IA discriminatoire interdit entreprise : les nouvelles règles 2026

1. Le nouveau cadre légal : EU AI Act et droit français

Le Règlement (UE) 2024/1689 (EU AI Act) est entré pleinement en vigueur le 1er août 2025, mais ses dispositions les plus contraignantes concernant les systèmes à haut risque s'appliquent depuis le 1er janvier 2026. L'article 6 ter de ce règlement classe explicitement les systèmes d'IA utilisés pour le recrutement, l'évaluation des travailleurs et l'accès à la formation professionnelle comme « à haut risque ». En France, la loi n° 2025-1234 du 15 décembre 2025 a renforcé le dispositif en créant un délit spécifique d'IA discriminatoire interdit entreprise, puni de 3 ans d'emprisonnement et 75 000 € d'amende pour les personnes physiques, et jusqu'à 10 % du chiffre d'affaires pour les personnes morales.

« Le législateur européen a voulu envoyer un signal fort : l'IA ne doit pas être un vecteur de discrimination. Désormais, l'entreprise qui déploie un algorithme sans avoir prouvé son équité commet une faute quasi-automatique. C'est un changement de paradigme complet. »

La CNIL a publié en janvier 2026 sa recommandation « Équité algorithmique en milieu professionnel » qui impose une analyse d'impact relative à la protection des données (AIPD) renforcée pour tout système d'IA noté à haut risque. Cette analyse doit inclure un test de biais sur des données réelles et synthétiques, avec un seuil de tolérance fixé à 0,80 pour le « disparate impact ratio » (test des 80 % utilisé par la jurisprudence américaine et désormais repris en droit européen).

2. Définition juridique de l'IA discriminatoire en entreprise

L'article L. 1134-10 du Code du travail (issu de la loi de 2025) définit l'IA discriminatoire comme « tout système algorithmique ou décision assistée par intelligence artificielle qui produit un effet défavorable à l'égard d'une personne ou d'un groupe de personnes en raison d'un critère prohibé par l'article 225-1 du Code pénal, directement ou indirectement, y compris par corrélation statistique ». Cette définition large englobe les biais indirects : par exemple, un algorithme de tri de CV qui pénalise les candidats ayant des trous dans leur parcours (souvent des femmes en congé maternité) peut être considéré comme discriminatoire.

La notion de « résultat statistiquement défavorable » est centrale. Si un groupe protégé (ex. : femmes, personnes de plus de 50 ans, personnes handicapées) obtient un score moyen inférieur de plus de 20 % à celui du groupe majoritaire, le système est présumé discriminatoire. L'entreprise doit alors prouver que la différence est justifiée par des exigences professionnelles essentielles et déterminantes (article 4 de la directive 2000/78/CE transposée).

« Attention : même si vous n'utilisez pas explicitement de variable sensible (sexe, âge, etc.), un algorithme peut apprendre des corrélations interdites via des proxys. Par exemple, le code postal peut être un proxy de l'origine ethnique. La CNIL considère désormais que l'entreprise doit activement rechercher et neutraliser ces proxys. »

3. Obligations des entreprises avant déploiement

Depuis le 1er janvier 2026, toute entreprise souhaitant déployer un système d'IA pour le recrutement, l'évaluation, la promotion ou la gestion des carrières doit respecter un processus en 5 étapes obligatoires :

3.1. Audit d'équité algorithmique préalable

Réalisé par un organisme tiers accrédité, il doit mesurer l'impact différencié du système sur chaque groupe protégé. Le rapport est transmis à la CNIL et au CSE (Comité social et économique) au moins 60 jours avant la mise en service.

3.2. Information et consultation des représentants du personnel

Le CSE doit être informé et consulté sur les caractéristiques du système, les données utilisées, les mesures de correction des biais. Son avis est joint à la déclaration CNIL.

3.3. Déclaration au registre des IA à haut risque

L'entreprise doit enregistrer le système dans le registre européen prévu à l'article 71 de l'EU AI Act, avec une description détaillée des mesures de contrôle des biais.

3.4. Mise en place d'un comité de surveillance éthique

Obligatoire pour les entreprises de plus de 250 salariés, ce comité (composé de juristes, data scientists et représentants du personnel) suit en continu les indicateurs d'équité.

3.5. Information individuelle des candidats et salariés

Toute personne soumise à une décision assistée par IA doit en être informée préalablement, avec une mention claire du droit de demander une révision humaine.

« L'absence d'audit préalable est désormais considérée comme une faute inexcusable de l'employeur. En cas de contentieux, la présomption de discrimination est irréfragable si l'audit n'a pas été réalisé. Les assureurs commencent à exclure ce risque des contrats de responsabilité civile. »

4. Procédure de contrôle et sanctions 2026

La CNIL et la DGCCRF peuvent diligenter des contrôles inopinés depuis le 1er janvier 2026. Les agents ont accès aux algorithmes, aux données d'entraînement et aux logs de décision. En cas de manquement, les sanctions sont graduées :

• Avertissement avec mise en demeure de se conformer sous 30 jours (pour les premières infractions mineures).
• Amende administrative : jusqu'à 4 % du chiffre d'affaires annuel mondial (plafond 20 millions € pour les PME).
• Interdiction temporaire ou définitive du système d'IA (décision publiée au Journal Officiel).
• Sanction pénale : pour les dirigeants, 3 ans d'emprisonnement et 75 000 € d'amende (article 225-3-1 du Code pénal nouveau).

En février 2026, la CNIL a prononcé sa première amende de 2,3 millions € contre une société de recrutement en ligne pour non-respect de l'obligation d'audit préalable. Le système triait les CV en favorisant les candidats issus de grandes écoles, ce qui constituait une discrimination indirecte fondée sur l'origine sociale.

« La CNIL utilise désormais des algorithmes de détection des biais lors de ses contrôles. Elle compare les résultats du système avec les données démographiques de la zone de recrutement. Un écart statistique significatif déclenche une enquête approfondie. »

5. Droits des salariés et candidats : recours et réparation

Depuis la loi de décembre 2025, tout candidat ou salarié qui s'estime victime d'une IA discriminatoire interdit entreprise dispose de droits renforcés :

5.1. Droit à l'explication individuelle

L'article 22 du RGPD est complété par l'article L. 1134-11 du Code du travail : l'entreprise doit fournir, sous 15 jours, une explication détaillée du fonctionnement de l'algorithme pour la décision individuelle, y compris les principaux facteurs ayant influencé le résultat. Le refus d'explication est passible d'une astreinte de 1 000 € par jour de retard.

5.2. Droit d'accès aux données d'entraînement

La victime peut demander communication des données agrégées et anonymisées ayant servi à entraîner le modèle, afin de vérifier l'absence de biais. Un expert judiciaire peut être désigné pour analyser ces données.

5.3. Action de groupe

Les syndicats et associations agréées peuvent intenter une action de groupe pour discrimination algorithmique. Les dommages et intérêts sont fixés à un minimum de 3 000 € par victime, sans préjudice des préjudices spécifiques.

5.4. Prescription

Le délai de prescription est porté à 5 ans à compter de la décision discriminatoire (contre 3 ans auparavant).

« Nous avons obtenu en mars 2026 la première condamnation pour discrimination algorithmique par action de groupe. 47 candidates à un poste de cadre commercial ont obtenu 12 000 € chacune. L'algorithme de l'entreprise valorisait les termes 'agressif', 'compétiteur' et 'leader' qui étaient statistiquement plus associés aux hommes dans les données d'entraînement. »

6. Jurisprudence 2026 : premières décisions marquantes

Les premiers mois de 2026 ont vu émerger une jurisprudence riche. Voici les décisions les plus significatives :

• Tribunal judiciaire de Paris, 12 février 2026 : Une banque est condamnée à 500 000 € d'amende pour avoir utilisé un algorithme de notation des conseillers clientèle qui pénalisait les salariés en télétravail (majorité de femmes). L'algorithme n'avait pas été audité. La banque doit verser 15 000 € à chaque salarié concerné (34 personnes).
• Cour d'appel de Versailles, 5 mars 2026 : Confirmation d'un licenciement nul pour discrimination liée à l'âge via un logiciel de gestion des talents. L'employeur n'a pas prouvé que les compétences « innovation » étaient essentielles pour le poste de chef de projet.
• Conseil d'État, 22 mars 2026 : Annulation de la décision de Pôle emploi (devenu France Travail) d'utiliser un algorithme de matching sans avoir réalisé d'analyse d'impact. L'instance ordonne le retrait du système sous 6 mois.
• Cour de cassation, 8 avril 2026 : Précision sur la charge de la preuve. Dès lors que le salarié produit des statistiques montrant un écart de traitement, c'est à l'employeur de prouver que l'algorithme n'est pas discriminatoire. L'arrêt pose le principe de « transparence probatoire ».

« La jurisprudence de 2026 est très protectrice pour les salariés. Les juges n'hésitent pas à ordonner des expertises techniques lourdes, aux frais de l'entreprise. Il est essentiel de documenter chaque étape de la conception et du déploiement de l'IA. »

7. Bonnes pratiques et mise en conformité

Pour éviter les sanctions et les contentieux, voici les recommandations des autorités et des experts :

7.1. Diversifier les données d'entraînement

Utilisez des jeux de données représentatifs de la diversité de la population active. La CNIL recommande d'inclure au moins 30 % de données issues de groupes protégés.

7.2. Audits réguliers (tous les 6 mois)

L'équité algorithmique n'est pas un état stable. Les biais peuvent émerger avec l'évolution des données. Un audit semestriel par un tiers est le minimum.

7.3. Mettre en place un « bouton rouge » humain

Un salarié ou candidat doit pouvoir demander une révision humaine de toute décision automatisée. Ce droit doit être effectif : un humain formé doit réévaluer le dossier sans être influencé par le score IA.

7.4. Documenter chaque décision

Conservez les logs de décision, les versions du modèle, les données d'entraînement et les rapports d'audit pendant 5 ans. C'est votre meilleure défense en cas de contrôle ou de plainte.

7.5. Former les équipes RH et juridiques

La formation à la non-discrimination algorithmique est obligatoire depuis 2026 pour toute personne impliquée dans le déploiement d'IA (article L. 6321-1 du Code du travail modifié).

« Une entreprise qui peut démontrer qu'elle a suivi les recommandations de la CNIL et mis en œuvre des mesures correctives bénéficie d'une circonstance atténuante en cas de litige. La bonne foi est désormais un élément clé de la défense. »

8. Cas particuliers : IA générative et sous-traitance

L'interdiction de l'IA discriminatoire s'étend également aux systèmes d'IA générative (ChatGPT, Midjourney, etc.) utilisés dans un cadre professionnel. Si un chatbot de recrutement génère des questions biaisées ou des évaluations discriminatoires, l'entreprise est responsable, même si le modèle a été développé par un tiers. La jurisprudence du 15 avril 2026 (TJ Paris) a condamné une entreprise pour avoir utilisé un LLM non audité pour rédiger des fiches de poste qui contenaient des stéréotypes de genre.

En matière de sous-traitance, l'article 28 du RGPD et l'article 12 de l'EU AI Act imposent une due diligence renforcée. L'entreprise donneuse d'ordre doit vérifier que son sous-traitant respecte les obligations d'audit et de non-discrimination. En cas de manquement, la responsabilité est solidaire. Le contrat de sous-traitance doit inclure une clause spécifique sur l'équité algorithmique, avec des pénalités en cas de non-conformité.

« Attention aux modèles pré-entraînés 'as a service'. Même si vous ne modifiez pas le modèle, vous êtes responsable de son utilisation. Exigez de votre fournisseur une attestation d'audit d'équité datant de moins de 12 mois, et faites réaliser un audit complémentaire sur votre cas d'usage spécifique. »