Mise à jour du 5 août 2026. Cet article a été publié avant l’adoption du règlement (UE) 2026/1744, dit « Digital Omnibus on AI », publié au Journal officiel de l’Union européenne le 24 juillet 2026 et entré en vigueur le 27 juillet 2026. Ce texte reporte au 2 décembre 2027 les obligations applicables aux systèmes à haut risque de l’annexe III, dont les outils RH de recrutement et d’évaluation. L’échéance du 2 août 2026 citée ci-dessous ne s’applique donc plus à ces systèmes.
Les obligations de transparence de l’article 50, elles, sont bien applicables depuis le 2 août 2026. Le fond de cette analyse reste valable : la mise en conformité demande six à douze mois de travail interne, et ce délai n’a pas changé.
Aujourd’hui, dans votre organisation, des membres de votre équipe RH traitent des dossiers de candidats, des comptes rendus d’entretien annuel ou des fiches de paie dans ChatGPT, dans une application de transcription téléchargée la semaine dernière, ou dans une extension de navigateur dont le nom ne dit rien à votre DSI. Ils le font parce que c’est efficace. Parce que personne ne leur a dit non. Et parce que personne, dans l’organisation, ne le sait vraiment.
C’est ce qu’on appelle la shadow IA. Et la DRH n’en est pas une victime collatérale : elle en est, trop souvent, l’épicentre.
Des données parmi les plus sensibles de l’entreprise
La shadow IA désigne l’usage d’outils d’intelligence artificielle par des collaborateurs en dehors de tout cadre validé par l’entreprise. Compte personnel sur une plateforme grand public, extension de navigateur, application mobile de transcription de réunion : les points d’entrée sont multiples, discrets et rarement tracés.
Dans la fonction RH, le risque est structurellement plus élevé qu’ailleurs. Les données traitées quotidiennement appartiennent aux catégories les plus sensibles au sens du règlement général sur la protection des données : état civil, situation familiale, rémunération, santé, évaluation de la performance, appartenance syndicale. Une fiche de paie collée dans un outil grand public, un compte rendu d’entretien annuel résumé par une intelligence artificielle externe, un dossier disciplinaire synthétisé par un assistant : chacun de ces gestes peut constituer un transfert de données personnelles vers un sous-traitant non déclaré.
Le rapport Netwrix 2026 sur la sécurité des données et des identités (Data and Identity Security Report, juin 2026, netwrix.com) donne la mesure du problème. Seules 20 % des organisations affirment surveiller ou encadrer pleinement l’usage de la shadow IA par leurs collaborateurs. Seules 21 % ont une visibilité complète sur les données sensibles transmises aux outils d’intelligence artificielle. Autrement dit, huit organisations sur dix avancent sans savoir ce qui quitte leur périmètre.
Pourquoi la DRH est l’épicentre, et non une victime
Dans la plupart des organisations, la DSI détecte le phénomène de l’extérieur : journaux réseau, outils de surveillance des données sortantes. La DRH, elle, est au coeur du problème : ses équipes produisent les documents sensibles, les transmettent, les exploitent. Et elles disposent rarement d’une alternative interne aussi réactive que les outils grand public qu’elles ont adoptés.
L’absence de cadre côté RH n’est pas une faute isolée. C’est souvent la conséquence d’une politique d’intelligence artificielle décidée à la DSI, sans que la DRH n’ait été associée à la définition des usages autorisés ni dotée d’outils de substitution réellement utilisables au quotidien.
Le résultat est prévisible. Des équipes qui utilisent ce qui marche. Des données personnelles qui circulent hors périmètre. Et une direction RH qui découvre le problème au moment où il devient un sujet de conformité, rarement avant.
Dans les missions que je conduis auprès de directions RH, le phénomène est presque systématiquement présent et presque toujours sous-estimé par la direction elle-même. Les équipes RH n’utilisent pas ces outils par négligence : elles le font parce qu’elles manquent de temps, parce que leur SIRH ne répond pas à leurs besoins immédiats, et parce que personne ne leur a proposé mieux.
Le 2 août 2026 : l’échéance que l’AI Act avait fixée
L’AI Act, règlement européen 2024/1689, n’est plus un horizon lointain. Il impose aux organisations une obligation concrète : inventorier et maîtriser les systèmes d’intelligence artificielle qu’elles déploient ou utilisent. Cette obligation, issue de l’article 4 du règlement, ne concerne pas seulement les éditeurs de logiciels. Elle s’applique aux employeurs qui utilisent ces systèmes dans leurs processus, y compris sans le savoir.
L’annexe III du règlement classe parmi les systèmes à haut risque les usages de l’intelligence artificielle dans les domaines de l’emploi et des ressources humaines : recrutement, sélection de candidats, évaluation de la performance, gestion des accès. Pour ces catégories, les exigences sont précises : documentation des systèmes utilisés, supervision humaine effective, transparence envers les personnes concernées.
Un outil d’intelligence artificielle utilisé sans déclaration pour trier des candidatures ou rédiger des évaluations est, à compter du 2 décembre 2027, un système à haut risque non déclaré. Le règlement prévoit des amendes pouvant atteindre 15 millions d’euros ou 3 % du chiffre d’affaires mondial.
La Commission nationale de l’informatique et des libertés a confirmé en juillet 2026 que les exigences du règlement général sur la protection des données s’appliquent pleinement aux systèmes d’intelligence artificielle, y compris sur la traçabilité des données transmises (recommandations du 9 juillet 2026, cnil.fr). Les deux textes se cumulent. L’exposition réglementaire est double.
Ce que la DRH peut engager maintenant
La première étape n’est pas technique. C’est un état des lieux honnête : quels outils sont utilisés, par quelles équipes, pour quels usages ? Un questionnaire anonyme, posé sans menace de sanction, donne des réponses d’une franchise souvent surprenante. Sans visibilité sur l’existant, il est impossible de décider quoi encadrer, quoi interdire, et quoi remplacer.
La deuxième étape est de définir les usages autorisés avant de dresser la liste des interdictions. Une politique d’intelligence artificielle qui commence par une liste de refus, sans offrir d’alternative opérationnelle, renforce la shadow IA au lieu de la réduire. Le cadrage doit répondre à six questions : quels outils sont autorisés, quelles données peuvent y entrer, qui valide les nouveaux usages, quelle traçabilité est exigée, qui forme les équipes, et quand le cadre est révisé.
La troisième étape est de mettre ce cadre dans les outils, pas seulement dans un document. Une charte d’intelligence artificielle qui n’est pas traduite en droits d’accès, en périmètres de données et en journaux d’utilisation ne protège personne.
La quatrième étape est d’impliquer le délégué à la protection des données et le responsable de la sécurité des systèmes d’information dès l’ouverture du dossier. La shadow IA n’est pas un enjeu RH isolé : c’est une intersection entre politique des données, sécurité des systèmes et conformité réglementaire. La DRH qui prend ce sujet en main avant que la DSI ne le lui impose change de position dans l’organisation.
Agir avant, pas après
Attendre que la DSI détecte le problème dans ses journaux réseau, c’est laisser à la DRH le mauvais rôle : celui de la direction dont les équipes ont créé le risque, plutôt que celui de la direction qui l’a identifié et cadré.
L’AI Act n’est pas une contrainte supplémentaire à absorber. C’est l’occasion de poser, enfin, un cadre pour les usages d’intelligence artificielle dans la fonction RH, à la hauteur des données qu’elle traite.
Pour aller plus loin : IA appliquée aux RH · Livre blanc : Souveraineté des données RH et IA