Shadow AI en RH : utiliser l'IA sans enfreindre le RGPD (2026)

Si vous dirigez une équipe RH ou talent en 2026, votre plus grand risque IA n'est pas le fournisseur IA que votre achats audite depuis six mois. C'est le senior recruteur, le responsable L&D et l'analyste rémunération qui, à 23 h depuis leur portable personnel, collent des CV de candidats, des entretiens annuels et des grilles salariales dans un compte ChatGPT gratuit parce que l'outil officiel est trop lent. C'est le shadow AI, version RH, et il se trouve à l'intersection des deux réglementations dont la vélocité d'application est la plus élevée en UE aujourd'hui : RGPD et AI Act.

Ceci est le deuxième article de notre série sur le caviardage de documents. Le guide pilier couvre le caviardage pour tous les cas d'usage ; ici nous zoomons sur les RH spécifiquement — recrutement, gestion de la performance, relations sociales, rémunération et L&D — où le problème shadow AI est le plus aigu, l'exposition réglementaire est la plus haute, et le correctif opérationnel a le plus grand bénéfice pour une seule équipe. Note terminologique : nous utilisons "shadow AI RH" et "shadow AI recrutement" de manière interchangeable, et nous utilisons "ia rh", "ia recrutement", "ia tri cv", "intelligence artificielle rh" et "recrutement génératif" comme sous-catégories opérationnelles que la même architecture doit couvrir. L'IA évaluation performance est l'un des workflows les plus exposés.

Si votre cabinet a déjà eu la conversation "qu'est-ce qu'on fait de ChatGPT" et l'a perdue en silence, voici l'article à remettre aux personnes qui utilisent réellement l'IA chaque jour. Il couvre où le shadow AI se passe à l'intérieur des RH (sept cas d'usage concrets), pourquoi ces usages enfreignent le RGPD et l'AI Act de manière spécifique, le bilan d'application réel 2023-2026 (Workday, EEOC, NYC AEDT, le Garante italien sur Foodinho/Glovo, la Cour EDH), à quoi doit ressembler une alternative officielle pour être réellement adoptée, et une feuille de route en dix étapes qui transforme la conversation en décision d'outillage officiel en 90 jours.

1. Pourquoi les RH sont le point zéro du shadow AI

Le shadow AI est l'usage d'outils IA grand public — ChatGPT, Claude, Gemini, Perplexity, Mistral Le Chat, les dizaines de wrappers GPT sur l'App Store — avec des données confidentielles, en dehors de la visibilité IT, typiquement via des comptes personnels. Chaque fonction de l'entreprise y est exposée ; les RH sont la plus exposée. Quatre raisons structurelles.

Premièrement, les données que les RH traitent sont en majorité du texte libre. CV, lettres de motivation, commentaires d'entretien annuel, plaintes de salariés, entretiens de départ, notes de 1:1 des managers, discussions de calibration — ce ne sont pas des enregistrements tabulaires comme tendent à l'être les données client. Le texte libre est exactement là où l'IA générative paraît la plus utile, donc la tentation de le coller dans une fenêtre de chat est maximale. Le guide pilier couvrait le caviardage de PII comme problème technique ; en RH c'est aussi un problème comportemental.

Deuxièmement, le travail RH est par à-coups et fortement de jugement. Un recruteur qui trie 200 CV la semaine avant la deadline d'embauche n'a pas le temps de demander au Juridique si le nouvel outil de sourcing est conforme RGPD. Un manager qui rédige un entretien annuel difficile à 21 h veut un partenaire de réflexion, pas un workflow d'achats. Les outils officiels, quand ils existent, ont été acquis pour des cas d'usage SIRH ou ATS — pas pour ça. Donc ChatGPT RH se répand.

Troisièmement, les données RH sont fortement réglementées comme catégorie. L'article 88 RGPD autorise expressément les États membres à fixer des règles plus spécifiques pour le traitement des données de salariés, et la plupart l'ont fait. L'AI Act UE classe les usages RH comme haut risque à l'annexe III paragraphe 4. Plusieurs juridictions hors UE ont rédigé des statuts IA spécifiques au travail : NYC Local Law 144 (Automated Employment Decision Tools, AEDT, en vigueur depuis juillet 2023), Illinois AI Video Interview Act (2020), Colorado AI Act (en vigueur 2026). La surface de conformité RH est véritablement plus large que dans d'autres fonctions, et l'usage shadow AI crée des traitements non documentés sur l'ensemble.

Quatrièmement, les RH se situent entre la barre légale/conformité et la pression opérationnelle à être rapide. Le même DRH à qui l'on demande d'entraîner les gains de productivité IA est responsable du registre des activités de traitement RH (art. 30), de l'analyse d'impact art. 35 pour les nouvelles technologies, du droit art. 22 à ne pas être soumis à des décisions automatisées, et — dans de nombreux pays UE — de la consultation du comité social et économique sur les nouveaux outils de monitoring (Code du travail L2312-38 en France). Sans alternative officielle qui résolve les deux problèmes ensemble, le système penche vers le shadow.

Les statistiques citées sur le shadow AI en RH sont souvent reprises avec un périmètre différent de celui de la source, et d'où vient chaque chiffre sur le shadow AI indique la population, la méthode et la date des plus cités.

2. Où le shadow AI apparaît dans les équipes RH

Les sept cas d'usage ci-dessous couvrent environ 95 % du shadow AI que nous voyons dans les audits RH. Chacun crée une catégorie de risque différente et une opportunité d'alternative officielle différente.

1. Tri et présélection de CV (IA tri CV, IA recrutement). Un recruteur colle 50 à 200 CV dans une session de chat et demande "classe ces CV par adéquation culturelle et profondeur technique sur Kubernetes ; donne-moi un top 10". Le modèle voit noms complets, photos, adresses, dates de naissance, employeurs précédents, et toute autre PII que le candidat aurait divulguée. Sous l'art. 22 RGPD une décision entièrement automatisée avec effet juridique ou similaire significatif requiert une base légale explicite ; l'AI Act UE classe le tri de CV comme haut risque ; le biais IA recrutement a son exposition propre en droit du travail national. La version shadow crée un traitement non documenté de données de catégorie particulière (certains CV divulguent santé, appartenance syndicale, affiliation religieuse) sur un endpoint LLM américain sans DPA. C'est le workflow shadow canonique de l'intelligence artificielle recrutement.

2. Rédaction des entretiens annuels (IA évaluation performance). Un manager colle 12 mois de notes de 1:1 et demande au modèle de rédiger le bilan annuel. Les notes incluent typiquement des citations directes du salarié, des informations de santé observées ("elle a été en arrêt maladie trois semaines au T3"), des discussions de rémunération, et parfois des plaintes sur des pairs. Rédiger un bilan annuel via IA évaluation performance sur endpoint grand public crée un problème Considérant 71 (décisions produisant des effets juridiques ou similaires significatifs), un problème art. 88 (traitement en contexte d'emploi), et fréquemment un problème art. 9 (divulgation de catégorie particulière).

3. Synthèse d'entretiens de départ (IA entretien sortie). Un HRBP conduit des entretiens de départ, puis colle les transcriptions dans un chatbot pour résumer les thèmes à la direction. Les transcriptions d'entretien de départ contiennent des spécificités salariales, des accusations de harcèlement, des plaintes nommées sur des managers, et parfois du contenu lanceur d'alerte protégé sous la Directive UE lanceurs d'alerte (2019/1937). La version shadow expose à la fois la personne qui part et les tiers nommés sur un LLM public.

4. Rédaction de fiches de poste et d'annonces (IA fiche de poste). Un marketeur talent fournit l'annonce précédente, le brief du manager qui recrute, et des annonces concurrentes pour rédiger une nouvelle annonce. Le risque PII est faible ici, mais le risque de discrimination est important : les LLM entraînés sur des données d'embauche historiques portent un codage de genre et d'âge historique qui peut produire des annonces qui découragent systématiquement les classes protégées (l'outil de CV d'Amazon qui rétrogradait "women's chess club" en 2018 est le cas d'école). Le document d'assistance technique EEOC 2023 confirme que les annonces peuvent violer le Title VII même sans intention.

5. Benchmarking de rémunération (IA rémunération). Un analyste rémunération colle le tableau des fourchettes salariales du cabinet et demande au modèle de comparer aux données de marché publiées, de proposer une nouvelle structure, ou de signaler les écarts. Les fourchettes elles-mêmes sont confidentielles, les lignes liées aux salariés sont des données personnelles, et le résultat du modèle est désormais dans un LLM américain avec un usage potentiel pour l'entraînement. Le benchmarking via shadow est aussi une fuite d'information concurrentielle, pas seulement de vie privée.

6. Q&R salariés et assistance politique RH. Les salariés posent à un chatbot RH des questions du type "je suis en congé parental ; quels sont mes droits ?" — et la réponse exige le contrat du salarié, le pays, le rôle et l'ancienneté. De nombreuses entreprises ont monté un assistant intelligence artificielle RH sur endpoint grand public pour gérer cela sans réaliser que l'entrée côté salarié contient des informations de santé ("je suis en arrêt parce que…"), une activité syndicale ("je suis en délégation syndicale"), ou des détails familiaux. ChatGPT données salariés voit l'exposition passer par l'entrée du salarié, pas celle de l'employeur. Le Garante italien a signalé que les assistants IA face aux salariés sont soumis aux mêmes règles art. 88 que le traitement côté employeur.

7. Management algorithmique et planification des effectifs. Un analyste de planification d'effectifs fournit à un LLM l'organigramme avec noms, niveaux, dates d'embauche, et notes de performance, et demande des scénarios de restructuration ou "la liste des salariés les plus à risque de partir dans les 6 prochains mois". C'est du management algorithmique au sens Foodinho/Glovo, et cela a produit deux des plus grandes décisions d'application en matière d'IA-emploi en UE : l'amende du Garante italien sur Foodinho (Glovo Italie) de 2,6 millions d'euros en 2021 et le travail ultérieur de l'AEPD espagnole sur les travailleurs de plateforme.

Les sept cas partagent un pattern. L'utilisateur sait que les données sont sensibles mais se sent protégé par le fait que la fenêtre de chat "n'est que moi qui tape". Le modèle voit les données comme entrée ; les logs du fournisseur les voient comme une requête ; la pipeline d'entraînement peut les voir comme un exemple d'entraînement ; le registre des traitements de votre cabinet ne les voit pas du tout.

3. Pile RGPD + AI Act + droit national pour l'IA en RH

Quatre couches juridiques s'appliquent simultanément à l'usage d'IA en RH. Elles ne sont pas redondantes ; chacune attrape un mode d'échec différent.

Article 88 RGPD (Traitement en contexte d'emploi). Les États membres peuvent prévoir des règles plus spécifiques sur le traitement des données de salariés, y compris pour les besoins de recrutement, d'exécution du contrat de travail, de planification et d'organisation du travail, d'égalité et de diversité, de santé et sécurité, et de cessation. L'Italie (D.Lgs. 196/2003 modifié), la France (Code du travail L1121-1 et L1222-4), l'Allemagne (BDSG §26), l'Espagne (Loi Organique 3/2018) et la Belgique ont tous exercé cette prérogative. L'effet pratique est qu'une conformité UE pan-européenne n'existe pas — il faut respecter le RGPD et les règles locales sur les données de salariés. L'article 88 RGPD est donc toujours à lire conjointement avec la loi nationale.

Articles 5, 9 et 22 RGPD — l'épine dorsale substantielle pour l'IA en emploi. L'art. 5 pose les principes (licéité, loyauté, transparence, limitation des finalités, minimisation, exactitude, limitation de conservation, intégrité, responsabilité). L'art. 9 interdit le traitement de catégories particulières sans base art. 9(2), qui en emploi est le plus souvent l'art. 9(2)(b) "aux fins de l'exécution des obligations en matière de droit du travail" — mais seulement "dans la mesure où autorisé par le droit de l'Union ou des États membres". L'art. 22 garantit le droit à ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques ou similaires significatifs. Les Lignes directrices EDPB 04/2024 sur l'art. 22 clarifient que "fondée exclusivement" est un filtre substantiel — une revue humaine de façade en fin de processus n'évite pas l'art. 22 — et la présélection RH est l'exemple canonique. Le traitement de RGPD données salariés sous l'un ou l'autre de ces articles requiert base légale, transparence, et évaluation documentée.

AI Act UE, Annexe III paragraphe 4 — usages RH à haut risque. L'AI Act énumère explicitement les usages RH comme haut risque : (a) systèmes IA destinés au recrutement ou à la sélection de personnes physiques, en particulier pour publier des annonces ciblées, analyser et filtrer des candidatures, et évaluer les candidats ; (b) systèmes IA destinés à prendre des décisions affectant les conditions des relations de travail, la promotion ou la cessation de relations contractuelles, à allouer des tâches selon le comportement individuel ou des traits personnels, ou à surveiller et évaluer la performance et le comportement des personnes dans de telles relations. La classification haut risque déclenche tout l'ensemble des obligations du Titre III : système de gestion des risques (art. 9), gouvernance des données (art. 10), documentation technique (art. 11), enregistrement (art. 12), transparence (art. 13), supervision humaine (art. 14), exactitude et robustesse (art. 15), évaluation de la conformité, inscription dans la base de données UE, surveillance post-marché, et analyse d'impact sur les droits fondamentaux (art. 27 pour les acteurs publics et certains déployeurs privés). Les obligations AI Act RH sont le régime de conformité le plus exigeant qu'une fonction RH ait jamais dû opérer. L'IA haut risque RH sous l'AI Act annexe III est ce qui déclenche tout cela ; l'analyse impact IA que les équipes RH doivent désormais produire — l'AIPD RGPD et la FRIA AI Act — est la nouvelle charge documentaire opérationnelle.

Lois nationales emploi-IA. Au-delà des transpositions de l'article 88 RGPD, plusieurs juridictions ont écrit des statuts IA spécifiques à l'emploi. NYC Local Law 144 (AEDT) exige des audits de biais et une notice aux candidats pour tout "automated employment decision tool" utilisé pour "assister substantiellement" l'embauche ou la promotion à NYC depuis juillet 2023. Illinois AI Video Interview Act (2020) exige consentement, notice d'usage IA, et limites au partage de données pour l'IA d'entretien vidéo. Colorado AI Act (en vigueur 1er février 2026) reflète beaucoup de la structure de l'AI Act UE pour les usages haut risque, emploi compris. L'Espagne a codifié la transparence algorithmique pour le travail de plateforme (Real Decreto-Ley 9/2021). La CNIL IA RH a publié des recommandations en 2024 spécifiques à l'IA en RH, et son action réglementaire sur les outils de management algorithmique dans le secteur public français a fixé des références que les employeurs privés sont attendus de respecter.

Le take-away pratique : tout déploiement IA en RH en 2026 doit passer simultanément par RGPD, AI Act, droit national des données de salariés, et (lorsque applicable) un statut IA spécifique à l'emploi. L'usage shadow AI contourne chacun.

4. Sept manières spécifiques dont le shadow AI RH casse la conformité

Si vous présentez cela à un comité de direction ou à un CSE et qu'il vous faut une liste concrète de ce que le shadow AI casse réellement, voici la version opérationnelle.

1. Article 28 — sous-traitant sans DPA. Un compte ChatGPT grand public n'est pas un accord de sous-traitance. Un senior recruteur qui colle des CV crée du traitement pour le compte du cabinet sans les clauses art. 28(3), sans divulgation des sous-traitants ultérieurs, et sans base contractuelle pour agir au nom du cabinet.
2. Article 30 — activité de traitement invisible. Le registre des activités de traitement RH couvre généralement le SIRH, l'ATS, le prestataire paie, et la plateforme L&D. Il ne couvre pas l'usage ChatGPT personnel du recruteur. Le registre art. 30 du cabinet est donc matériellement incomplet, ce qui constitue en soi une violation indépendante de toute fuite de données.
3. Article 9 — traitement de catégorie particulière non documenté. Les CV et les discussions de performance contiennent régulièrement des données art. 9 (santé, appartenance syndicale, religion, orientation sexuelle). Les traiter sur un LLM grand public crée du traitement art. 9 sans base art. 9(2) et sans les garanties supplémentaires.
4. Article 22 — décision exclusivement automatisée. Si le shadow AI est utilisé pour classer les candidats et que le recruteur applique le classement, la revue humaine est un tampon ; la décision est "fondée exclusivement sur un traitement automatisé" au sens de l'art. 22 et du Considérant 71. L'arrêt de la CJUE SCHUFA (C-634/21, décembre 2023) a confirmé une lecture large de "fondée exclusivement".
5. Articles 5 et 35 — pas d'analyse d'impact. Un traitement à haut risque exige une AIPD sous art. 35, et l'AI Act ajoute une analyse d'impact sur les droits fondamentaux pour de nombreux déploiements RH. L'usage shadow AI n'en a jamais.
6. Article 88 et droit national du travail. La plupart des juridictions UE exigent une forme de consultation du comité social et économique (France Code du travail L2312-38 ; Allemagne Betriebsverfassungsgesetz §87 ; Italie art. 4 Statuto dei Lavoratori) avant l'introduction de technologies de surveillance ou d'évaluation. Le shadow AI est une technologie de surveillance introduite sans consultation.
7. Transferts transfrontaliers et Schrems II. Les comptes ChatGPT, Claude, et Gemini grand public acheminent les données vers du compute américain par défaut. Il n'y a pas d'analyse d'impact transferts, pas de Clauses Contractuelles Types, et le cabinet ignore que le transfert a lieu. C'est la violation RGPD la plus facile à démontrer dans un audit parce que les logs réseau seuls suffisent comme preuve.

Les sept violations s'additionnent. Une seule session de tri shadow de CV peut en déclencher six simultanément. L'AEPD espagnole a sanctionné pour moins.

5. L'application réelle et le prix de ne rien faire

Les équipes RH écartent parfois l'exposition juridique comme théorique. Le bilan 2023-2026 désavoue. Voici les cas qui devraient être dans la conscience de chaque DRH en 2026.

Workday (USA, 2024-2025). La class action fédérale Mobley v. Workday allègue que l'algorithme de tri IA de Workday discrimine les candidats sur la race, l'âge, et le handicap. La cour a rejeté la motion d'abandon de Workday en juillet 2024 et certifié la collective action en mai 2025, acceptant la théorie selon laquelle un outil de tri IA peut être traité comme agent de l'employeur pour les fins du Title VII. C'est le premier cas à établir que le fournisseur IA lui-même peut être tenu responsable de résultats discriminatoires, élargissant la surface de responsabilité au-delà de l'employeur. La discrimination IA n'est plus un problème réservé à l'employeur.

EEOC technical assistance et bilan de règlements (USA, 2023-2026). Le document d'assistance technique de l'EEOC de mai 2023 sur l'IA en sélection d'emploi a posé le cadre d'application du Title VII (disparate impact) aux outils IA. Dans EEOC v. iTutorGroup (août 2023, règlement à 365 000 USD), l'EEOC alléguait que le logiciel de recrutement de l'entreprise rejetait programmatiquement les candidates plus âgées. L'EEOC a continué d'ajouter des affaires d'IA-discrimination à son rôle jusqu'en 2026 ; le plan d'application stratégique de mai 2023 a nommé la discrimination pilotée par IA comme priorité.

Application NYC AEDT Loi 144 (USA, 2023-2026). Depuis le 5 juillet 2023, les employeurs utilisant un "automated employment decision tool" pour l'embauche ou la promotion à NYC doivent conduire un audit de biais indépendant annuel, publier les résultats résumés, et notifier les candidats. L'application a été mesurée mais réelle, et l'existence de la loi a matériellement remodelé le comportement des fournisseurs sur le marché du recrutement américain. Plusieurs entreprises ont retiré des fonctionnalités IA du marché NYC plutôt que de se conformer. La conformité IA à New York est désormais de facto liée à des audits de biais annuels.

Garante italien sur Foodinho / Glovo (Italie, 2021-2024). Le Garante a sanctionné Foodinho (Glovo Italie) de 2,6 millions d'euros en 2021 pour la manière dont son algorithme de notation des coursiers traitait les données personnelles sans base art. 88 appropriée et sans transparence adéquate, puis encore 5 millions en 2024 sur des questions connexes. La décision est fondatrice pour la conformité du management algorithmique en Italie et a été abondamment citée dans des décisions ultérieures dans toute l'UE.

Garante italien sur la pointeuse biométrique (Italie, 2022-2025). Des décisions successives ont établi que les systèmes de pointeuse biométrique et de reconnaissance faciale aux accès sur les lieux de travail exigent une base juridique spécifique au-delà du consentement (invalide en contexte d'emploi en raison du déséquilibre de pouvoir) et ont retoqué plusieurs déploiements. Le pattern s'applique directement à tout outil IA qui traite des données biométriques de salariés.

Recommandations CNIL sur l'IA en RH (France, 2024-2025). La CNIL a publié des recommandations en 2024 qui confirment que tout déploiement IA en RH doit être précédé d'une AIPD, doit opérer sur une base juridique autre que le consentement, doit inclure une supervision humaine, et doit respecter l'obligation de consultation du CSE. L'action réglementaire de la CNIL contre les outils de management algorithmique dans le secteur public français a fixé des références que les employeurs privés sont attendus de respecter.

Cour EDH sur la surveillance au travail. L'arrêt Grande Chambre Barbulescu v. Roumanie (2017) et le plus récent López Ribalda v. Espagne (2019) fixent la référence européenne pour la surveillance au travail : l'employeur doit donner une notice préalable, claire, transparente et les mesures doivent être proportionnées. La surveillance comportementale basée sur l'IA hérite de cette référence, et l'usage shadow AI des données de performance des salariés tombe hors de cette référence presque par définition.

OpenAI / Garante italien (2023-2024). La suspension temporaire de ChatGPT par le Garante le 30 mars 2023, les conclusions préliminaires de la Task Force ChatGPT de l'EDPB de mai 2024, et la sanction finale de 15 millions d'euros à OpenAI de décembre 2024 confirment collectivement que le traitement côté LLM est désormais un domaine de conformité activement appliqué. Le shadow AI RH hérite vicariement de tous ces risques.

L'effet combiné est qu'un DRH ne peut plus supposer "à nous, l'application n'est pas encore arrivée". Le bilan est suffisamment dense pour que la question soit quand, pas si.

6. À quoi ressemble une IA RH officielle, plus rapide que le shadow

Le guide pilier a présenté l'architecture générale pour l'usage LLM sûr : masquer les PII dans le navigateur avant qu'elles atteignent le modèle, acheminer via LLM EU-hosted sous DPA signé, restaurer les valeurs réelles localement. La version RH-spécifique de cette architecture a quatre exigences supplémentaires guidées par la pile réglementaire couverte ci-dessus.

(a) Caviardage role-aware. Un workflow de tri de CV doit caviarder le nom du candidat, la photo, la date de naissance, l'adresse, et toute divulgation art. 9 — mais ne doit pas caviarder les qualifications, l'expérience, l'éducation ou les compétences. Une fiche d'entretien annuel doit caviarder le nom du salarié et tout tiers nommé dans les notes — mais doit préserver les comportements sous-jacents. Un caviardeur générique qui masque tout détruit la valeur du workflow. L'outil officiel doit comprendre les catégories d'entités RH à la granularité que le travail exige réellement.

(b) Chaîne de sous-traitants documentée. Chaque LLM que l'outil utilise doit être dans la liste de sous-traitants du cabinet avec le DPA correspondant. Redactic publie sa liste de sous-traitants et les changements sont pré-notifiés 30 jours à l'avance. Pour l'usage RH spécifiquement, le DPO du cabinet doit pouvoir démontrer, à tout moment, quel LLM exactement a vu quelle catégorie de données à quelle date.

(c) Hygiène art. 22 par défaut. L'outil doit empêcher structurellement les résultats "fondés exclusivement sur un traitement automatisé". En pratique cela signifie que la sortie est toujours indicative, chaque décision individuelle a un réviseur humain enregistré avec une étape de revue documentée, et le log d'audit de biais capture le taux de surcharge humaine. La rédaction de bilans annuels sous cette discipline produit une fiche que le manager édite substantiellement ; la couche de caviardage rend l'entrée sûre ; la couche de revue humaine rend la sortie art. 22-safe.

(d) Artefacts comité social et transparence. L'outil doit pouvoir produire, sur demande, (i) l'entrée du registre art. 30 pour le traitement, (ii) le modèle d'AIPD, (iii) la FRIA sous art. 27 AI Act, (iv) le rapport d'audit de biais aligné au format NYC AEDT lorsque applicable, et (v) le projet de notification au CSE. Le certificat de caviardage que Redactic génère pour chaque job devient la base probatoire pour ces documents, puisqu'il porte hashes et comptes mais aucune PII.

Redactic Secure Chat implémente les quatre. L'interface Chat masque les PII dans le navigateur via la même pipeline GLiNER multilingue que le workflow document, envoie le texte pseudonymisé à OpenAI / Anthropic / Google / Mistral sur leurs endpoints UE (zero retention, no-train sur l'entrée sous DPA signés), restaure les valeurs réelles côté client. Le certificat d'audit enregistre le job. Pour les workflows documents — rédaction de fiches de poste, brouillon d'entretien annuel, analyse comp, synthèse d'entretien de départ — le flux upload-puis-caviarder-puis-IA suit la même architecture avec la couche de caviardage devant le modèle. Les landings italienne, française, allemande, espagnole et anglaise de redactic.eu couvrent les cas d'usage directement.

7. Le déploiement à 90 jours pour les DRH

Voici le manuel en dix étapes que nous utilisons avec les DRH qui adoptent une IA officielle pour la première fois. Il suppose que vous avez du shadow AI dans votre organisation aujourd'hui (vous l'avez presque certainement) et que vous voulez passer à une alternative officielle en un trimestre.

1. Jour 0-7. Recensement interne de l'usage shadow. Sondez RH, L&D, et recrutement sur les outils IA qu'ils utilisent réellement, pour quelles tâches, avec quelles données. Promettez l'amnistie pour des réponses honnêtes — il vous faut la vérité, pas la réponse officielle. Attendez ChatGPT dans plus de 70 % des réponses, Gemini et Claude dans 30 à 50 %, et une longue traîne d'outils spécialisés.
2. Jour 7-14. Cartographie des cas d'usage sur les sept catégories ci-dessus. Marquez chacun comme sensibilité de données haute, moyenne ou basse. Marquez chacun comme haut risque sous l'AI Act annexe III ou non. C'est votre inventaire initial des opérations de traitement.
3. Jour 14-30. Référence de conformité. Exécutez une analyse d'écart contre les sept violations de la section 4. Le DPO et le juridique signent l'analyse d'écart. Cela devient le business case de l'outil officiel — et la piste probatoire si le régulateur arrive entretemps.
4. Jour 30-45. Sélection du fournisseur. Appliquez la checklist 8 points du guide pilier avec une pondération RH-spécifique sur (b) et (d) ci-dessus (caviardage role-aware + artefacts CSE). Les achats signent le DPA, la liste des sous-traitants, et les CCT lorsque applicable.
5. Jour 45-60. AIPD et FRIA. L'AIPD couvre le côté RGPD et la FRIA couvre le côté AI Act ; les deux sont requis pour les usages RH à haut risque. Le certificat de caviardage du fournisseur, le modèle d'audit de biais, et la liste des sous-traitants alimentent directement les deux documents.
6. Jour 60-70. CSE et transparence salariés. Notifiez le CSE sous la loi nationale applicable, déposez la consultation, rédigez la notice à destination des salariés (art. 13/14 RGPD plus art. 26 AI Act pour la transparence). Publiez la notice.
7. Jour 70-80. Pilote avec une équipe. Choisissez l'équipe avec l'usage shadow le plus élevé — généralement les recruteurs seniors ou les HRBP — et embarquez-les sur l'outil officiel. Mesurez l'adoption contre la référence shadow. Le seul test du succès est de savoir si l'usage shadow baisse dès la semaine 2.
8. Jour 80-85. Ajustez le profil de friction. Si l'outil officiel est plus lent que le chemin shadow, réparez la friction (SSO, extension navigateur, modèles par défaut, latence). L'architecture ne gagne que si elle est plus rapide, pas seulement plus sûre.
9. Jour 85-90. Déploiement plus large. Étendez aux 2-3 équipes suivantes. L'interdiction du shadow ne devient crédible qu'après que l'outil officiel a été vu fonctionner dans l'équipe pilote.
10. Jour 90+. Conformité continue. Revue mensuelle du rapport d'audit de biais, revue trimestrielle de la liste des sous-traitants, mise à jour annuelle de l'AIPD/FRIA. Les logs de l'outil officiel alimentent les artefacts face au régulateur ; le recensement shadow est répété trimestriellement pour s'assurer que l'usage shadow reste bas.

Deux choses à attendre. Premièrement, l'étape CSE est l'endroit où les déploiements ralentissent le plus souvent — démarrez-la au jour 60 même si le pilote technique n'est pas prêt, et faites tourner les deux en parallèle. Deuxièmement, l'ajustement de friction aux jours 80-85 est généralement la différence entre un déploiement réussi et un qui plafonne à 20 % d'adoption. Le chemin shadow ne cessera pas d'être attractif simplement parce qu'il est maintenant officiellement interdit ; il cesse d'être attractif quand le chemin officiel est réellement plus rapide.

8. Questions fréquentes

Puis-je simplement bloquer ChatGPT sur le réseau d'entreprise ?

Vous pouvez, et de nombreuses entreprises l'ont fait. Cela ne résout pas le problème. L'usage shadow se déplace vers les téléphones personnels, les portables personnels sur le réseau domestique, et les comptes personnels sur les machines d'entreprise. Les blocages réseau sans alternative officielle sont du théâtre de conformité qui produit moins de visibilité, pas moins de risque. La section shadow AI du guide pilier couvre la dynamique en détail.

L'article 22 RGPD est-il réellement déclenché par la présélection IA ?

L'arrêt CJUE SCHUFA (C-634/21, décembre 2023) a confirmé une lecture large de "fondée exclusivement sur un traitement automatisé". Si en pratique le décideur humain entérine la sortie IA, la décision est traitée comme exclusivement automatisée. Les Lignes directrices EDPB 04/2024 le renforcent. L'hypothèse sûre est que tout outil de présélection IA nécessite une hygiène art. 22 intégrée : revue humaine substantielle documentée, explication, contestabilité.

L'AI Act UE s'applique-t-il à mon usage de ChatGPT pour la RH même si je ne l'ai pas construit ?

Oui. L'AI Act s'applique aux déployeurs de systèmes IA à haut risque, pas seulement aux fournisseurs. Si votre équipe RH utilise un système IA pour toute finalité de l'annexe III paragraphe 4, vous êtes un déployeur et vous portez les obligations du déployeur : supervision humaine, surveillance, transparence vers les personnes concernées, enregistrement, analyse d'impact sur les droits fondamentaux dans de nombreux cas. Utiliser un LLM grand public ne vous exempte pas ; cela rend la conformité plus difficile parce que la documentation que le fournisseur devrait vous donner sous art. 13 est absente.

L'affaire Workday est-elle contraignante hors des USA ?

Pas directement, mais la théorie juridique — selon laquelle un fournisseur IA peut être traité comme agent de l'employeur pour les besoins de la discrimination — voyage. Le réseau European Equality Bodies a cité l'affaire dans son commentaire de 2025, et plusieurs juridictions UE envisagent des interprétations similaires sous la Directive Race (2000/43/CE) et la Directive Égalité en emploi (2000/78/CE). Planifiez comme si la théorie s'appliquait.

Le CSE peut-il bloquer notre déploiement IA ?

Dans plusieurs juridictions UE, dont l'Allemagne sous BVerfG §87(1)(6) et l'Italie sous l'art. 4 Statuto dei Lavoratori, oui — la co-détermination du comité social et économique sur les technologies de surveillance et d'évaluation est obligatoire. L'absence de consultation peut conduire à la suspension rétroactive du déploiement et à des sanctions administratives supplémentaires. La bonne stratégie est de démarrer la consultation au jour un de la sélection du fournisseur, pas après le déploiement.

Caviarder le CV résout-il à lui seul le problème AI Act ?

Non. Le caviardage résout le problème RGPD de fuite de données pour le round-trip LLM. Les obligations AI Act — classification haut risque, gestion des risques, supervision humaine, transparence, audit de biais, FRIA — s'appliquent indépendamment et ne sont pas satisfaites par le caviardage. Les deux piles travaillent ensemble : la couche de caviardage garde le principe de minimisation propre ; la couche de revue humaine et d'audit garde les obligations AI Act propres.

Qu'est-ce que le "management algorithmique" et en quoi est-ce différent de l'IA en RH ?

Le management algorithmique est l'usage de systèmes automatisés pour allouer des tâches, surveiller la performance, et prendre des décisions concernant les travailleurs — le plus souvent associé au travail de plateforme (Foodinho/Glovo) mais de plus en plus appliqué à l'emploi traditionnel. Les décisions du Garante italien sur Foodinho sont l'application fondatrice en UE ; la Directive UE Travail de Plateforme (2024) étend des droits de transparence spécifiques aux travailleurs de plateforme. Tout "AI scheduler", "AI shift optimiser", ou "AI productivity scorer" dans l'emploi traditionnel porte la même exposition juridique même si le cabinet ne se voit pas comme une plateforme.

Les transcriptions d'entretien de départ sont-elles vraiment à haut risque ?

Oui. Elles contiennent typiquement des informations art. 9 (santé, appartenance syndicale), nomment des tiers qui n'ont pas consenti au traitement, et peuvent contenir du contenu lanceur d'alerte protégé sous la Directive UE 2019/1937 avec un régime de confidentialité séparé. Elles font aussi partie des catégories de données les plus dommageables sur le plan réputationnel à laisser fuir. Les synthétiser via un LLM grand public est l'un des comportements shadow-AI individuels les plus risqués que nous voyions.

Combien de temps prend réellement le déploiement de 90 jours ?

D'après notre expérience, le pilote technique prend 4 à 6 semaines et la consultation du CSE 6 à 8 semaines dans les juridictions UE où elle s'applique. Les 90 jours supposent une exécution en parallèle. Si vous les exécutez séquentiellement, planifiez 4 à 5 mois. La variable la plus grande est la vélocité des achats, pas la complexité technique.

Où est la résidence des données de Redactic pour les données RH spécifiquement ?

Le compute et le stockage de métadonnées sont UE (Hetzner Helsinki + Cloudflare R2 juridiction UE). Le Secure Chat achemine à OpenAI / Anthropic / Google / Mistral sur leurs endpoints UE avec zero retention et no-train sur l'entrée sous DPA signés. Le certificat de caviardage, la liste des sous-traitants, et le DPA sont publics sur les pages trust de redactic.eu. Pour l'usage RH-spécifique la même architecture s'applique ; rien dans le cas d'usage RH ne contourne la garantie no-trace.

Si votre cabinet a du shadow AI en RH — et il en a — le coût de ne rien faire n'est plus un risque réglementaire abstrait. C'est un cas de discrimination de type Workday qui attend d'être porté, une priorité d'application EEOC, un modèle d'action CNIL ou Garante, un grief CSE, et une class action dans le pipeline actif des avocats plaideurs en discrimination. La RH conformité IA et l'exposition à la discrimination IA sont désormais des risques entrelacés — un workflow shadow non documenté est simultanément une violation RGPD et une source potentielle de plainte en discrimination. Le correctif n'est pas d'interdire plus fort ; le correctif est de rendre le chemin officiel plus rapide que le chemin shadow et de placer une couche de caviardage entre l'équipe et le modèle. L'architecture existe, l'horloge réglementaire tourne, et le déploiement à 90 jours est réaliste. Démarrez par le recensement cette semaine.

Pour le détail technique fondateur derrière la couche de caviardage — modes, certificats, architecture no-trace, détection multilingue — voir le guide pilier. Pour voir le workflow en action, la landing Redactic couvre les quatre modes d'usage avec une démo live.