L’IA et les RH : Naviguer entre innovation et réglementation

Dans un monde où l’intelligence artificielle (IA) transforme les pratiques RH, des outils de tri des candidatures à l’évaluation continue des collaborateurs, les départements RH doivent jongler entre les opportunités d’innovation et un cadre réglementaire de plus en plus strict. Cet article explore les implications juridiques de l’IA dans les RH, en s’appuyant sur le cadre européen, les différences internationales, et des conseils pratiques pour adopter des solutions fiables, éthiques et conformes.

L’AI Act européen : un cadre ambitieux et exigeant

Entré en vigueur le 1er août 2024, l’AI Act européen marque une étape majeure dans la régulation de l’IA. Ce règlement, qui sera pleinement applicable à partir du 2 août 2026, classe les systèmes d’IA selon leur niveau de risque, allant de « minimal » à « inacceptable » (Interdit). Dans le domaine des RH, la quasi-totalité des outils d’IA (tri des candidatures, scoring, évaluation continue) est considérée comme à haut risque, en raison de leur impact potentiel sur les droits fondamentaux, notamment en matière de non-discrimination.

L’AI Act impose dès lors plusieurs obligations pour les entreprises :

• Explicabilité : Les algorithmes doivent être transparents, permettant aux utilisateurs de comprendre les décisions prises (on reviendra sur ce point) .
• Absence de biais discriminants : Les systèmes doivent minimiser les risques de discrimination, un défi majeur dans le recrutement (idem, on en reparle plus loin).
• Supervision humaine : Comme le stipule le RGPD, aucune décision automatisée (par exemple, écarter un candidat) ne peut être prise sans possibilité d’intervention humaine.

En cas de non-respect, les sanctions sont lourdes : une amende jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial de l'exercice précédent, selon le montant le plus élevé.

Le problème est que la mise en application de l’AI Act peut se révéler bien plus compliquée que dans la théorie. L’absence de définition standard de concepts comme « biais » ou « explicabilité » complique son application. De plus, les zones d’ombre juridiques pourraient freiner l’innovation et la compétitivité des entreprises européennes face à leurs homologues américaines ou chinoises.

Réglementations internationales : une mosaïque contrastée

Les approches réglementaires diffèrent fortement entre l’Europe, les États-Unis et la Chine, impactant les choix des solutions IA par les RH.

• Europe : L’AI Act et le RGPD placent l’UE en pionnière de la régulation, privilégiant la protection des droits fondamentaux. Cette approche garantit une IA éthique, mais peut ralentir le développement des entreprises nationales, comme le soulignent beaucoup de spécialistes qui critiquent une régulation excessive.
• États-Unis : Les États-Unis adoptent une approche plus permissive, favorisant l’innovation. La régulation y est fragmentée, avec des lois étatiques (comme en Californie) mais pas de cadre fédéral unifié. Cela permet une adoption rapide des IA, mais expose à des risques éthiques et juridiques.
• Chine : La Chine combine un contrôle étatique strict avec un soutien à l’innovation. Les entreprises doivent se conformer à des règles sur la collecte de données, mais les standards éthiques sont moins exigeants qu’en Europe, ce qui accélère le déploiement d’IA, parfois au détriment des libertés individuelles.

Ces divergences posent un dilemme : une régulation stricte, comme en Europe, protège les utilisateurs mais risque de pousser les entreprises à se tourner vers des solutions américaines ou chinoises, potentiellement moins éthiques. Comme s’accordent à le dire de nombreux spécialistes du domaine de l’IA, une absence totale de régulation pourrait aggraver les biais et les dérives, mais un excès de contraintes pourrait étouffer l’innovation.

IA Act, est-ce réaliste ? Pourquoi exiger des machines ce que les humains ne font pas ?

Un débat central émerge : pourquoi imposer aux IA une absence totale de biais, alors que les décisions humaines en sont systématiquement empreintes ? Les outils d’IA, s’ils sont bien conçus, peuvent réduire les biais humains dans le recrutement, par exemple en standardisant l’évaluation des candidatures. Cependant, exiger une perfection des machines est irréaliste et pourrait paralyser le développement technologique en Europe. Si les outils européens sont freinés, les professionnels RH se tourneront vers des solutions étrangères, potentiellement moins transparentes, voire amplifiant certains biais. Notre vie professionnelle risquerait alors d'être aussi biaisée que les récits finement racontés par Hollywood sur les écrans de notre salon !

L’exigence d’explicabilité de chaque décision des IA, notamment celles à base des réseaux de neurones, est un autre défi qui est si compliqué que des équipes de recherches entières y sont dédiées dans les plus grands laboratoires. Un réseau de neurones est en effet une boîte noire impliquant des millions, voire souvent des milliards de calculs, sur des données de très grandes dimensions, un domaine qui échappe aux capacités du cerveau humain qui bug au-delà de trois dimensions (quatre pour les meilleurs d’entre les humains). Il n’existe pas de solution à ce problème. Existera-t-elle un jour d’ailleurs ? Au passage, vous arrive-t-il de prendre une décision, comme conduire une voiture d’une certaine manière, et vous poser la question de ce qui a motivé la manœuvre et ne pas trouver réponse ? Bien que sains d’esprit, nous ne savons pas toujours pourquoi nous faisons ce que nous faisons, n’est-ce pas ? Encore une fois, peut-on exiger de la machine ce dont l’humain n’est pas toujours capable ? Évidemment que oui, mais en restant réaliste.

Moravec et Polanyi ou les deux paradoxes qui mettent en évidence les limites de l’IA actuelle

Cela peut sembler éloigné du sujet du jour mais le paradoxe de Moravec et le paradoxe de Polanyi sont deux concepts importants qui éclairent sur les limites de l’IA, avec des implications directes sur l’applicabilité de l’IA Act. Explication.

Le paradoxe de Moravec :  ce paradoxe, formulé par le roboticien Hans Moravec dans les années 1980, observe que les tâches qui sont difficiles pour les humains (comme les calculs complexes ou les échecs) sont relativement faciles à programmer pour les ordinateurs, tandis que les compétences sensorimotrices et perceptives qui semblent simples pour les humains (comme reconnaître un visage ou marcher) sont extrêmement difficiles à reproduire en IA. Moravec l'explique ainsi : "Il est relativement facile de faire en sorte que les ordinateurs présentent des performances de niveau adulte dans des tests d'intelligence ou de jeux d'échecs, mais difficile ou impossible de leur donner les compétences d'un enfant d'un an en matière de perception et de mobilité."

Ceci s'explique par le fait que les capacités qui nous semblent les plus simples sont en réalité le résultat de millions d'années d'évolution et sont profondément intégrées dans notre système neuronal de manière inconsciente.

Le paradoxe de Polanyi : le paradoxe de Polanyi, nommé d'après le philosophe Michael Polanyi, est résumé par sa célèbre phrase : "Nous en savons plus que nous ne pouvons le dire." Il fait référence à la connaissance tacite - le savoir que nous possédons mais que nous ne pouvons pas facilement exprimer ou formaliser.

Par exemple, nous savons tous (ou presque !) faire du vélo, mais il est extrêmement difficile d'expliquer précisément comment maintenir l'équilibre. De même, nous reconnaissons instantanément un visage familier ou une odeur par exemple, mais serions bien incapables de décrire exactement comment nous y parvenons.

Ce paradoxe a posé un défi majeur pour l'IA durant des années car il est difficile de programmer ce que nous ne pouvons pas expliciter. La connaissance tacite résiste à la formalisation nécessaire pour la programmation traditionnelle.

Les deux paradoxes précédents sont intimement liés. Le paradoxe de Moravec identifie quelles tâches sont difficiles pour l'IA, tandis que le paradoxe de Polanyi explique en partie pourquoi ces tâches sont si difficiles à programmer : nous ne pouvons pas transmettre à une machine ce que nous ne savons pas articuler nous-mêmes.

Ces paradoxes ont longtemps défini les limites de l'IA puisqu’elle se basait sur des règles (on parle d’IA symbolique).  L’avènement de l’apprentissage automatique a permis de contourner cela en permettant aux machines d'apprendre par l'observation (ou par l’exemple) plutôt que par des règles explicites. La connaissance est donc intégrée de façon tacite, ce qui rend sa restitution également aussi tacite. Il devient alors difficile de demander une explication, donc des règles, quand le processus d’apprentissage ne s’en est pas basé.

La solution pourrait se trouver dans la combinaison des deux approches, symbolique et apprentissage automatique, mais on n’y est pas encore.

Revenons à l’IA Act…

L’objectif de toute régulation ne devrait donc pas exiger d’éliminer tout biais ou avoir une explicabilité de toute décision – une utopie – mais de garantir que les systèmes soient fiables, sécurisés, et supervisés. Une telle IA devient alors un atout pour les RH, renforçant la marque employeur dans une société numérisée où la méfiance envers la technologie croît.

Conseils pour choisir des solutions d’IA sécurisées et conformes en France

Pour les départements RH, adopter des solutions d’IA conformes est crucial. Voici quelques recommandations pratiques :

• Privilégier l’hébergement en France : Choisissez des fournisseurs garantissant que les données sont stockées sur des serveurs situés en France ou dans l’UE, conformément au RGPD et à l’AI Act. Cela réduit les risques liés à la souveraineté des données (important ! voir ma note plus bas).
• Exiger la transparence : Vérifiez que le fournisseur documente le fonctionnement de l’algorithme, notamment ses critères de décision, pour répondre aux exigences d’explicabilité. Aussi, l’outil utilisé doit être restreint à sa seule fonction à laquelle il est destiné. Selon la CNIL, un algorithme ne doit pas « trahir » l’utilisateur en exploitant ses données à des fins non consenties.
• Vérifier la supervision humaine : Assurez-vous que l’outil permet une intervention humaine à chaque étape clé, comme dans le tri des candidatures.
• Auditer les biais : Sélectionnez des solutions ayant fait l’objet d’audits indépendants pour minimiser les risques de discrimination (par exemple, basée sur le genre ou l’origine).
• S’appuyer sur des certifications : Recherchez des outils conformes aux normes de la CNIL ou certifiés par des organismes reconnus.‍
• Former les équipes RH : Sensibilisez les collaborateurs aux enjeux éthiques et juridiques de l’IA pour garantir une utilisation responsable.

Un équilibre subtil entre innovation et responsabilité

Réguler l’IA dans les RH revient à marcher sur une corde raide. Trop de contraintes, et les entreprises européennes perdront en compétitivité ; trop de laxisme, et les risques de dérives éthiques s’amplifieront. L’AI Act, malgré ses imperfections, pose les bases d’une IA responsable, mais son succès dépendra de la capacité des entreprises et des régulateurs à collaborer.

Pour les RH, l’enjeu est clair : adopter des outils d’IA qui non seulement optimisent les processus, mais renforcent également la confiance des collaborateurs et des candidats. Une politique d’IA éthique et fiable peut devenir un argument de marque employeur, distinguant les entreprises dans un marché où la transparence est de plus en plus valorisée.

En conclusion, l’IA dans les RH offre un potentiel immense, mais son adoption doit être guidée par une compréhension fine des cadres juridiques et des enjeux éthiques. En choisissant des solutions conformes, hébergées localement (de préférence) et supervisées (par des humains bien sûr), les départements RH peuvent transformer l’IA en un levier de performance et de responsabilité, tout en évitant les écueils d’une réglementation complexe. L’IA dans les RH, c’est clairement une opportunité énorme, mais aussi un terrain miné. Les entreprises qui sauront allier innovation technologique et conformité juridique prendront une longueur d’avance. Pas seulement pour éviter les sanctions, mais pour incarner une vision responsable du travail de demain.

Note aux lectrices et lecteurs : 

Quand le sujet de l’IA est sur la table, la question de la sécurité des données est immanquablement et à juste titre posée. C’est un questionnement légitime que toute personne qui interagit avec Internet (ce qui est le cas de tous, à moins de vivre déconnecté du monde !), pas qu’en utilisant l’IA d’ailleurs, doit prendre en compte. Mais restons sur les chatbots intelligents pour illustrer le propos. Pour faire simple, mon conseil est de ne JAMAIS fournir des données sensibles lors des échanges. C’est évidemment le cas dans le cadre professionnel où des secrets industriels peuvent être vitaux pour le business de l’entreprise, à moins bien sûr que l’employeur ait donné l’autorisation explicite et défini un cadre d’utilisation du chatbot.  Dans la sphère privée, fournir ses données de santé pour avoir un diagnostic ou des conseils par exemple est aussi un NO GO ! Si vous le faites et que demain vous n’arrivez pas à trouver une mutuelle, vous aurez été averti (et vous penserez un peu à moi !). En effet, une fois la donnée sortie de vos mains, elle ne connaîtra plus aucune frontière. Elle sera vendue, revendue, traitée, analysée et exploitée … potentiellement par un fournisseur d’assurance.

On pourrait naturellement penser qu’en tant qu’Européens nous sommes protégés par le RGPD et maintenant par l’IA Act. Le problème est que la plupart des fournisseurs de solutions d’Internet sont les fameux GAFAM américains. Or, les Etats-Unis ont cette particularité (redoutable !) de faire de leurs lois des bâtons à portée extraterritoriale. C’est le cas, entre beaucoup d’autres, du Cloud Act.

Pour rappel, le Cloud Act découle d’une affaire emblématique opposant Microsoft au gouvernement américain. En 2013, dans le cadre d’une enquête sur un trafic de drogue, le FBI a émis un mandat basé sur le SCA (Stored Communications Act) pour accéder à des courriels d’un citoyen américain stockés sur un serveur de Microsoft en Irlande. Microsoft a refusé de transmettre ces données, arguant que le SCA ne s’appliquait pas aux données situées hors des États-Unis. Le Cloud Act est donc promulgué en 2018 pour remédier à cela. Il permet aux autorités américaines d’obtenir, via un mandat, des données (tout type) stockées à l’étranger par des entreprises soumises au droit américain, quel que soit le lieu de stockage. Et cela concerne à fois les entreprises américaines, dont les GAFAM qui ont au passage applaudi le Cloud Act, mais aussi les entreprises étrangères opérant aux États-Unis ou ayant des « points de rattachement suffisants ». Suffisants ! Le diable sa cache dans les détails …

On aura compris que le Cloud Act entre en conflit frontal avec le RGPD (article 48) qui stipule que les transferts de données personnelles hors de l’UE ne peuvent être exigés que sur la base d’un accord international, ce que le Cloud Act n’est pas. Quand on voit les agissements de l’administration américaine, on peut imaginer que le rapport de force ne peut que nous être défavorable.

En deux mots et en conclusion, quand une solution numérique nationale est disponible, aussi bien pour le stockage ou tout traitement des données, il faut la privilégier.

Voilà, comme on dit, un homme averti en vaut deux !