Un employeur peut utiliser une IA pour l’aider à examiner des candidatures, sous conditions. Il doit vérifier ce que l’outil décide réellement, informer les candidats, protéger leurs données et prévenir les discriminations. Un score suivi automatiquement, ou un classement qui rend certains CV invisibles, peut relever des décisions exclusivement automatisées encadrées par l’article 22 du RGPD.
Droit vérifié le 20 octobre 2026. Les règles propres aux systèmes de recrutement à haut risque ont été reportées au 2 décembre 2027 par le règlement (UE) 2026/1744. Ce report ne suspend ni le RGPD ni les règles françaises du recrutement. Pour examiner votre outil et votre rôle dans son déploiement, notre équipe d’avocats en intelligence artificielle peut vous accompagner.
Votre logiciel de tri de CV relève-t-il des systèmes d’IA à haut risque ?
L’annexe III, point 4 a), de l’AI Act vise les systèmes d’IA destinés au recrutement ou à la sélection. Elle comprend les outils qui analysent et filtrent les candidatures, évaluent les candidats ou diffusent des offres ciblées. Il faut examiner la fonction activée : un logiciel de gestion des candidatures peut associer un simple rangement documentaire et une fonction d’évaluation par IA.
L’article 6, paragraphe 3, prévoit des exceptions limitées, notamment pour certaines tâches préparatoires ou procédurales étroites sans risque important pour les personnes. La présence d’un recruteur en fin de parcours ne suffit pas, à elle seule, à justifier une exception. Un système visé à l’annexe III qui réalise un profilage de personnes reste classé à haut risque. Demandez à l’éditeur sa qualification motivée, adaptée à l’usage prévu.
L’employeur qui utilise le système sous son autorité est généralement un déployeur. S’il développe lui-même l’outil ou en transforme substantiellement l’usage, ses responsabilités peuvent changer ; il faut alors réexaminer son rôle. Ces distinctions découlent des articles 3, 6 et 25 du règlement IA consolidé.
Quelles obligations s’appliquent déjà en octobre 2026 ?
Le règlement (UE) 2026/1744 a modifié l’article 113 de l’AI Act. Pour les systèmes à haut risque de l’annexe III, les sections 1 à 3 du chapitre III, dont les obligations du déployeur à l’article 26, s’appliqueront à partir du 2 décembre 2027. Il serait donc inexact de présenter toutes ces obligations comme déjà exigibles pour un nouvel outil de recrutement en octobre 2026.
D’autres règles s’appliquent dès maintenant. L’employeur doit respecter le RGPD, les interdictions pertinentes de l’AI Act et les dispositions du Code du travail. L’article 4 de l’AI Act, dans sa rédaction modifiée, lui impose aussi des mesures favorisant la maîtrise de l’IA par les personnes qui l’utilisent pour son compte. Il n’exige pas de garantir un niveau individuel précis. Une formation au fonctionnement du classement, à ses limites et aux situations nécessitant une reprise manuelle répond concrètement à cet objectif.
Pour préparer 2027, recensez les versions utilisées et organisez la supervision, la surveillance des incidents et la conservation des journaux disponibles. L’article 111 prévoit un régime transitoire pour les systèmes mis sur le marché ou en service avant l’échéance : leur situation dépend notamment de modifications importantes de conception ultérieures. La date d’achat d’une licence ne suffit pas à établir une exemption.
Peut-on écarter automatiquement les candidatures mal classées ?
Un refus entièrement automatisé ayant un effet significatif sur un candidat relève, en principe, de l’interdiction de l’article 22 du RGPD. Les exceptions concernent la nécessité contractuelle, une autorisation légale assortie de garanties, ou le consentement explicite. Elles appellent une analyse stricte : gagner du temps ne démontre pas, à lui seul, qu’un refus automatique est nécessaire à la conclusion du contrat de travail.
Dans sa fiche 13 du guide du recrutement, la CNIL souligne qu’un classement peut exclure de fait les profils que le recruteur ne consulte jamais. Elle rappelle aussi la difficulté d’obtenir un consentement libre lorsque refuser le traitement compromet les chances d’obtenir un emploi.
Pour conserver une décision humaine réelle, le recruteur doit pouvoir examiner les éléments utiles, comprendre les limites du score et s’en écarter. Une validation mécanique ne suffit pas. Lorsqu’une exception contractuelle ou fondée sur le consentement autorise une décision exclusivement automatisée, le RGPD impose notamment la possibilité d’obtenir une intervention humaine, d’exprimer son point de vue et de contester.
| Fonctionnement observé | Vérification à mener | Action de l’employeur |
|---|---|---|
| L’outil range les pièces sans évaluer les personnes | Fonctions exactes, données utilisées et qualification éventuelle d’IA. | Définir les accès, l’information et les durées de conservation. |
| Un score influence la sélection | Profilage, classement à haut risque et rôle effectif du recruteur. | Documenter les critères et organiser un examen humain capable de modifier le résultat. |
| Des CV sont rejetés ou restent invisibles automatiquement | Décision significative exclusivement automatisée au sens du RGPD. | Revoir ce fonctionnement avant utilisation si aucune exception valable et ses garanties ne sont établies. |
| L’éditeur ne peut expliquer les critères ou les données | Pertinence pour le poste, transparence et possibilités de contrôle. | Demander les pièces manquantes et différer l’activation de la fonction concernée. |
Repères fondés sur les articles 6 et 26 de l’AI Act, l’article 22 du RGPD et la fiche 13 de la CNIL. Les obligations futures de l’AI Act suivent le calendrier indiqué ci-dessus.
Comment informer les candidats et le CSE ?
Les articles L. 1221-6, L. 1221-8 et L. 1221-9 du Code du travail imposent des méthodes pertinentes et une information préalable sur les techniques utilisées. Les résultats restent confidentiels. Les informations demandées doivent présenter un lien direct et nécessaire avec le poste ou l’évaluation des aptitudes professionnelles.
Placez une information accessible avant l’envoi du CV ou avant l’étape concernée. Expliquez la fonction du logiciel et la place du recruteur. Complétez avec les mentions RGPD : responsable du traitement, finalités, base légale, destinataires, conservation, droits, contact et transferts éventuels. Lorsqu’une décision automatisée relève de l’article 22, fournissez aussi des informations utiles sur sa logique et ses conséquences. Une phrase générale annonçant « l’utilisation de technologies innovantes » ne décrit pas le tri pratiqué.
Pour les entreprises soumises aux attributions du CSE prévues à partir de cinquante salariés, l’article L. 2312-38 prévoit son information préalable sur les méthodes d’aide au recrutement et leurs modifications. Il faut examiner séparément les obligations de consultation éventuellement déclenchées par le projet. Ce texte distingue notamment le recrutement des moyens de contrôle de l’activité des salariés.
Quelles garanties demander à l’éditeur avant de signer ?
Le contrat doit correspondre à la fonction réellement utilisée. Une mention commerciale « conforme au RGPD » ne permet pas de vérifier les critères du classement ou la destination des CV. Réunissez les pièces suivantes :
- La description fonctionnelle, la version, les critères de classement, les seuils d’exclusion et les limites connues de l’outil.
- Les éléments de qualification AI Act et le calendrier de mise en conformité de l’éditeur, avec les justificatifs exigibles selon le régime applicable.
- Les résultats d’évaluation pertinents pour les postes concernés, les biais recherchés, les erreurs identifiées et les moyens de les corriger.
- Les clauses relatives aux données : hébergement, sous-traitants, transferts, sécurité, assistance aux demandes des candidats, suppression et éventuelle réutilisation pour entraîner des modèles.
- La procédure de contrôle : accès aux explications, reprise manuelle, export des traces utiles, gestion des incidents et information lors des mises à jour.
Si le prestataire traite les CV pour votre compte, le contrat de sous-traitance doit respecter l’article 28 du RGPD. Une réutilisation pour ses propres finalités exige une analyse distincte. Notre guide sur la conformité RGPD des systèmes d’IA détaille cette répartition des responsabilités.
Comment vérifier les discriminations et préparer le dossier de conformité ?
L’article L. 1132-1 du Code du travail interdit les discriminations directes ou indirectes dans le recrutement. Retirer le nom du candidat ne garantit pas la neutralité du résultat : d’autres critères peuvent reproduire un désavantage injustifié. Examinez les critères au regard des compétences nécessaires au poste et des résultats observés. Pour approfondir la méthode, consultez notre article sur les biais discriminatoires des algorithmes.
Évaluez aussi la nécessité d’une analyse d’impact relative à la protection des données, avant le traitement. L’article 35 du RGPD la prévoit lorsque le traitement présente un risque élevé, notamment pour certaines évaluations systématiques et approfondies conduisant à des décisions significatives. Associez le DPO lorsqu’il a été désigné. Cette analyse ne se confond pas avec la qualification de système à haut risque dans l’AI Act.
Conservez un dossier réunissant la fiche du poste, les fonctions activées, le contrat, l’analyse des risques, les notices remises et les consignes données aux recruteurs. Prévoyez qui examine une contestation et comment retrouver les éléments utiles, sans conserver indéfiniment tous les CV.
Vous envisagez de déployer un outil de sélection ou devez revoir un système déjà utilisé ? Transmettez au cabinet sa documentation, le contrat et le parcours de recrutement prévu. Nous pouvons examiner la qualification du système, les informations à fournir et les clauses à négocier. Chaque situation est particulière ; les fonctions activées et la place effective du recruteur déterminent l’analyse.
Sources officielles consultées le 20 octobre 2026
- AI Act consolidé au 27 juillet 2026 : articles 3, 4, 6, 25, 26, 111, 113 et annexe III.
- Règlement (UE) 2026/1744 du 8 juillet 2026 : modifications et entrée en vigueur.
- RGPD : articles 5, 6, 13, 14, 22, 28 et 35.
- CNIL, guide du recrutement : notamment fiche 13, à lire avec les textes postérieurs.
- Code du travail : L. 1221-6 à L. 1221-9, L. 1132-1 et L. 2312-38.
