Trier des candidatures avec l'IA : ce qu'imposent la CNIL et l'AI Act aux recruteurs

En une phrase : Un recruteur peut se faire aider par l'IA, mais un outil qui écarte des candidats sans qu'aucune personne n'examine leur dossier tombe sous le régime très restrictif de l'article 22 du RGPD, et les IA de tri de candidatures deviennent des systèmes « à haut risque » au sens de l'AI Act.

Ce guide s'adresse aux services RH, aux cabinets de recrutement et aux dirigeants de petites entreprises qui recrutent eux-mêmes. Il ne repose sur aucun essai d'outil : il reprend ce que disent deux textes de référence, le guide recrutement de la CNIL publié le 30 janvier 2023 et le règlement européen sur l'IA (AI Act), puis propose une manière de les appliquer. Il ne remplace pas l'avis de votre délégué à la protection des données ou d'un juriste. Les autres guides métier sont dans la rubrique Outillés, et ceux consacrés aux ressources humaines dans Outillés RH.

Ce que dit la CNIL sur les logiciels de tri

La fiche n° 13 du guide recrutement de la CNIL traite des « logiciels de tri, de classement et d'évaluation ». Elle part d'un constat : ces outils, qui servaient surtout à classer des documents, offrent désormais des fonctions « d'aide à la prise de décision », voire de « prise de décision » en tant que telle. La CNIL rappelle qu'ils peuvent conduire à une décision « fondée exclusivement sur un traitement automatisé ». En raison de leurs risques, « de tels procédés sont en principe interdits par le RGPD » et ne sont admis « que dans des conditions exceptionnelles ».

Le point délicat est de savoir quand une décision devient « entièrement automatisée ». Pour la CNIL, c'est le cas lorsqu'aucun être humain n'intervient, mais aussi lorsque le recruteur « n'est pas en mesure d'expliciter les motifs de la décision proposée par l'algorithme ». Le guide ajoute qu'écarter un candidat du processus de recrutement doit « en général être considérée comme l'affectant de manière importante ». Concrètement, si votre logiciel pré-classe des centaines de CV et que vous ne lisez que les premiers, les candidats que personne n'a regardés ont été exclus par le seul logiciel, selon l'analyse de la CNIL.

Les exceptions de l'article 22 du RGPD sont étroites. Le consentement des candidats « ne saurait que très rarement » justifier une telle décision, car un refus pourrait réduire leurs chances d'être embauchés. La CNIL indique aussi qu'il n'existe pas, en France, de disposition légale autorisant ces dispositifs en recrutement. Reste la nécessité pour conclure le contrat de travail, à interpréter « de manière stricte » : le guide cite le Comité européen de la protection des données, pour qui le nombre de candidatures doit être « exceptionnellement élevé ». Sa recommandation, en cas de doute : ne pas recourir à des outils susceptibles de produire ces décisions.

Le code du travail s'applique en plus du RGPD. Selon le même guide, les articles L. 1221-6 à L. 1221-9 imposent que les informations demandées aient un « lien direct et nécessaire » avec l'emploi proposé, que les méthodes d'aide au recrutement soient « pertinentes » et que le candidat en soit « expressément informé, préalablement à leur mise en œuvre ». Pour les outils fondés sur des algorithmes « apprenants », la CNIL précise qu'il appartient au recruteur de s'assurer de leur pertinence, « ce qui comprend notamment la manière dont ils étaient "entrainés" ».

Ce que change l'AI Act pour les outils RH

Le règlement (UE) 2024/1689 classe à haut risque, dans son annexe III (point 4), les « systèmes d'IA destinés à être utilisés pour le recrutement ou la sélection de personnes physiques, en particulier pour publier des offres d'emploi ciblées, analyser et filtrer les candidatures et évaluer les candidats ». Sont aussi visées les IA qui servent à décider de promotions ou de licenciements, à attribuer des tâches selon des traits de personnalité ou à évaluer les performances des salariés.

Pour l'employeur qui utilise un tel outil (le « déployeur »), l'article 26 du règlement prévoit notamment qu'avant de le mettre en service sur le lieu de travail, il « inform[e] les représentants des travailleurs et les travailleurs concernés qu'ils seront soumis à l'utilisation du système d'IA à haut risque ». L'article 86 ouvre aussi à la personne qui fait l'objet d'une décision fondée sur un tel système le droit d'obtenir « des explications claires et pertinentes sur le rôle du système d'IA dans la procédure décisionnelle ».

Le calendrier a été modifié. Le règlement (UE) 2026/1744, publié au Journal officiel de l'Union européenne le 24 juillet 2026, fixe l'application des règles sur les systèmes à haut risque de l'annexe III au 2 décembre 2027, au lieu du 2 août 2026, en invoquant les retards dans la disponibilité des normes et dans la mise en place des autorités nationales. Une interdiction, elle, s'applique déjà depuis le 2 février 2025 : l'article 5 du règlement de 2024 proscrit les systèmes d'IA servant à « inférer les émotions d'une personne physique sur le lieu de travail », sauf raisons médicales ou de sécurité.

Le guide pas à pas

1. Faites l'inventaire. Dans le registre des traitements, listez chaque fonction de vos outils qui trie, classe, note ou rejette des candidatures. La CNIL demande d'« identifier et documenter les traitements susceptibles de produire des décisions entièrement automatisées ». Demandez à l'éditeur une description écrite du fonctionnement : dans le cas de mauvaise pratique décrit par la CNIL, une entreprise utilise un outil « sur étagère » dont le fonctionnement n'est pas détaillé, ce qui l'empêche de s'assurer de sa pertinence.

2. Remettez un regard humain sur chaque dossier écarté, ou vérifiez que vous entrez dans l'exception de nécessité. Le cas de bonne pratique du guide repose sur plusieurs centaines de candidatures reçues via un formulaire identique pour tous, plus fiable que des CV de formes variées, et sur des candidats prévenus dès le dépôt.

3. Informez les candidats. Mentionnez l'existence d'une éventuelle décision automatisée, sa logique, ses conséquences et le droit d'obtenir une intervention humaine. La CNIL recommande de leur communiquer deux dates : celle à partir de laquelle leur candidature doit être considérée comme rejetée et celle jusqu'à laquelle ils peuvent demander un réexamen, toutes deux avant la fin du recrutement.

4. Faites une analyse d'impact (AIPD) qui traite les risques de biais discriminatoires, évitez tout profilage fondé sur des données sensibles ou sur des variables qui leur sont corrélées, et associez le délégué à la protection des données s'il existe. Fixez aussi des durées de conservation : pour un vivier de candidats, le guide recommande de ne pas dépasser deux ans après le dernier contact.

5. Réservez l'IA générative aux tâches sans données de candidats. Dans ses questions-réponses sur l'IA générative du 18 juillet 2024, la CNIL distingue les usages : aider à rédiger des contenus « présentera moins de risques que l'utilisation d'un système pour aider à la prise de décision à l'égard de clients, candidats ou citoyens ». Elle conseille de « ne jamais partager d'informations confidentielles telles que des données personnelles » dans un service grand public. Un modèle de langage peut aussi produire des erreurs plausibles, les hallucinations : relisez tout.

6. Préparez le 2 décembre 2027. Si un outil d'IA intervient dans le tri ou l'évaluation, prévoyez l'information du CSE et des salariés concernés, et demandez au fournisseur la documentation que l'AI Act lui impose de remettre aux déployeurs.

Trois modèles de prompts à adapter

Ces trois modèles servent à rédiger, pas à évaluer des personnes. Remplacez les crochets par vos informations, sans y mettre de nom ni de CV. Pour la méthode générale, voir l'entrée prompt du glossaire.

Modèle de prompt à adapter, non testé par Le Latent, pour une offre d'emploi centrée sur les compétences :

Tu es chargé de recrutement. Rédige une offre d'emploi pour le poste de [intitulé], en [type de contrat], à [lieu].
Missions : [liste des missions].
Compétences et qualifications réellement nécessaires : [liste].
Contraintes : ne mentionne que des critères en lien direct avec le poste ; aucune référence à l'âge, au sexe, à l'origine, à la situation familiale, à l'apparence ou à tout autre critère sans rapport avec l'emploi. Signale-moi toute formulation qui pourrait être interprétée comme discriminatoire.
Format : 250 mots au plus, ton neutre, liste des missions à puces.

Modèle de prompt à adapter, non testé par Le Latent, pour la mention d'information des candidats (à faire valider par le DPO) :

Rédige un projet de mention d'information destinée aux candidats, en langage clair, à partir des éléments suivants. N'invente aucun élément : si une information manque, écris [À FOURNIR].
Responsable du traitement : [nom et coordonnées]. Contact du DPO : [coordonnées].
Finalité : gestion du recrutement pour le poste [intitulé].
Outils utilisés : [description de chaque méthode d'aide au recrutement].
Décision automatisée : [oui ou non ; si oui, logique et conséquences].
Droit d'obtenir une intervention humaine : [modalités, adresse].
Date à partir de laquelle la candidature est considérée comme non retenue : [date]. Date limite pour demander un réexamen : [date].
Durée de conservation : [durée].

Modèle de prompt à adapter, non testé par Le Latent, pour une grille d'entretien commune à tous les candidats :

Propose une grille d'entretien structurée pour le poste de [intitulé], à partir de cette liste de compétences : [liste].
Pour chaque compétence : deux questions ouvertes portant sur des situations professionnelles, et des repères observables pour l'évaluer.
Exclus toute question sur la vie privée, la santé, la famille, les opinions ou tout sujet sans lien direct avec le poste.

Ce qu'il reste à vérifier

Le guide de la CNIL date de janvier 2023, avant l'adoption de l'AI Act : il ne traite pas des obligations propres à ce règlement. À l'inverse, l'AI Act ne remplace pas le RGPD, qui continue de s'appliquer aux données des candidats. Les motifs du règlement (UE) 2026/1744 font état de retards dans la disponibilité des normes, des spécifications communes et des orientations attendues pour les systèmes à haut risque : les modalités pratiques peuvent encore être précisées d'ici décembre 2027.

Dans la même rubrique : Freelances : utiliser l'IA pour vos relances et factures sans oublier la facture électronique et Cabinet d'expertise comptable : encadrer l'IA générative avec la checklist de l'Ordre francilien et la CNIL.