Logiciel de recrutement IA : 5 vérifications

Réponse rapide : Si votre outil de recrutement utilise l'IA pour trier des CV, classer des candidats ou recommander des embauches, c'est un système d'IA à haut risque au sens de l'annexe III de l'AI Act. L'omnibus numérique — règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026 — a repoussé la date d'application des systèmes autonomes de l'annexe III du 2 août 2026 au 2 décembre 2027. C'est du temps de préparation, pas une dispense : le RGPD encadre déjà le tri automatisé des candidatures. Avant d'acheter (ou de conserver) un outil, passez le test en 5 questions ci-dessous : périmètre, rôle, transparence, supervision humaine, circulation des données candidats. Un seul échec et vous achetez un problème de conformité, pas un gain de productivité.

La plupart des guides d'achat de logiciels de recrutement comparent la précision du parsing, les vues pipeline, la planification, les intégrations. Utile — et hors sujet en ce moment. Si vous dirigez une entreprise de 10 à 300 personnes au Luxembourg, ou si vous recrutez de l'autre côté de la frontière française, la question qui devrait décider de votre achat n'est pas « quel ATS a le plus beau tableau Kanban ? ». C'est : « puis-je exploiter licitement les fonctions d'IA de cet outil — sous le RGPD aujourd'hui et sous le régime haut risque de l'AI Act à partir du 2 décembre 2027 — et puis-je le prouver ? »

J'ai passé 2026 à aider des PME luxembourgeoises à classifier leurs systèmes d'IA, et les outils de recrutement sont le système à haut risque que nous rencontrons le plus souvent — en général à la surprise sincère de l'entreprise qui les utilise. Personne n'imagine que son module de tri de CV relève de la même catégorie réglementaire que le scoring de crédit. C'est pourtant le cas. Ce guide couvre ce qu'il faut vérifier avant de signer, vu du côté du déployeur — et si vous en êtes à un stade plus amont, notre vue d'ensemble de l'IA au Luxembourg plante le décor.

Si vous préférez passer votre liste restreinte en revue avec quelqu'un qui fait cela chaque semaine, réservez une consultation gratuite de 30 minutes — apportez les noms des fournisseurs et nous les mettrons à l'épreuve en direct.

Pourquoi votre outil de recrutement est (probablement) un système à haut risque

L'AI Act ne réglemente pas le « logiciel de recrutement » en tant que tel. Un simple ATS qui stocke des candidats et les fait avancer dans un pipeline n'est pas un système d'IA du tout — achetez-le en toute tranquillité. Le règlement mord dès l'instant où l'outil utilise l'IA pour influencer qui est recruté.

L'annexe III cite explicitement l'emploi comme domaine à haut risque : les systèmes d'IA destinés au recrutement ou à la sélection de personnes physiques — notamment pour diffuser des offres ciblées, analyser et filtrer les candidatures et évaluer les candidats. C'est la description quasi parfaite des fonctions d'IA que tout éditeur d'ATS moderne livre depuis 2024 : tri de CV, scoring de candidats, classement « meilleure correspondance », présélection automatique, analyse d'entretiens vidéo.

Deux conséquences en découlent, et la seconde est l'urgente :

• Le fournisseur d'un tel outil est en principe le provider et porte les obligations lourdes — évaluation de la conformité, documentation technique, enregistrement.
• Vous, l'entreprise qui l'utilise pour recruter, êtes le déployeur — et les déployeurs de systèmes à haut risque de l'annexe III ont leurs propres obligations contraignantes, applicables au 2 décembre 2027 avec le reste du régime des systèmes autonomes (2 août 2028 lorsque l'IA est intégrée à un produit relevant de l'annexe I). Notre calendrier de l'AI Act détaille la séquence complète ; en résumé, « nous ne faisons que l'utiliser, c'est le fournisseur le responsable » n'a jamais été une défense — ni sous l'AI Act, ni sous les règles RGPD qui s'appliquent déjà au tri automatisé des candidatures.

Si vous ne savez pas de quel côté de la ligne vous vous situez — parce que vous avez personnalisé ou marqué en marque blanche un outil de recrutement, par exemple — commencez par le test d'auto-classification fournisseur ou déployeur. Pour un ATS SaaS standard utilisé tel quel, vous êtes déployeur, et cet article est écrit pour vous.

Le test en 5 questions avant l'achat

C'est le test que nous menons en mission de cadrage avant qu'un client signe, renouvelle ou active les fonctions d'IA d'un outil de recrutement. Chaque question correspond à un point que le fournisseur doit documenter par écrit — et il élimine les éditeurs faibles plus vite que n'importe quelle démonstration.

#	Question	À quoi ressemble une réussite	Si le fournisseur ne répond pas
1	Dans le périmètre ? L'outil utilise-t-il l'IA pour filtrer, noter, classer ou évaluer des candidats ?	Une déclaration écrite claire des fonctions pilotées par IA et de celles qui sont fondées sur des règles	Considérez toute fonction « intelligente » comme de l'IA jusqu'à preuve du contraire
2	Quel rôle ? Le fournisseur est-il le provider au sens de l'AI Act, avec une documentation de conformité mobilisable ?	Documentation fournisseur, notice d'utilisation et, pour les fonctions à haut risque, preuve d'évaluation de conformité sur demande	Vous assumez peut-être un risque de niveau fournisseur avec une information de niveau déployeur
3	Transparence ? Pouvez-vous informer les candidats que l'IA intervient dans la sélection, dans la langue de la candidature ?	Mentions configurables destinées aux candidats ; documentation reprenable dans votre politique de confidentialité et vos annonces	Vous improviserez vous-même des mentions légalement obligatoires
4	Supervision humaine ? Une personne nommément désignée peut-elle revoir, écarter et consigner l'écartement de tout classement ou rejet produit par l'IA ?	Des commandes d'écartement dans l'interface, avec journalisation — pas seulement « un humain peut regarder la liste »	Le rejet automatique sans examen réel est précisément ce que vise le règlement
5	Circulation des données ? Où vont les données candidats, quels sous-traitants y touchent, servent-elles à entraîner des modèles, pouvez-vous appliquer conservation et effacement ?	Hébergement UE/EEE, liste des sous-traitants, clause contractuelle de non-entraînement, durées de conservation paramétrables	Vous avez un problème RGPD avant même d'atteindre l'AI Act

Notez sans complaisance : cinq « réussites » écrites, ou les fonctions d'IA restent désactivées. Et posez les questions 3 à 5 sur les outils que vous exploitez déjà — beaucoup de PME luxembourgeoises ont acheté leur ATS avant 2024 et ont vu le tri par IA activé par une mise à jour produit qu'elles n'ont jamais consciemment adoptée.

La question derrière les questions

Une sixième vérification n'est pas réglementaire mais décide si l'outil fonctionne tout court sur ce marché : l'IA traite-t-elle votre vivier réel de candidats ? Un modèle de tri entraîné très majoritairement sur des CV en anglais classera mal, silencieusement, les candidatures en français, en allemand et en portugais qui dominent le recrutement luxembourgeois. Demandez sur quelles langues les modèles de parsing et de classement ont été évalués — et non quelles langues l'interface affiche. Ce sont deux affirmations très différentes.

Ce que les obligations du déployeur signifient dans un processus de recrutement

Voici ce que les devoirs du déployeur au titre de l'article 26 — applicables aux systèmes autonomes de l'annexe III à partir du 2 décembre 2027 — donnent une fois transposés à un processus de recrutement ordinaire de PME. Concrètement, vous devez :

• Utiliser le système conformément à la notice du fournisseur — ce qui suppose que quelqu'un l'ait lue et puisse la produire.
• Confier la supervision humaine à des personnes nommées et compétentes. Dans une entreprise de 40 personnes, c'est en général le responsable RH et le manager recruteur, avec l'autorité d'écarter le classement de l'IA et d'annuler ses rejets.
• Veiller à la pertinence des données d'entrée — alimenter le moteur de tri avec un profil de poste périmé et le laisser filtrer dessus est votre manquement, pas celui du fournisseur.
• Conserver les journaux générés automatiquement par le système, afin qu'une décision d'embauche contestée puisse être reconstituée des mois plus tard.
• Informer les personnes concernées. Un employeur qui déploie un système à haut risque sur le lieu de travail doit en informer les travailleurs et leurs représentants avant sa mise en service — pertinent si vous utilisez aussi l'outil pour la mobilité interne. Deux obligations de transparence mordent plus tôt : les articles 13-14 et 22 du RGPD exigent déjà que vous expliquiez aux candidats comment leur candidature est évaluée, et l'article 50 de l'AI Act — en application depuis le 2 août 2026 — impose d'informer toute personne qui interagit avec un agent conversationnel ou un robot d'entretien qu'elle a affaire à une IA, les contenus synthétiques devant être signalés comme tels.

Rien de tout cela n'est exotique. Lors d'une mise en œuvre récente pour un cabinet de services professionnels luxembourgeois, la configuration complète côté déployeur — désignation des superviseurs, mentions candidats en FR/EN/DE, paramétrage de la conservation des journaux, une page de registre — a demandé environ deux jours ouvrés une fois la documentation fournisseur en main. La version coûteuse de ce projet est celle qui démarre après qu'un candidat refusé a demandé comment la décision avait été prise.

Vous exploitez déjà un ATS avec des fonctions d'IA et ne savez pas où vous en êtes ? C'est l'appel lié au recrutement que nous recevons le plus en ce moment. Réservez une consultation gratuite de 30 minutes et nous vous dirons pendant l'appel si vous avez deux jours de configuration devant vous ou un vrai problème.

Données candidats : la couche RGPD et CNPD en dessous

L'AI Act se superpose au RGPD ; il ne le remplace pas. Les données de recrutement étaient sensibles bien avant l'arrivée de l'IA, et l'autorité luxembourgeoise de protection des données, la CNPD, les traite comme telles. Trois points méritent une attention particulière dès que le traitement est automatisé :

• Décision automatisée. L'article 22 du RGPD encadre les décisions fondées exclusivement sur un traitement automatisé produisant des effets significatifs — un moteur de tri qui rejette automatiquement des candidats sans examen humain en est le cas d'école. La supervision humaine n'est pas qu'un devoir AI Act : elle maintient votre pipeline du bon côté du RGPD.
• Conservation. Les CV sont en principe conservés pendant une durée définie et justifiée après une campagne de recrutement, sauf consentement du candidat à un vivier. Votre automatisation doit pouvoir appliquer cette règle, pas seulement votre document de politique.
• Réalité transfrontalière. Avec des candidats frontaliers postulant depuis la France, l'Allemagne et la Belgique, vous traitez par défaut des données personnelles à l'échelle de l'UE — l'hébergement UE/EEE et une chaîne de sous-traitance propre sont la base, pas une option premium.

Nous avons traité le cadre général dans notre guide de l'IA conforme au RGPD pour les PME luxembourgeoises ; le recrutement en est simplement l'arête la plus vive, parce que les personnes dont vous traitez les données sont par définition extérieures à l'entreprise et libres de se plaindre.

La réalité luxembourgeoise : quatre langues, trois frontières, 10 à 300 salariés

Pourquoi la fourchette 10-300 salariés revient-elle sans cesse dans les recherches sur l'automatisation du recrutement ? Parce que c'est la tranche où recruter fait le plus mal. En dessous de ~10 salariés, le dirigeant recrute par son réseau ; au-dessus de ~300, il existe une équipe d'acquisition de talents et des outils d'entreprise. Entre les deux se trouve la PME luxembourgeoise qui recrute 5 à 30 personnes par an avec, au mieux, un généraliste RH — tout en recevant des candidatures en français, allemand, anglais et portugais, de candidats situés dans quatre pays, pour des postes où une erreur de casting coûte cher.

Pour cette entreprise, les gains honnêtes de l'automatisation du recrutement sont réels :

• Analyser et accuser réception de chaque candidature en quelques minutes, dans la langue du candidat — la vitesse de réponse est une arme concurrentielle quand vous disputez les mêmes talents aux Big Four et aux fonds.
• Planifier les entretiens entre des managers en rendez-vous client permanent.
• Questions de présélection structurées (statut du permis de travail, préavis, niveaux de langue, faisabilité du trajet pour les frontaliers) qui filtrent sur des faits que vous avez définis — fondées sur des règles, transparentes, bien moins risquées qu'un classement par modèle.
• Hygiène du pipeline : conservation conforme au RGPD automatique, messages de refus réellement envoyés, un vivier licite plutôt qu'accidentel.

Remarquez ce que cette liste implique : l'essentiel de la valeur de l'automatisation du recrutement pour une PME réside dans le flux de travail, pas dans le classement par IA. Vous pouvez capter 80 % du gain de temps avec une automatisation qui ne touche jamais à l'annexe III — puis adopter le tri par IA délibérément, une fois le test en 5 questions réussi, plutôt que par défaut. Pour situer le recrutement dans l'ensemble RH, voir notre guide de l'automatisation RH ; pour choisir le système de référence lui-même, le comparatif des logiciels RH nomme les plateformes réelles.

Les coûts habituels, annoncés honnêtement

À considérer comme des ordres de grandeur 2026 pour une PME luxembourgeoise, non comme des devis : un ATS de gamme PME se situe autour de 100 à 400 € par mois ; une couche d'automatisation cadrée autour (accusés de réception multilingues, planification, flux de présélection, automatisation de la conservation) représente en général un projet ponctuel de 5 000 à 15 000 € ; et la mise en conformité côté déployeur pour les fonctions d'IA ajoute 2 à 5 jours ouvrés lorsqu'elle est faite avant la mise en service. Chacun de ces chiffres double à peu près lorsque l'exercice est mené rétroactivement, sous pression.

Que faire ce trimestre

Si vous ne retenez qu'une action de cet article : recensez cette semaine toutes les fonctions pilotées par IA de votre processus de recrutement — ATS, intégrations de job boards, outil d'entretien vidéo, les extensions LinkedIn que vos managers utilisent — et passez chacune au test en 5 questions. Désactivez ce qui échoue, documentez ce qui passe, attribuez la supervision de ce qui reste. C'est une position défendable, et elle tient sur une page.

C'est exactement le type de mission cadrée que 20 More mène comme consultant IA au Luxembourg : nous ne sommes pas éditeur d'ATS, nous ne revendons pas de logiciel, et notre seul intérêt est que votre automatisation du recrutement fasse gagner du temps sans importer de risque. Lorsqu'un ATS du marché ne correspond réellement pas à votre façon de recruter — pipelines multilingues, logistique frontalière, règles de présélection que personne ne vend en produit — cela relève de l'automatisation IA sur mesure, et son coût est publié sur notre page tarifs, net des aides d'État luxembourgeoises. Si vous voulez que l'évaluation soit faite avec vous plutôt que par vous, réservez une consultation gratuite de 30 minutes — la mener maintenant, alors que le régime haut risque est encore devant vous, coûte bien moins cher qu'en fin 2027.

Questions fréquentes

Le tri de CV par IA est-il légal au Luxembourg ?

Oui — le tri de CV par IA est légal, mais il est réglementé comme à haut risque au titre de l'annexe III de l'AI Act, les obligations pour les systèmes autonomes s'appliquant à partir du 2 décembre 2027 à la suite de la modification de l'article 113 par l'omnibus numérique. En tant que déployeur, vous devrez alors assurer une supervision humaine effective des classements et des rejets, utiliser le système selon la notice du fournisseur et conserver ses journaux. Rien de tout cela n'attend 2027 en pratique : le RGPD limite déjà les rejets entièrement automatisés sans examen humain et impose déjà d'expliquer aux candidats comment ils sont évalués, avec la CNPD comme autorité de contrôle compétente. Légal, donc — mais seulement s'il est exploité délibérément.

L'AI Act s'applique-t-il si mon éditeur d'ATS dit gérer la conformité ?

Les obligations du fournisseur et les vôtres en tant que déployeur sont distinctes et cumulatives — un fournisseur conforme ne vous rend pas conforme. Vous restez responsable de la supervision humaine, de l'information des candidats, de la conservation des journaux et de l'usage correct du système dans votre propre processus. Ce qu'un bon fournisseur apporte, c'est une documentation qui accélère votre part du travail : notice d'utilisation, informations de conformité et mentions candidats configurables. Si un éditeur ne peut pas fournir cela par écrit, vous avez votre réponse sur l'éditeur.

Un ATS simple, sans fonctions d'IA, est-il concerné par l'AI Act ?

Non. Un système de suivi des candidatures qui stocke des candidats, gère des étapes de pipeline, envoie des e-mails et planifie des entretiens sans évaluation pilotée par IA n'est pas un système d'IA au sens du règlement. Les questions éliminatoires fondées sur des règles que vous définissez vous-même (permis de travail, préavis, niveau de langue) restent aussi en principe hors de la catégorie haut risque, parce qu'elles appliquent vos critères explicites et non une évaluation par modèle. C'est pourquoi nous conseillons de capter d'abord les gains de flux de travail et d'adopter le classement par IA comme une décision distincte et délibérée.

Pourquoi les logiciels de recrutement automatisé visent-ils les entreprises de 10 à 300 salariés ?

Parce que c'est la tranche où la douleur et le gain se rencontrent : ces entreprises recrutent assez souvent pour que les processus manuels fassent mal — candidatures multilingues, logistique frontalière, lenteur de réponse qui fait perdre des candidats — mais disposent rarement d'une équipe dédiée ou d'outils d'entreprise. Une PME luxembourgeoise type de cette tranche peut automatiser l'accusé de réception, la planification, la présélection structurée et la conservation RGPD pour un projet ponctuel de 5 000 à 15 000 € plus un abonnement ATS de 100 à 400 € par mois, et récupérer une part significative du temps d'un généraliste RH.

Que demander à un éditeur de logiciel de recrutement avant d'acheter en 2026 ?

Passez le test en 5 questions de ce guide : (1) quelles fonctions sont réellement pilotées par IA, par écrit ; (2) confirmation que l'éditeur est le fournisseur au sens de l'AI Act, documentation à l'appui ; (3) mentions de transparence destinées aux candidats en FR/DE/EN ; (4) commandes d'écartement humain journalisées, non cosmétiques ; (5) la circulation complète des données candidats — hébergement, sous-traitants, clause de non-entraînement, contrôle des durées de conservation. Ajoutez-en une sixième : sur quelles langues les modèles ont été évalués, puisque les viviers luxembourgeois sont FR/DE/EN/PT par défaut.

Que se passe-t-il si je continue d'utiliser le tri par IA sans respecter les obligations du déployeur ?

À partir du 2 décembre 2027, vous exploiteriez un système d'IA à haut risque en infraction avec le règlement. La fourchette de sanction prévue à l'article 99 pour manquement aux obligations des opérateurs va jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu, avec des plafonds réduits pour les PME et les petites entreprises de taille intermédiaire. D'ici là, l'exposition est celle du RGPD : jusqu'à 20 millions d'euros ou 4 %, appliquée par la CNPD. Le risque réaliste à court terme pour une PME n'est pas un contrôle surprise ; c'est un candidat refusé, une plainte à la CNPD, et aucune documentation pour y répondre. Le correctif coûte quelques jours aujourd'hui ; la reprise rétroactive coûte un trimestre.

— Laurent Tousch, fondateur de 20 More, consultant en automatisation IA au Luxembourg