IA dans les admissions et le placement : ce que l'AI Act impose à un CFA d'ici décembre 2027

TL;DR : un CFA qui utilise un outil d'IA pour trier des candidatures ou rapprocher des admis et des offres d'entreprises est un « déployeur » au sens du règlement européen sur l'intelligence artificielle (AI Act). Certaines règles s'appliquent déjà : interdiction de la reconnaissance des émotions, maîtrise de l'IA par les équipes, RGPD. Si l'outil est classé à haut risque, d'autres obligations s'appliqueront à partir du 2 décembre 2027, date fixée par le règlement « omnibus » du 8 juillet 2026. Voici les règles, leurs sources et les questions à poser à chaque éditeur.

Le cadre : un règlement européen, modifié en 2026

• Le règlement (UE) 2024/1689, dit AI Act, est en vigueur depuis le 1er août 2024. Ses règles s'appliquent par étapes.
• Le règlement (UE) 2026/1744 du 8 juillet 2026, dit « omnibus numérique sur l'IA », l'a modifié. Publié au Journal officiel de l'Union le 24 juillet 2026, il est en vigueur depuis le 27 juillet 2026.

Pour un CFA, l'omnibus change surtout deux choses. Les règles des systèmes à haut risque de l'annexe III, qui couvre notamment l'éducation et l'emploi, s'appliqueront à partir du 2 décembre 2027, et non plus le 2 août 2026. Et l'article 4, sur la maîtrise de l'IA, est réécrit.

Le CFA est un « déployeur »

Le règlement distingue le fournisseur, qui développe un système d'IA et le met sur le marché sous son nom, et le déployeur, qui l'utilise sous sa propre autorité dans un cadre professionnel (article 3). Un CFA qui utilise le logiciel d'un éditeur est déployeur ; l'éditeur est fournisseur.

Un cas mérite attention : un déployeur qui modifie la destination d'un système d'IA, y compris un assistant d'IA généraliste, de sorte qu'il devienne à haut risque, est considéré comme fournisseur et en reprend les obligations, à partir du 2 décembre 2027 (article 25). Utiliser un tel assistant pour trier des candidatures peut entrer dans ce cas.

Quand un outil est-il « à haut risque » ?

L'annexe III du règlement liste les usages à haut risque. Deux rubriques concernent un CFA :

• Éducation et formation professionnelle (point 3) : les systèmes destinés à déterminer l'accès, l'admission ou l'affectation dans un établissement ; à évaluer les acquis d'apprentissage, y compris pour orienter le parcours ; à évaluer le niveau d'enseignement approprié ; à surveiller les étudiants pendant les examens pour détecter les comportements interdits.
• Emploi (point 4) : les systèmes destinés au recrutement ou à la sélection, en particulier pour publier des offres d'emploi ciblées, analyser et filtrer les candidatures et évaluer les candidats.

Une exception existe (article 6, paragraphe 3) : un système de l'annexe III n'est pas à haut risque s'il ne présente pas de risque important pour la santé, la sécurité ou les droits fondamentaux des personnes, notamment parce qu'il n'influence pas de façon significative la décision. Il doit remplir l'une de quatre conditions : accomplir une tâche procédurale étroite ; améliorer le résultat d'une activité humaine déjà réalisée ; détecter des écarts par rapport aux décisions passées, sans remplacer l'évaluation humaine ; ou exécuter une tâche préparatoire. Le considérant 53 cite par exemple la détection de doublons ou la traduction de documents.

Deux limites. Un système qui fait du profilage, c'est-à-dire qui évalue automatiquement des aspects personnels d'un individu, par exemple pour prédire son rendement au travail ou ses intérêts, reste à haut risque. Et c'est le fournisseur qui fait cette analyse : s'il retient l'exception, il doit la documenter avant la mise sur le marché et enregistrer le système dans la base de données de l'Union (article 6, paragraphe 4). Ces règles de classement s'appliquent, elles aussi, à partir du 2 décembre 2027.

Ce qui s'applique déjà

• Les pratiques interdites, depuis le 2 février 2025 (article 5). Parmi elles : utiliser un système d'IA pour déduire les émotions d'une personne sur le lieu de travail ou dans un établissement d'enseignement, sauf pour des raisons médicales ou de sécurité. Les lignes directrices de la Commission européenne (juillet 2025, non contraignantes) précisent que l'interdiction vaut aussi pour les candidats, pendant un recrutement comme pendant une admission. Elle vise les émotions déduites de données biométriques, comme le visage, la voix ou la frappe au clavier : l'analyse du ton d'un texte écrit n'est pas concernée. Un outil d'entretien vidéo qui « lit » les émotions des candidats est donc exclu.
• La maîtrise de l'IA, depuis le 2 février 2025 (article 4). Depuis l'omnibus, le texte demande aux fournisseurs et aux déployeurs de prendre des mesures pour « favoriser » la maîtrise de l'IA de leur personnel, sans les obliger à garantir un niveau précis pour chaque personne. En pratique : former les personnes qui utilisent l'outil.
• La transparence, depuis le 2 août 2026 (article 50) : le fournisseur doit concevoir un assistant conversationnel pour que la personne sache qu'elle échange avec une IA, sauf si c'est évident.
• Le RGPD. Son article 22 donne à chacun le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, qui produit des effets juridiques ou l'affecte de manière significative ; son considérant 71 cite le recrutement en ligne sans intervention humaine. En cas d'exception (contrat, consentement explicite), la personne peut au moins obtenir une intervention humaine, exprimer son point de vue et contester la décision (fiche de la CNIL). Selon la Cour de justice de l'Union, un score automatique peut constituer une telle décision quand la décision finale en « dépend de manière déterminante » (arrêt C-634/21 du 7 décembre 2023).
• Le Code du travail : le candidat à un emploi est informé, avant leur mise en œuvre, des méthodes et techniques d'aide au recrutement utilisées à son égard, qui doivent être pertinentes au regard de la finalité poursuivie (article L1221-8).

La CNIL cite le tri automatique de CV comme un cas où l'AI Act et le RGPD s'appliquent ensemble. Elle indique aussi qu'une analyse d'impact relative à la protection des données (AIPD) sera présumée requise pour les systèmes à haut risque (questions-réponses de la CNIL, mises à jour le 17 août 2026).

Ce qui s'appliquera à partir du 2 décembre 2027 si l'outil est à haut risque

L'article 26 impose alors au CFA déployeur de :

• utiliser le système conformément à la notice d'utilisation du fournisseur ;
• confier le contrôle humain à des personnes qui ont les compétences, la formation et l'autorité nécessaires ;
• veiller, s'il contrôle les données d'entrée, à ce qu'elles soient pertinentes et suffisamment représentatives ;
• surveiller le fonctionnement du système, prévenir le fournisseur en cas de risque et suspendre l'utilisation si nécessaire ;
• conserver au moins six mois les journaux générés automatiquement par le système, quand il les contrôle ;
• informer les personnes concernées, ici les candidats, qu'elles font l'objet d'un système d'IA à haut risque ;
• s'il utilise un tel système sur le lieu de travail, en tant qu'employeur, informer au préalable les représentants du personnel et les salariés concernés ;
• s'appuyer sur la documentation du fournisseur pour réaliser son AIPD.

Deux articles complètent ce socle. L'article 27 impose une analyse d'impact sur les droits fondamentaux, avant la première utilisation, aux déployeurs qui sont des organismes de droit public ou des entités privées fournissant des services publics ; le considérant 96 cite l'éducation parmi ces services. L'article 86 donne à la personne visée par une décision prise sur la base d'un système à haut risque de l'annexe III, si cette décision l'affecte de manière significative et qu'elle la juge négative pour sa santé, sa sécurité ou ses droits fondamentaux, le droit d'obtenir du déployeur des explications claires sur le rôle de l'IA et sur les principaux éléments de la décision.

Une règle de transition compte aussi : un système à haut risque mis sur le marché ou en service avant la date d'application de ces règles n'y est soumis que si sa conception subit ensuite des modifications importantes. Ceux destinés à être utilisés par des autorités publiques doivent, dans tous les cas, être mis en conformité au plus tard le 2 août 2030 (article 111, paragraphe 2). Demandez à l'éditeur comment il l'applique à ses mises à jour.

Les questions à poser à chaque éditeur

Posez-les par écrit à chaque éditeur, Bloom compris, et gardez les réponses :

1. Que fait l'IA, exactement ? Trier, classer, noter, suggérer, rédiger ? À quelle étape : admission, mise en relation avec les entreprises, suivi pédagogique ?
2. Quelles données utilise-t-elle ? CV, notes, réponses à un questionnaire, localisation ? Les données sensibles sont-elles exclues ? Où sont-elles hébergées ?
3. Qui décide ? L'outil peut-il écarter un candidat sans action humaine ? La personne qui décide peut-elle ignorer ou corriger la suggestion ?
4. Quelles explications ? L'outil montre-t-il pourquoi il propose ou classe un candidat, en des termes que vous pouvez transmettre à ce candidat ?
5. Quels journaux ? Qu'est-ce qui est enregistré (données d'entrée, résultat, utilisateur, date), pendant combien de temps, et pouvez-vous l'exporter ?
6. Quelle documentation ? Notice d'utilisation, limites connues, tests de biais, éléments utiles à votre AIPD.
7. Quelle qualification au regard de l'AI Act ? L'outil relève-t-il de l'annexe III ? L'éditeur retient-il l'exception de l'article 6, paragraphe 3 ? L'outil fait-il du profilage ? Demandez son analyse écrite.
8. Quel calendrier ? Son plan pour le 2 décembre 2027, et sa lecture de l'article 111.
9. Quelles limites ? L'outil déduit-il des émotions à partir d'une vidéo ou de la voix ? La réponse doit être non.

Ces règles sont générales : faites valider l'analyse de votre propre situation par un juriste ou par votre délégué à la protection des données.

Pour aller plus loin

• Le livre blanc Automatiser. Matcher. Décider. : ce que l'on peut confier à l'IA et ce qui doit rester humain.
• Nos articles sur les usages concrets de l'IA en CFA et sur cinq usages pour gagner du temps.
• Notre cahier des charges de logiciel CFA, où ajouter ces questions.

Ce que Bloom couvre

Bloom réunit les candidatures et les admissions dans un seul outil, y compris celles qui viennent de Parcoursup, relance les candidats et met les admis en relation avec les entreprises. Il édite le CERFA sans ressaisie et affiche le tableau de bord de la rentrée : remplissage, admis sans contrat, contrats signés. L'offre se fait sur devis.

👉 Réserver une démo

FAQ

Mon CFA est-il concerné par l'AI Act ?

Oui, dès qu'il utilise un système d'IA dans son activité : il est alors déployeur. Ses obligations dépendent du classement de l'outil.

Un outil qui rapproche les admis et les offres est-il à haut risque ?

Cela dépend de ce qu'il fait. Le recrutement, le filtrage et l'évaluation de candidats figurent à l'annexe III, mais l'exception de l'article 6, paragraphe 3, peut s'appliquer, sauf en cas de profilage. Demandez l'analyse écrite de l'éditeur.

Un candidat peut-il demander pourquoi il a été écarté ?

Le RGPD encadre déjà les décisions entièrement automatisées. Pour une décision fondée sur un système à haut risque de l'annexe III, l'article 86 de l'AI Act ajoute un droit à l'explication auprès du déployeur. Sur Parcoursup, la formation communique ses motifs au candidat qui le demande dans le mois qui suit le refus.