA fusionnée article 35 RGPD + article 27 AI Act évite le doublon documentaire.

Une mention de transparence unique satisfait les articles 13 RGPD et 13 AI Act. Voir le guide pilier AI Act checklist complète et le guide RGAA collectivités pour les autres standards conformité.

#Chapitre 6 — Méthode Nehos de mise en conformité ATS : 5 phases

Voici la méthode opérationnelle que nous proposons pour mettre un ATS HR tech en conformité AI Act de bout en bout, en 16 semaines à titre indicatif. Ce phasage suppose une éditrice HR tech de taille moyenne avec un ATS en production, ou une DRH d'ETI déployant un ATS tiers. Pour une grosse plateforme multi-modules, il faut prévoir un calendrier plus long, confirmé après l'audit initial.

#Phase 1 — Cadrage et inventaire ATS (semaines 1-2)

Objectif : cartographier exhaustivement les composants IA de l'ATS et désigner la gouvernance. Activités : ateliers produit/tech pour lister tous les modules IA (scoring, matching, parsing, chatbot, ranking, prédictif), classification Annexe III formelle de chaque module, désignation du CAIO (interne ou externalisé Nehos) avec lettre de mission signée par le dirigeant, désignation du binôme DPO, calendrier comité IA mensuel, ouverture du registre AI Act propriétaire Nehos.

Livrable : référentiel stack IA ATS validé, matrice de classification Annexe III argumentée, registre AI Act initialisé. Durée 8-10 jours ouvrés cumulés.

#Phase 2 — Audit biais initial (semaines 3-6)

Objectif : produire un état des lieux biais par modèle ATS. Activités : extraction des datasets d'entraînement et de validation, audit Aequitas multidimensionnel (genre, âge tranches, origine présumée, code postal, parcours scolaire), intégration Fairlearn dans le pipeline ML existant pour les tests de fairness en CI/CD, audit approfondi IBM AIF360 sur les modules critiques (scoring, matching), intégration SHAP dans l'interface recruteur pour l'explicabilité.

Livrable : rapport audit biais initial 30-60 pages, plan de remédiation priorisé, pipeline ML augmenté Fairlearn. Durée 15-20 jours ouvrés cumulés répartis sur 4 semaines.

#Phase 3 — Documentation technique Annexe IV (semaines 5-10)

Objectif : produire la documentation Annexe IV exigible. Activités : rédaction des model cards standardisées Nehos pour chaque modèle ATS haut risque, documentation des datasets (origine, taille, gouvernance, biais connus, représentativité, mesures de mitigation), métriques de performance par sous-groupe (genre, âge tranches), description de la supervision humaine prévue côté produit, description de la journalisation, DPIA articulée article 35 RGPD + article 27 AI Act.

Livrable : documentation Annexe IV complète par modèle, archivée Object Storage OVH avec hash SHA-256, DPIA finalisée. Durée 20-30 jours ouvrés cumulés répartis sur 6 semaines, chevauchement partiel avec la phase 2.

#Phase 4 — Supervision humaine outillée et transparence candidat (semaines 9-14)

Objectif : implémenter dans le produit ATS la supervision humaine effective et la transparence candidat. Activités : refonte de l'interface recruteur avec affichage SHAP des variables ayant influencé le score, bouton override systématique avec log immuable, formation des recruteurs (4-8 heures par profil), rédaction et déploiement des mentions de transparence dans la confirmation de candidature, intégration produit du droit à un examen humain article 22 RGPD, mise en place des workflows d'exercice de ce droit côté candidat et côté déployeur ETI.

Livrable : produit ATS conforme articles 13 et 14 AI Act + article 22 RGPD, équipes formées, mentions juridiquement validées. Durée 25-35 jours ouvrés cumulés répartis sur 6 semaines.

#Phase 5 — Audit indépendant et plan d'amélioration continue (semaines 14-16)

Objectif : valider la conformité par un tiers et organiser la revue annuelle. Activités : audit indépendant par cabinet tiers (Nehos en mission ponctuelle ou cabinet partenaire), production de la déclaration UE de conformité article 47 si statut fournisseur, marquage CE article 48 si applicable, calendrier de la revue annuelle obligatoire, plan de monitoring continu (dashboard conformité, fréquence audits biais répétés, KPIs supervision humaine).

Livrable : rapport audit indépendant favorable, déclaration UE de conformité, plan année N+1. Durée 8-12 jours ouvrés cumulés répartis sur 3 semaines.

Total indicatif : 16 semaines, selon le périmètre. Le chiffrage est établi sur devis, en 48 h après un premier échange, en fonction du nombre de modèles IA dans l'ATS et de la taille du parc. Voir la Méthode AI Act Compliance Nehos™ et le service Conformité Nehos 7 standards.

#Chapitre 7 — Exemple de situation : un éditeur HR tech face à l'échéance d'août 2026

#Contexte (situation type)

Cette section décrit une situation type construite pour illustrer la démarche. Ce n'est pas un client réel et elle ne comporte aucun résultat chiffré. Un éditeur HR tech français commercialise un ATS auprès d'ETI. Sa stack IA : un module de scoring de CV propriétaire (modèle interne fine-tuné), un matching offre-candidat, un chatbot de qualification (LLM tiers via API) et un parsing de CV (modèle NLP open source augmenté).

Plusieurs clients ETI exigent désormais la déclaration UE de conformité AI Act dans leurs appels d'offres. L'enjeu : être conforme avant l'échéance du 2 août 2026 sans bloquer le delivery.

#Déroulé type

Semaines 1-2 (phase 1). Cadrage en ateliers avec le CTO, la Head of Product, un Compliance Officer interne et le DPO. Inventaire de tous les modules IA actifs en production. Classification Annexe III : les modules de scoring, de matching, de ranking et de parsing qui alimentent un tri sont haut risque ; un chatbot purement informatif relève du risque limité.

Désignation d'un Compliance Officer IA interne, avec appui possible d'un CAIO externalisé. Registre AI Act ouvert et alimenté.

Semaines 3-6 (phase 2). Audit de biais Aequitas sur le scoring de CV, par genre, tranche d'âge, cursus et code postal. Un écart défavorable à une catégorie de candidats, par exemple les plus de 50 ans, est typiquement ce que l'audit cherche à détecter. Intégration de Fairlearn dans le pipeline ML avec tests de fairness à chaque release.

Plan de remédiation : ré-entraînement avec un algorithme de mitigation, rééquilibrage du dataset d'entraînement. Audit approfondi IBM AIF360 sur le scoring. SHAP en prototype dans l'interface recruteur.

Semaines 5-10 (phase 3, en chevauchement). Production des model cards Annexe IV pour chaque module haut risque. DPIA fusionnée RGPD + AI Act validée par le DPO et un avocat. Archivage chez un hébergeur européen avec hash SHA-256.

Semaines 9-14 (phase 4). Refonte de l'interface recruteur : SHAP en production avec les variables ayant influencé chaque score, bouton d'override systématique et tracé. Formation de l'équipe Customer Success, qui forme à son tour les recruteurs côté ETI cliente. Mention de transparence type, livrée en template directement intégré au produit. Workflow du droit à un examen humain article 22 RGPD côté candidat (formulaire dédié) et côté déployeur ETI (interface recruteur).

Semaines 14-16 (phase 5). Audit indépendant croisé par un cabinet tiers. Déclaration UE de conformité produite et signée par le dirigeant. Plan de l'année suivante (audit de biais trimestriel, revue annuelle complète). Communication aux clients ETI avant l'échéance.

#Ce que l'on mesure

Les indicateurs se mesurent sur les chiffres réels du client : conformité atteinte à la date visée, appels d'offres pour lesquels la déclaration UE de conformité est exigée, écart de scoring entre groupes avant et après remédiation, délai de supervision humaine, taux d'override des recruteurs. Les valeurs de départ sont fixées pendant l'audit de biais initial.

Voir la page secteur RH & formation Nehos.

#Chapitre 8 — Sanctions, perte de clients ETI et risques réputationnels

#Trois niveaux de sanctions financières AI Act

Le Règlement gradue les sanctions à l'article 99. Maximum : 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel — le plus élevé des deux — pour les pratiques interdites de l'article 5 (rare en recrutement, sauf reconnaissance des émotions sur le lieu de travail). Intermédiaire : 15 millions d'euros ou 3 % du CA mondial pour les manquements aux obligations applicables aux systèmes haut risque.

C'est le niveau le plus probable pour un défaut de conformité d'un ATS. Minimum : 7,5 millions d'euros ou 1,5 % du CA mondial pour informations inexactes transmises aux autorités. Pour les PME et startups, le plafond est le montant le plus faible des deux options.

#Ce que les autorités attendent d'un ATS

Trois points ressortent de la lecture du Règlement. Premièrement, une documentation Annexe IV incomplète sur les datasets d'entraînement est un manquement qu'on ne rattrape pas par des promesses après contrôle. Deuxièmement, une supervision humaine théorique, non outillée chez les déployeurs ETI, peut être imputée au fournisseur, la chaîne étant co-responsable.

Troisièmement, l'audit de biais répété n'est pas une option : son absence est elle-même un manquement. Un biais systémique (par exemple une sous-représentation d'une tranche d'âge sur l'ensemble du parc déployé) sera apprécié plus sévèrement qu'un défaut isolé.

#Perte de clients ETI : le risque commercial direct

L'effet le plus immédiat n'est pas l'amende elle-même mais la perte de clients. De plus en plus d'ETI cotées exigent une déclaration UE de conformité AI Act dans leurs appels d'offres ATS. Un éditeur incapable de produire ces documents en temps voulu peut perdre des marchés. À l'inverse, ceux qui ont anticipé (déclaration UE de conformité prête, audit de biais trimestriel publié, model cards Annexe IV disponibles sous accord de confidentialité) prennent un avantage commercial.

Le sujet conformité AI Act devient, pour un ATS, un argument commercial direct au même titre que la sécurité ou la conformité RGPD.

#Risques réputationnels et collectifs

Quatre risques additionnels. Premier : la publicité d'une décision de sanction, avec un impact réputationnel direct et durable. Deuxième : des recours de candidats lésés, y compris par des actions collectives. Troisième : une couverture médiatique défavorable. Quatrième : l'impact sur les talents tech recrutés par l'éditeur HR tech lui-même, un développeur voyant son employeur épinglé pour biais discriminatoires pouvant partir plus vite.

#Plan de réponse en cas de contrôle imminent

Quatre réflexes immédiats. (1) Activer votre cabinet d'avocats spécialisé tech / IA. (2) Mobiliser votre CAIO ou Compliance Officer IA pour rassembler la documentation Annexe IV existante, l'argumentaire de classification, les derniers rapports d'audit de biais. (3) Geler les modifications du système IA concerné jusqu'au cadrage juridique.

(4) Contacter Nehos pour un cadrage en urgence, puis la production des éléments techniques manquants. Voir le service Conformité AI Act dédié et l'audit conformité AI Act.

#Outils Nehos en aide directe

Outil de scoring AI Act gratuit pour pré-classifier votre ATS en 5 minutes : /outils/scoring-ai-act. Audit conformité AI Act à partir de 3 000 € HT : /agence-ia/audit-conformite-ai-act. Mise en conformité de bout en bout, chiffrée sur devis, en 48 h après un premier échange : /services/conformite/ai-act.

Formation Méthode AI Act Compliance Nehos™ : /formations/methode-ai-act-compliance-nehos-qualiopi. Rendez-vous de cadrage gratuit de 60 minutes avec Foued Cherni ou Zoé Assié via le lien Calendly en fin de page.

Photos : Kampus Production, Katerina Holmes sur Pexels.