AI Act reporté à 2027 : ce qui s’applique quand même

Oui, mais pas celui que vous croyez. Le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026, reporte les obligations « haut risque » de l’annexe III du 2 août 2026 au 2 décembre 2027. Le recrutement en fait partie.

En revanche l’obligation de transparence, elle, s’applique depuis le 2 août 2026. Elle n’a pas été reportée. Et le RGPD n’a jamais été concerné par ce calendrier.

Autrement dit : ce qui a bougé est la partie lourde et lointaine ; ce qui reste est la partie courte et immédiate, celle qui concerne réellement une ESN dont un agent écrit à des candidats.

Ce qui a été reporté, précisément

L’annexe III de l’AI Act liste les systèmes dits à haut risque. Le recrutement y figure : les outils qui servent à recruter, sélectionner ou évaluer des personnes en relèvent, au même titre que le scoring de crédit ou les usages en éducation.

Ces systèmes devaient être conformes au 2 août 2026. Ils le seront au 2 décembre 2027. Les systèmes haut risque intégrés à des produits déjà régulés par la législation de sécurité des produits passent, eux, au 2 août 2028.

Ce qui est repoussé n’est pas anodin : évaluation de conformité, documentation technique, marquage CE, enregistrement dans la base européenne, supervision humaine documentée, analyse d’impact sur les données candidats. Seize mois de travail administratif, pour les éditeurs comme pour certains utilisateurs.

Le report est acquis. Il ne s’agit plus d’un accord politique provisoire : le texte a été publié au Journal officiel le 24 juillet 2026.

Ce qui s’applique depuis le 2 août 2026

Les obligations de transparence.

En pratique, la règle tient en une phrase : une personne qui interagit avec un système d’IA doit pouvoir le savoir. Pour une ESN, cela vise directement le cas où un agent écrit à un candidat, répond dans un fil, ou relance sur LinkedIn.

C’est l’obligation la plus opérationnelle des deux, et c’est celle qui est en vigueur. Le paradoxe mérite d’être souligné : beaucoup d’entreprises ont retenu « l’AI Act est reporté » et en ont conclu qu’il n’y avait rien à faire, alors que la seule obligation qui les touche au quotidien vient précisément d’entrer en application.

La bonne nouvelle est qu’elle ne coûte rien. Une signature qui dit ce qu’elle est suffit, et l’annoncer d’emblée coûte moins cher que de le faire découvrir.

Ce qui n’a jamais dépendu de l’AI Act

Le RGPD.

Son article sur les décisions entièrement automatisées produisant un effet juridique ou significatif s’applique depuis 2018, et une candidature écartée sans intervention humaine en relève. Aucun report de l’AI Act ne change cela.

C’est une confusion fréquente et coûteuse : on entend « le texte sur l’IA est reporté », on en déduit que laisser un outil écarter des profils est désormais sans risque jusqu’en 2027. C’est faux, et la sanction potentielle n’a pas la même autorité de contrôle ni le même calendrier.

La règle pratique n’a pas bougé d’un pouce : un agent peut classer, signaler, préparer ; la décision de ne pas donner suite revient à une personne, qui doit pouvoir l’expliquer.

Ce que le report change vraiment pour une ESN

Trois choses, et aucune n’est « rien à faire ».

Vous avez le temps de choisir un éditeur plutôt que de le subir. Jusqu’au report, un calendrier au 2 août 2026 poussait à signer avec qui affichait une conformité, vraie ou proclamée. Seize mois de plus permettent de poser une question plus utile : est-ce que l’outil journalise ce qu’il fait, est-ce qu’il distingue une action interne d’une action sortante, est-ce qu’il refuse de trancher.

Vous pouvez construire la gouvernance dans l’ordre. Les obligations de l’annexe III, supervision humaine, journalisation, documentation, décrivent exactement ce qu’il faut de toute façon pour qu’un projet d’agent tienne. Les mettre en place parce qu’elles sont utiles donne un meilleur résultat que les mettre en place parce qu’un auditeur arrive.

Vous n’avez pas d’excuse sur la transparence. Elle est en vigueur, elle est gratuite, et son absence se remarque : un candidat qui découvre après coup se sent trompé, et le dit.

L’erreur à ne pas commettre

Traiter le report comme une dispense.

C’est la lecture qui va dominer les six prochains mois, et c’est celle qui transforme un délai en dette. Les entreprises qui attendront décembre 2027 pour regarder le sujet devront tout faire en même temps : choisir un outil, écrire une gouvernance, documenter des systèmes déjà en production et former des équipes qui ont pris de mauvaises habitudes pendant seize mois.

Et il y a une raison moins visible de ne pas attendre. La supervision humaine, la journalisation et la traçabilité ne sont pas des contraintes ajoutées à un projet d’agent : ce sont les conditions de sa survie. Un projet sans gouvernance s’arrête à son premier incident, bien avant qu’un régulateur ne s’y intéresse.

Qui est concerné : éditeur ou utilisateur ?

La question revient systématiquement, et la réponse surprend.

L’AI Act distingue le fournisseur, qui met le système sur le marché, et le déployeur, qui l’utilise dans un cadre professionnel. Une ESN qui achète un outil de recrutement est déployeur : l’essentiel de la charge documentaire, évaluation de conformité, marquage CE, enregistrement européen, pèse sur l’éditeur.

Mais le déployeur n’est pas exonéré. Il lui revient d’assurer une supervision humaine effective, d’utiliser le système conformément à sa notice, de conserver les journaux, et d’informer les personnes concernées. Ce dernier point est justement celui qui est déjà en vigueur.

Attention à un piège : modifier substantiellement un système, ou le commercialiser sous son propre nom, fait basculer un déployeur au statut de fournisseur, avec toutes les obligations qui vont avec. Une ESN qui revendrait un agent à ses clients sous sa marque devrait y regarder de près.

Ce que ça implique dans le choix d’un outil

Le report déplace la question du « êtes-vous conforme ? » vers quelque chose de plus vérifiable, parce que la conformité formelle n’existera pas avant fin 2027 chez qui que ce soit.

Trois questions valent mieux qu’une attestation. Le système journalise-t-il ce qu’il fait, et pouvez-vous exporter ce journal ? C’est ce que la conservation des journaux exigera, et c’est déjà ce dont vous avez besoin en cas d’incident. Distingue-t-il une action interne d’une action sortante ? Sans cette distinction, la supervision humaine est soit totale, soit nulle. Refuse-t-il de prendre une décision finale ? Un outil qui accepte d’écarter des candidatures seul vous met en risque RGPD aujourd’hui, pas en 2027 : c’est exactement la ligne de qui valide quoi au quotidien.

Un éditeur qui répond bien à ces trois questions sera conforme en décembre 2027 sans effort particulier. Un éditeur qui brandit une conformité anticipée à une échéance qui vient d’être repoussée de seize mois vend surtout du vocabulaire.

Ce qu’il faut faire ce trimestre

Trois actions, aucune juridique.

Vérifiez que vos messages sortants générés par une IA disent ce qu’ils sont. C’est l’obligation en vigueur, et c’est une ligne de signature.

Écrivez qui valide quoi, en une phrase que l’équipe retient. Ce qui sort attend une validation, ce qui reste dedans part seul, ce qui ferme une porte se décide par une personne.

Assurez-vous que votre outil garde une trace de ce qu’il a fait et de qui l’a validé. Sans journal, vous ne serez conforme ni en décembre 2027, ni au premier candidat qui vous écrira pour demander pourquoi.

Le calendrier a changé. Le travail, non.