Aller au contenu principal
Quel ATS

IA et règles

Éditeur et employeur : qui porte quelles obligations ?

Pour qui : Votre contrat ou l’éditeur dit que « la conformité IA est prise en charge ». Vous voulez savoir ce qui reste à votre charge, à quelle date.

L’éditeur qui développe le système et le met sur le marché sous son nom est en général le fournisseur. L’employeur ou le cabinet qui l’utilise sous son autorité est le déployeur. Ces définitions de l’article 3 se fondent sur ce que chacun fait, et votre rôle réel dépend du contrat et de l’usage.

Chacun a ses obligations. Pour une fonction à haut risque, les vôtres s’appliqueront le 2 décembre 2027. Une phrase du contrat disant que l’éditeur « gère la conformité » ne les fait pas disparaître, à notre lecture. L’article 26 §3 ajoute que ces obligations s’entendent sans préjudice des autres obligations du déployeur en droit de l’Union ou national.

Notre avis

En règle générale, l’éditeur est fournisseur et vous êtes déployeur, c’est-à-dire utilisateur sous votre autorité. Les deux rôles ont des obligations, et il faut écrire qui fait quoi pour chaque fonction.

Pourquoi

  • L’article 3 définit le déployeur par l’usage sous son autorité.
  • L’article 26 laisse au déployeur la notice, le contrôle humain, la surveillance et les journaux, à compter du 2 décembre 2027.
  • L’article 25 §1 a) admet une répartition contractuelle pour un cas précis, ce qui ne vaut pas pour tous.

Ce qui change le choix

Si vous développez ou faites développer le système et que vous le mettez en service sous votre nom, vous êtes fournisseur. Si vous apposez votre marque sur un système à haut risque, lisez la page sur ce basculement.

L’ordre à suivre

  1. Vous utilisez un outil tiers : déployeur.
  2. Vous avez développé l’outil et le mettez en service sous votre nom : fournisseur.
  3. Vous êtes un cabinet : déployeur, avec les mêmes questions pour vos clients.

Répartition lue au 5 novembre 2026

Le tableau distingue ce qui s’applique déjà de ce qui attend. Il ne reprend pas tous les articles : les obligations du fournisseur à l’article 16 et la notice à l’article 13 n’ont pas été lues.

Qui répond de quoi
SujetFournisseur (en général l’éditeur)Déployeur (vous)Statut
Pratiques interdites, article 5Ne pas mettre sur le marchéNe pas utiliserApplicable
Maîtrise de l’IA, article 4Mesures pour son personnelMesures pour votre personnelApplicable, rédaction modifiée en 2026
Transparence, article 50Agent qui se présente comme IA, §1Informer les personnes exposées à une reconnaissance d’émotions ou une catégorisation biométrique, §3 ; en recrutement, la Commission tient la reconnaissance d’émotions pour interdite par l’article 5, sauf raison médicale ou de sécuritéApplicable depuis le 2 août 2026
Contrôle humainConception qui le permet, article 14Personnes compétentes, formées, avec autorité et soutien, article 26 §2Adopté, applicable le 2 décembre 2027
UsageNotice d’utilisationSuivre la notice et surveiller le fonctionnement, article 26 §1 et §5Adopté, applicable le 2 décembre 2027
JournauxNon lu iciConserver ceux sous votre contrôle, au moins six mois sauf autre règle de l’Union ou nationale, notamment sur les données personnelles, article 26 §6Adopté, applicable le 2 décembre 2027
InformationNon lu iciReprésentants et salariés concernés, §7 ; personnes concernées par une décision, §11Adopté, applicable le 2 décembre 2027

Le RGPD répartit autrement

Ne confondez pas les deux grilles. Selon la CNIL, le déployeur qui traite des données personnelles en sera le plus souvent responsable de traitement lors de l’usage, et le fournisseur le plus souvent lors du développement. Son guide de 2023 précise qu’un fournisseur de logiciel qui héberge les données pour le compte du recruteur, notamment dans le nuage, a la qualité de sous-traitant, et que la qualification se fait après une analyse concrète. L’article 28 ne prévoit de recourir qu’à des sous-traitants offrant des garanties suffisantes.

Pour une même fonction, vous avez donc deux lignes à écrire : le rôle au titre du règlement sur l’IA, et le rôle au titre du RGPD.

Une clause du contrat suffit-elle ?

Pour un cas seulement, le texte le dit : si vous apposez votre nom sur un système à haut risque, l’article 25 §1 a) réserve les arrangements contractuels répartissant autrement les obligations. Nous n’avons rien lu de comparable pour les obligations ordinaires du déployeur. Le contrat reste utile pour obtenir de l’éditeur ce dont vous aurez besoin : notice, journaux, explications.

Ashby écrit qu’il commence à atteindre ses objectifs de conformité et, pour l’information des candidats, renvoie la responsabilité au client comme déployeur. Cette réponse d’éditeur reste à vérifier sur le texte, et elle montre l’utilité d’écrire la répartition avant de signer.

Limites de cette page

La répartition complète exige les articles 13, 16, 27 et 49, que nous n’avons pas lus, ainsi que le JO du règlement 2026/1744. La question du modèle tiers intégré à l’ATS est traitée à part. Nous lisons le contrat comme sans effet sur votre qualité d’utilisateur, sans jurisprudence lue sur ce point : si un litige en dépend, faites relire votre contrat par un conseil.

Prochaine action

Écrivez vos rôles sur une page : une ligne par fonction d’IA activée, le fournisseur, le déployeur, le rôle RGPD et la pièce fournie par l’éditeur. Demandez à l’éditeur de confirmer cette page par écrit, avec les noms des modèles tiers qu’il utilise.

Preuves et sources

Lu le 5 novembre 2026 : articles 3, 4, 5, 14, 25, 26 et 50 sur le site d’assistance de la Commission (consolidation au 27 juillet 2026, en anglais), lignes directrices de la Commission du 29 juillet 2025 sur les pratiques interdites (section sur les émotions), questions-réponses de la CNIL du 17 août 2026, guide Recrutement de la CNIL de 2023. Articles 13 et 16 non lus, JO non lu.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun logiciel n’a été testé. Notre méthode, connexions relevées et prix relevés.

  • Fait lu. L’article 3 définit le fournisseur par le fait de développer ou faire développer un système et de le mettre sur le marché sous son nom, et le déployeur par l’usage sous son autorité.

    Portée : Union européenne, applicable depuis le 2 février 2025.

    Réserve : Répartition entre éditeur d’ATS et fournisseur de modèle non traitée ici.

  • Fait lu. L’article 26 impose au déployeur d’un système à haut risque de suivre la notice, d’affecter un contrôle humain compétent, de surveiller le fonctionnement et de conserver les journaux au moins six mois.

    Portée : Union européenne. Adopté, applicable le 2 décembre 2027 pour l’annexe III.

    Réserve : Durée s’articulant avec le droit des données personnelles.

  • Fait lu. L’article 26 §3 précise que les paragraphes 1 et 2 s’entendent sans préjudice des autres obligations du déployeur.

    Portée : Union européenne. Adopté, applicable le 2 décembre 2027.

    Réserve : Lu en anglais.

  • Fait lu. L’article 26 §7 demande à l’employeur d’informer représentants et salariés concernés avant usage sur le lieu de travail, et le §11 d’informer les personnes concernées par des décisions.

    Portée : Union européenne. Adopté, applicable le 2 décembre 2027.

    Réserve : Pas de format imposé dans le passage lu.

  • Fait lu. La Commission écrit au point 243 de ses lignes directrices que l’article 5 §1 f) vaut pour les fournisseurs comme pour les déployeurs, et l’article 50 sépare le §1, destiné aux fournisseurs, du §3, destiné aux déployeurs.

    Portée : Union européenne. Applicable.

    Réserve : Lignes directrices non contraignantes, antérieures au règlement 2026/1744.

  • Fait lu. L’article 14 impose au système à haut risque une conception permettant un contrôle effectif.

    Portée : Union européenne. Adopté, applicable le 2 décembre 2027.

    Réserve : Lu en anglais.

  • Fait lu. L’article 25 §1 a) réserve les arrangements contractuels répartissant les obligations lorsqu’un tiers appose son nom sur un système à haut risque.

    Portée : Union européenne. Applicable le 2 décembre 2027 pour l’annexe III.

    Réserve : Limité à ce cas.

  • Fait lu. L’article 4 modifié demande aux fournisseurs et déployeurs de prendre des mesures pour soutenir la maîtrise de l’IA.

    Portée : Union européenne, rédaction marquée comme modifiée, chapitre I applicable.

    Réserve : Version d’origine non lue.

  • Fait lu. La CNIL écrit qu’un fournisseur sera le plus souvent responsable de traitement en développement et un déployeur le plus souvent lors de l’usage.

    Portée : France, page mise à jour le 17 août 2026.

    Réserve : Tendance, analyse au cas par cas.

  • Fait lu. Le guide de la CNIL qualifie de sous-traitant un fournisseur de solution qui héberge dans le nuage pour le compte du responsable, après une analyse concrète.

    Portée : France, guide du 30 janvier 2023, article 28 reproduit par la CNIL.

    Réserve : Qualification au cas par cas.

  • Déclaration de l’éditeur. Ashby répond qu’il commence à atteindre ses objectifs de conformité à l’AI Act, cite le 2 décembre 2027 et, sur l’information des candidats, désigne le client comme déployeur.

    Portée : Page d’éditeur lue le 5 novembre 2026.

    Réserve : Lecture juridique d’éditeur.

  • Notre calcul ou déduction. Considérer qu’une clause générale ne retire pas la qualité de déployeur est notre lecture des articles 3 et 26.

    Portée : Lecture du 5 novembre 2026.

    Réserve : Aucune jurisprudence lue.

  • Fait lu. Au point 254 de ses lignes directrices, la Commission range parmi les usages interdits par l’article 5 §1 f) la reconnaissance d’émotions pendant le recrutement, l’exception médicale ou de sécurité mise à part.

    Portée : Union européenne. Applicable depuis le 2 février 2025.

    Réserve : Lignes directrices non contraignantes, antérieures au règlement 2026/1744.