Depuis le 2 août 2026, les entreprises qui utilisent une intelligence artificielle pour trier, noter ou classer des candidatures se trouvent face à un calendrier trompeur. Le régime européen complet des systèmes d’IA à haut risque appliqués au recrutement a été reporté au 2 décembre 2027. Ce délai ne donne pourtant aucun droit d’utiliser un algorithme opaque, de collecter des données à l’insu des candidats ou de laisser un score automatisé décider seul d’une embauche. Le Code du travail, le RGPD, l’interdiction européenne de certaines pratiques et le droit de la non-discrimination produisent déjà leurs effets.
L’enjeu est immédiat. Un employeur doit savoir si son ATS se contente de ranger des CV ou s’il infère des aptitudes, analyse une vidéo, établit un profil de personnalité ou élimine automatiquement des dossiers. Il doit pouvoir expliquer les critères utilisés, informer les candidats, consulter le CSE lorsqu’il existe, contrôler son prestataire et conserver les preuves de chaque décision humaine. Le candidat écarté doit, de son côté, agir avant la disparition des journaux techniques et demander les informations qui permettront d’identifier un biais ou une décision exclusivement automatisée. Ce guide distingue ce qui est déjà obligatoire en 2026 de ce qui entrera en vigueur en 2027, puis expose les actions concrètes à mener en cas de contrôle ou de contestation.
I. AI Act et IA de recrutement en 2026 : quelles obligations s’appliquent malgré le report à 2027 ?
A. Une IA qui trie les candidatures est-elle déjà interdite ou seulement classée à haut risque ?
Le règlement (UE) 2024/1689 sur l’intelligence artificielle raisonne par usage. Un outil qui aide à rédiger une annonce ne présente pas le même risque qu’un système qui analyse les candidatures, classe les profils, recommande une personne ou évalue un candidat pendant un entretien. L’annexe III, point 4, range parmi les systèmes à haut risque ceux destinés au recrutement ou à la sélection, notamment pour publier des offres ciblées, analyser et filtrer des candidatures ou évaluer des candidats. Le nom commercial du logiciel importe peu : un ATS, un module de matching, un test en ligne ou un entretien vidéo peut relever de cette catégorie selon sa fonction réelle.
Le calendrier a changé pendant l’été 2026. La synthèse officielle de Vie-publique sur l’AI Act indique que les obligations propres aux systèmes à haut risque de l’annexe III sont reportées au 2 décembre 2027. Les systèmes à haut risque intégrés dans certains produits réglementés disposent d’un calendrier distinct allant jusqu’au 2 août 2028. Un employeur ne doit donc pas présenter comme déjà applicables en août 2026 toutes les obligations détaillées des articles 26 et suivants du règlement. Il peut en revanche les utiliser comme cahier des charges : supervision humaine réelle, journalisation, qualité des données d’entrée, notice d’utilisation, signalement des incidents et capacité d’explication.
Le report ne suspend pas les pratiques interdites par l’article 5 de l’AI Act. L’inférence des émotions sur le lieu de travail est interdite, hors motifs médicaux ou de sécurité étroitement définis. Une entreprise doit désactiver tout module prétendant déduire la motivation, la sincérité, le stress, la confiance ou la personnalité d’un candidat à partir de son visage, de sa voix, de ses micro-expressions ou de son comportement pendant un entretien. Le simple fait qu’un fournisseur vende cette fonction ne la rend pas licite. Il faut demander une description technique écrite, faire désactiver la fonction au niveau du compte et conserver la preuve de cette désactivation.
Les obligations françaises relatives au recrutement s’appliquent déjà, sans attendre 2027. L’article L. 1221-8 du Code du travail, vérifié dans sa version en vigueur, dispose mot pour mot : « Le candidat à un emploi est expressément informé, préalablement à leur mise en oeuvre, des méthodes et techniques d’aide au recrutement utilisées à son égard. » Il ajoute : « Les résultats obtenus sont confidentiels. » Une mention générale dans une politique de confidentialité difficile à trouver ne suffit pas toujours. L’information doit arriver avant le test, le scoring ou l’analyse, dans un langage compréhensible.
Cette information doit préciser la fonction du système, les données analysées, les critères principaux, la place du recruteur humain, la durée de conservation et les moyens d’exercer ses droits. Le candidat doit comprendre si le logiciel extrait seulement des compétences du CV, compare des mots-clés, produit un score, classe les dossiers ou bloque automatiquement les candidatures sous un seuil. Lorsque plusieurs outils interviennent, chacun doit être identifié par sa fonction. Le secret des affaires du fournisseur ne justifie pas une information vide.
L’article L. 1221-9 du Code du travail fixe une autre limite claire : « Aucune information concernant personnellement un candidat à un emploi ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. » Sont donc particulièrement risqués l’enrichissement silencieux d’un profil à partir de réseaux sociaux, l’analyse cachée d’une vidéo, la collecte de métadonnées comportementales ou la recherche de données auprès d’un courtier sans information préalable.
La collecte doit aussi rester pertinente. L’article L. 1221-6 du Code du travail exige que les informations présentent « un lien direct et nécessaire avec l’emploi proposé ou avec l’évaluation des aptitudes professionnelles ». Un algorithme ne peut légitimer des critères qui seraient illicites s’ils étaient examinés par un recruteur. Le lieu de résidence, la situation familiale, l’état de santé, la photographie, l’âge ou des indices indirects d’origine ne doivent pas influencer le classement, sauf base juridique précise et nécessité démontrée. L’employeur doit tester les variables utilisées, y compris les variables de substitution susceptibles de reproduire un critère protégé.
Avant tout déploiement, l’entreprise doit établir une carte fonctionnelle de l’outil. Elle peut poser cinq questions simples au fournisseur : quelles données entrent dans le modèle ; quel résultat en sort ; qui fixe les pondérations ; une candidature peut-elle être rejetée sans validation humaine ; quelles traces permettent de reconstituer une décision ? Si le prestataire refuse de répondre ou invoque son modèle propriétaire pour ne remettre aucune documentation, le risque contractuel et réglementaire devient trop élevé.
Le contrat avec le fournisseur doit dépasser une clause générique de conformité. Il doit imposer une annexe décrivant les fonctionnalités actives, l’interdiction de réutiliser les CV pour entraîner un modèle sans instruction, la localisation et les sous-traitants, la durée des journaux, l’assistance en cas de demande d’un candidat, l’audit des biais, la notification des changements de modèle et la restitution des preuves. Une garantie doit couvrir les dommages résultant d’une fonctionnalité non déclarée ou d’une évolution du système. L’entreprise doit pouvoir suspendre le module sans perdre l’accès aux données utiles à un litige.
B. Comment informer les candidats, consulter le CSE et garder une décision réellement humaine ?
Le premier document utile est une notice candidat remise avant la collecte. Elle ne doit pas annoncer seulement que « l’entreprise peut utiliser des outils numériques ». Elle doit décrire le rôle de l’IA dans le parcours. Une formulation opérationnelle indique, par exemple, que le logiciel extrait les expériences et compétences du CV, compare ces données aux critères du poste, propose un classement indicatif et ne peut pas rejeter seul une candidature. La notice identifie le responsable du traitement, le contact données personnelles, les destinataires, les durées, les transferts éventuels et les droits d’accès, de rectification, d’opposition ou de limitation.
Les articles 13, 14 et 22 du règlement général sur la protection des données encadrent respectivement l’information lorsque les données sont collectées auprès de la personne, l’information lorsque les données proviennent d’une autre source et les décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant significativement la personne. L’employeur doit déterminer si le recruteur exerce un contrôle réel. Une validation automatique, effectuée sans accès aux raisons du score et sans pouvoir de réexamen, ne constitue pas une intervention humaine substantielle.
Le contrôle humain doit être organisé, pas seulement annoncé. Le recruteur doit recevoir les données pertinentes qui expliquent le résultat, connaître les limites du système, pouvoir modifier le classement et documenter sa propre appréciation. Il faut prévoir un examen manuel des dossiers rejetés autour d’un seuil, des contrôles par échantillonnage et une procédure de recours interne. Les taux de sélection doivent être comparés entre groupes lorsque la loi permet ce contrôle et avec des garanties adaptées. Une dérive statistique ne prouve pas seule une discrimination, mais elle impose une investigation.
Dans les entreprises dotées d’un CSE, la procédure sociale intervient avant l’utilisation. L’article L. 2312-38 du Code du travail prévoit exactement : « Le comité social et économique est informé, préalablement à leur utilisation, sur les méthodes ou techniques d’aide au recrutement des candidats à un emploi ainsi que sur toute modification de celles-ci. » Le texte vise également les traitements automatisés de gestion du personnel. La direction doit donc fournir une information assez précise pour que le comité comprenne les finalités, les données, les conséquences, la place du fournisseur et les moyens de contrôle.
Un changement important du modèle, des pondérations, des données ou des fonctions peut imposer une nouvelle information. Lorsque l’outil affecte l’organisation, les effectifs, les métiers ou les conditions de travail, une consultation peut aussi être requise. Dans son arrêt du 29 mars 2023, n° 21-17.729, publié au Bulletin et au Rapport, la chambre sociale affirme mot pour mot que « sont, en revanche, soumises à consultation les mesures ponctuelles intéressant l’organisation, la gestion et la marche générale de l’entreprise au sens de l’article L. 2312-8 du code du travail, notamment celles de nature à affecter le volume ou la structure des effectifs ». La Cour ajoute que cette obligation subsiste même lorsque les mesures résultent d’un accord de gestion prévisionnelle des emplois et des compétences.
Le dossier remis au CSE peut comporter la notice fournisseur, une analyse des finalités, la liste des données, les règles de conservation, les résultats des tests, le protocole de supervision humaine, les mesures de cybersécurité et le projet de notice candidat. Les secrets techniques peuvent être protégés par des modalités de confidentialité proportionnées, sans priver le comité des éléments nécessaires. L’employeur conserve les convocations, documents transmis, avis et réponses apportées aux questions.
La CNIL a placé le recrutement parmi ses thématiques prioritaires de contrôle pour 2026. Une entreprise doit donc être prête à produire immédiatement son registre des traitements, l’analyse de nécessité, les notices, le contrat de sous-traitance, les durées de conservation et, lorsque le risque l’exige, une analyse d’impact. Le fait que le logiciel soit hébergé par un prestataire n’efface pas la responsabilité de l’employeur qui détermine la finalité du recrutement.
Une checklist de mise en conformité en 2026 peut tenir en dix actions : inventorier les outils ; désactiver l’analyse émotionnelle ; qualifier chaque fonction ; vérifier les données et critères ; informer les candidats ; organiser le réexamen humain ; informer ou consulter le CSE ; encadrer le fournisseur ; tester les résultats ; préparer les demandes d’accès et incidents. Chaque action doit produire une pièce datée. La conformité se démontre par un dossier cohérent, pas par une déclaration du prestataire.
II. Candidat écarté par une IA : quelles preuves demander et quels recours exercer ?
A. Comment prouver qu’un algorithme de recrutement a biaisé ou automatisé la décision ?
Un candidat soupçonne rarement l’intervention d’un algorithme à partir d’une preuve directe. Les premiers indices sont une réponse instantanée après dépôt du CV, un classement ou score visible, des questions sans rapport avec le poste, un entretien vidéo analysé automatiquement, des incohérences répétées ou une absence totale d’explication. Il faut conserver l’annonce, les captures d’écran, les courriels, les conditions d’utilisation, la notice de confidentialité, les questions du test et l’heure exacte de chaque étape. Une demande écrite doit partir rapidement, car les journaux techniques ont parfois une durée courte.
La demande peut porter sur les données personnelles utilisées, leur source, les destinataires, la durée de conservation, l’existence d’un profilage ou d’une décision automatisée, la logique générale du traitement, le rôle du système dans la décision et la possibilité d’un réexamen humain. Elle doit éviter d’exiger le code source entier si cette demande n’est pas nécessaire. Les informations décisives sont souvent plus concrètes : variables d’entrée, critères, seuils, score, rang, motifs de rejet, version du modèle, intervention du recruteur et traces de modification.
Le principe de non-discrimination s’applique dès la procédure de recrutement. L’article L. 1132-1 du Code du travail commence par cette règle : « Aucune personne ne peut être écartée d’une procédure de recrutement » en raison d’un motif protégé. L’origine, le sexe, l’âge, la grossesse, le handicap, l’état de santé, la situation familiale, les convictions, le lieu de résidence et l’activité syndicale figurent notamment parmi les critères prohibés. Un modèle peut créer une discrimination directe ou indirecte, même si aucun développeur n’a programmé une exclusion explicite.
La preuve obéit à un régime aménagé. L’article L. 1134-1 du Code du travail permet au candidat de présenter des faits laissant supposer une discrimination. Il incombe ensuite à la partie défenderesse de démontrer que sa décision repose sur des éléments objectifs étrangers à toute discrimination. La chambre sociale l’a rappelé dans son arrêt du 5 février 2025, n° 23-15.776, publié au Bulletin : « il incombe à l’employeur de prouver que ses décisions sont justifiées par des éléments objectifs étrangers à toute discrimination. » Cette citation a été vérifiée mot pour mot dans le texte intégral de la décision.
Pour un algorithme, les éléments présentés peuvent être un taux d’exclusion inhabituel, une corrélation avec un critère protégé, l’usage d’une variable de substitution, l’absence d’information, l’impossibilité d’obtenir un examen humain, des explications contradictoires ou la comparaison avec des candidatures similaires. Le candidat n’a pas à reconstituer seul le modèle complet avant de saisir un juge. Il doit néanmoins rassembler des faits précis et cohérents, puis demander la production ciblée des pièces détenues par l’employeur ou le fournisseur.
La jurisprudence montre l’importance de tracer les règles de priorité et leur application. Dans son arrêt du 16 décembre 2020, n° 19-14.682, publié au Bulletin, la chambre sociale énonce exactement : « Il appartient à l’employeur de justifier avoir respecté cet ordre de priorité à l’égard des catégories de personnes en bénéficiant et le manquement de l’employeur à cette obligation ouvre droit au paiement de dommages-intérêts en réparation du préjudice éventuellement subi. » La décision concernait une priorité conventionnelle, mais son enseignement pratique est net : lorsque des règles gouvernent l’examen des candidatures, l’employeur doit conserver la preuve de leur respect.
Le risque peut aussi devenir pénal. L’article 225-1 du Code pénal définit la discrimination comme « toute distinction opérée entre les personnes physiques » sur un fondement protégé. L’article 225-2 du Code pénal prévoit trois ans d’emprisonnement et 45 000 euros d’amende lorsqu’elle consiste notamment « A refuser d’embaucher » ou à subordonner une offre d’emploi à une condition discriminatoire. L’automatisation ne fait pas écran : une personne morale et ses responsables peuvent être exposés selon les faits, les délégations et les décisions prises.
Une entreprise qui découvre un biais ne doit ni effacer les journaux ni corriger silencieusement le système. Elle doit suspendre la fonction concernée, préserver les preuves, identifier les décisions affectées, alerter le délégué à la protection des données et le service juridique, puis organiser un réexamen humain. Elle documente les mesures correctrices et informe les personnes lorsque le droit l’exige. L’article 1240 du Code civil rappelle le socle de la responsabilité : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. »
B. CNIL, prud’hommes, référé probatoire : dans quel ordre agir à Paris et en Île-de-France ?
Le premier recours est souvent une demande amiable structurée adressée à l’employeur et à son délégué à la protection des données. Elle sollicite l’accès aux données, les sources, le score, les principaux critères, les destinataires, les durées et la confirmation d’une intervention humaine. Elle demande aussi le gel des journaux liés à la candidature. Un délai de réponse doit être rappelé sans menacer inutilement. Si une candidature reste ouverte, un réexamen rapide peut réparer la situation avant la conclusion du recrutement.
En l’absence de réponse satisfaisante sur les données personnelles, une réclamation peut être déposée auprès de la CNIL. Le dossier doit contenir la demande initiale, la preuve de sa réception, la réponse éventuelle, les captures et la notice d’information. La CNIL traite la conformité du traitement ; elle ne remplace pas le conseil de prud’hommes pour obtenir l’indemnisation d’une discrimination à l’embauche. Les deux démarches peuvent être complémentaires.
Le Défenseur des droits peut être saisi lorsqu’une discrimination est suspectée. Il peut demander des explications, conduire une enquête, proposer une médiation, présenter des observations ou orienter la victime. Un signalement pénal ou une plainte peut être envisagé pour les faits les plus graves. Le choix dépend de la preuve disponible, de l’objectif poursuivi et du risque de disparition des données.
Avant un procès, une mesure d’instruction peut être demandée sur le fondement de l’article 145 du Code de procédure civile. Sa version en vigueur énonce : « S’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits dont pourrait dépendre la solution d’un litige, les mesures d’instruction légalement admissibles peuvent être ordonnées à la demande de tout intéressé, sur requête ou en référé. » La demande doit être ciblée et proportionnée. Elle peut viser les logs de la candidature, la version du modèle, les critères appliqués, les interventions humaines, les résultats d’audit et un échantillon anonymisé utile à la comparaison.
La mesure ne doit pas devenir une exploration générale du système d’information. Il faut définir la période, le poste, les catégories de documents, les détenteurs et les mesures de confidentialité. Lorsque les données se trouvent chez un prestataire SaaS, il faut vérifier qui en a la maîtrise et envisager sa mise en cause. La nouvelle rédaction de l’article 145 précise la compétence territoriale : le demandeur peut saisir la juridiction susceptible de connaître du fond ou celle dans le ressort de laquelle la mesure doit être exécutée. Cette question doit être examinée avant le dépôt.
À Paris et en Île-de-France, le contentieux individuel lié à une candidature relève en principe du conseil de prud’hommes territorialement compétent selon les règles applicables au litige. Une mesure probatoire dirigée contre une société, un cabinet de recrutement ou un fournisseur peut soulever des questions distinctes de compétence et de secret des affaires. Les pièces utiles sont : offre d’emploi, CV transmis, formulaire, notice, échanges, captures datées, demande d’accès, réponse, identité des sociétés, conditions contractuelles accessibles, chronologie et tableau des données manquantes. Le dossier doit distinguer les faits certains des hypothèses techniques.
L’employeur doit préparer le dossier inverse. Il conserve les critères du poste validés avant le tri, les instructions données au prestataire, la version de l’algorithme, les tests, les scores, les décisions humaines et la raison objective du rejet. L’article 1353 du Code civil formule la règle générale : « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. » Dans un litige de discrimination, cette règle s’articule avec le régime aménagé de l’article L. 1134-1 du Code du travail.
Un protocole de conservation doit empêcher l’écrasement automatique des données après la réception d’une contestation. Il identifie les logs à geler, les personnes autorisées à y accéder, les copies réalisées et leur intégrité. Les données de tiers sont pseudonymisées lorsque leur identité n’est pas nécessaire. Si une expertise est ordonnée, les questions doivent porter sur le fonctionnement réellement utilisé au moment des faits, pas seulement sur la version actuelle du logiciel.
Pour réduire le risque avant toute contestation, l’entreprise peut imposer une double validation des rejets, interdire les seuils éliminatoires non justifiés, auditer périodiquement les écarts, ouvrir un canal de réexamen et tester les mises à jour. Le fournisseur doit notifier tout changement qui modifie le classement. Le responsable RH signe une fiche de décision pour les postes sensibles. Ces mesures protègent le candidat et donnent à l’entreprise les éléments objectifs qu’elle devra produire en cas de litige.
Les entreprises parisiennes qui utilisent plusieurs cabinets ou plateformes doivent cartographier toute la chaîne. Le cabinet de recrutement, l’éditeur ATS, l’hébergeur et un sous-traitant d’analyse vidéo peuvent chacun détenir une partie de la preuve. Le contrat principal doit obliger chaque intervenant à coopérer, conserver les journaux pendant une durée adaptée et répondre aux demandes. Un lien utile vers la page du cabinet consacrée au droit des affaires permet d’identifier l’accompagnement disponible pour l’audit contractuel, la préservation de la preuve et le contentieux avec un fournisseur.
Conclusion
Le report au 2 décembre 2027 des obligations complètes applicables aux systèmes d’IA à haut risque ne crée pas une année blanche. En 2026, un employeur doit déjà informer le candidat, limiter les données aux aptitudes utiles, proscrire l’analyse émotionnelle, respecter le RGPD, prévenir les discriminations, informer le CSE et conserver une décision humaine démontrable. Il doit aussi maîtriser son fournisseur : fonctionnalités actives, données, versions, journaux, audits, assistance et restitution des preuves.
Le candidat qui soupçonne un rejet algorithmique doit agir méthodiquement : préserver les écrans et courriels, demander ses données et une explication, solliciter un réexamen, saisir la CNIL ou le Défenseur des droits selon le problème, puis envisager une mesure probatoire avant le procès lorsque les journaux risquent de disparaître. L’entreprise confrontée à une contestation doit suspendre toute suppression, préserver les traces et produire les critères objectifs ayant conduit à la décision. La meilleure protection reste une procédure explicable de bout en bout, dans laquelle l’outil assiste un recruteur formé sans se substituer à son jugement.
Besoin d’un avis rapide sur votre dossier.
Consultation téléphonique en 48 heures avec un avocat du cabinet.
À Paris et en Île-de-France, nous examinons la procédure de recrutement, les contrats fournisseurs, les preuves disponibles et les recours adaptés.
Appelez le cabinet au 06 46 60 58 22 ou utilisez le formulaire de contact.
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.