Le 31 mai 2026, le magazine Capital annonçait que la CNIL avait placé le recrutement parmi ses priorités de contrôle pour l’année 2026, en visant précisément les entreprises qui utilisent l’intelligence artificielle pour trier les CV et présélectionner les candidats. L’argument de l’autorité est double : des risques de discrimination difficilement détectables et un manque de transparence de certains outils. Deux mois plus tard, le 2 août 2026, le règlement européen sur l’intelligence artificielle est devenu pleinement applicable, y compris pour les systèmes d’IA utilisés dans le recrutement, classés parmi les systèmes à haut risque. Pour un dirigeant, un DRH ou un responsable du traitement, la question n’est donc plus de savoir si l’outil de tri automatisé sera examiné, mais quand, par qui et avec quelles pièces. Le présent dossier décrit la méthode complète : qualifier ce que l’outil fait subir aux candidats, repérer les usages interdits, informer les bonnes personnes dans les formes exigées, puis constituer le dossier de preuve qu’un contrôle de la CNIL ou un contentieux prud’homal réclamera.

Le cas traité ici est celui de l’entreprise établie en France qui utilise, pour ses propres recrutements, un logiciel qui analyse et filtre les candidatures, attribue des scores ou présélectionne des profils. Il ne vise ni l’éditeur qui conçoit l’outil, dont les obligations relèvent d’un autre régime, ni le candidat qui conteste un refus, dont les recours font l’objet d’un dossier distinct sur ce site. Il ne vise pas non plus l’usage détourné d’un assistant conversationnel public par un salarié, qui soulève des questions différentes de fuite de données et de sanction disciplinaire.

I. Comprendre ce que votre outil de tri fait subir aux candidats

Avant de cocher des cases de conformité, le dirigeant doit décrire honnêtement le rôle réel de l’outil dans la décision d’embauche. C’est de cette description que dépend tout le régime applicable.

A. Tri, score et présélection : une décision automatisée qui produit des effets juridiques

Le règlement général sur la protection des données pose un principe simple à son article 22, paragraphe 1 : la personne concernée a le « droit de ne pas faire l’objet » d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, dès lors que cette décision produit des effets juridiques à son égard ou l’affecte de manière significative de façon similaire. Écarter une candidature d’une procédure d’embauche affecte de manière significative la personne concernée : cela lui ferme l’accès à un emploi. Dès lors, un logiciel qui trie les CV, attribue une note d’adéquation au poste ou génère une liste restreinte de candidats à convoquer entre dans le champ de ce texte dès qu’aucune intervention humaine réelle ne s’interpose avant l’éviction.

Le considérant 71 du même règlement le dit sans détour, en citant expressément les pratiques de recrutement en ligne « sans aucune intervention humaine » parmi les exemples de décisions automatisées visées. La mention n’est pas anecdotique : elle signifie que les auteurs du règlement avaient le recrutement automatisé en tête lorsqu’ils ont écrit l’article 22. L’entreprise ne peut donc pas soutenir qu’un outil de tri de CV échapperait par nature au régime des décisions automatisées.

La Cour de justice de l’Union européenne a donné à cette notion une portée large dans son arrêt du 7 décembre 2023, SCHUFA, affaire C-634/21, dont le texte est consultable sur le portail InfoCuria de la Cour. La Cour y dit pour droit que l’établissement automatisé d’une valeur de probabilité à partir de données personnelles constitue une décision individuelle automatisée dès lors qu’un tiers fonde de manière déterminante sur cette valeur sa décision d’établir, d’exécuter ou de mettre fin à une relation contractuelle avec la personne concernée. L’affaire portait sur un score de solvabilité, pas sur un recrutement, mais le raisonnement est transposable : ce n’est pas la dénomination commerciale de l’outil qui compte, c’est le fait qu’un tiers fonde sa décision de manière déterminante sur la valeur produite par la machine. Quand un recruteur ne convoque en entretien que les candidats notés au-dessus d’un seuil fixé par le logiciel, ou quand il écarte sans les lire les CV que l’outil a classés en bas de pile, la note de l’outil détermine l’issue de la candidature. Le tri automatisé devient alors la décision elle-même, même si un humain clique ensuite sur le bouton d’envoi du refus.

Cette qualification emporte des conséquences directes. Dans les cas où une décision automatisée reste permise, le responsable du traitement doit mettre en œuvre des garanties, dont le droit d’obtenir une « intervention humaine », d’exprimer son point de vue et de contester la décision. Concrètement, le candidat évincé par la machine doit pouvoir obtenir qu’une personne réexamine son dossier, présenter ses observations et contester le résultat. Une entreprise dont le processus ne prévoit aucun réexamen humain, aucun point de contact et aucune procédure de contestation se place en infraction dès le premier refus automatisé. Le règlement européen sur l’intelligence artificielle renforce cette exigence côté déployeur en imposant un « contrôle humain » confié à des personnes physiques compétentes, formées et dotées de l’autorité et du soutien nécessaires. Le contrôle humain n’est donc pas une formidable déclaration d’intention dans une charte interne, c’est une personne identifiée, formée, dotée d’une autorité réelle pour contredire la machine, et dont l’intervention est tracée.

Le premier travail du dirigeant consiste par conséquent à cartographier le processus réel, étape par étape : quelles données entrent dans l’outil, quel score ou quel classement en sort, qui lit quoi, à quel stade un humain peut encore repêcher une candidature écartée, et combien de candidatures écartées par l’outil ont effectivement été relues par une personne. Si la réponse à la dernière question est aucune, l’entreprise applique une décision exclusivement automatisée et doit en assumer tout le régime, décrit dans la seconde partie. Si un réexamen humain existe, il faut pouvoir le prouver : identité des relecteurs, proportion de dossiers relus, exemples de décisions contraires à la recommandation de l’outil. Un contrôle de la CNIL commencera presque toujours par cette question, et une réponse vague y sera lue comme un aveu.

B. Les lignes rouges : émotions au travail, données sensibles et discrimination à l’embauche

Certains usages ne se mettent pas en conformité, ils s’arrêtent. Le premier concerne l’analyse des émotions. Le règlement sur l’intelligence artificielle part d’un constat sévère sur la fiabilité scientifique de ces systèmes et sur le déséquilibre de pouvoir propre aux relations de travail, et il tranche en faveur de l’interdiction de mettre sur le marché, de mettre en service ou d’utiliser des systèmes d’IA destinés à déterminer l’état émotionnel de personnes physiques dans des situations liées au lieu de travail et à l’enseignement, comme le rappelle la documentation officielle sur les pratiques interdites. L’interdiction, applicable depuis le 2 février 2025 au titre des pratiques interdites, vise directement les outils qui analysent les entretiens vidéo pour en déduire le stress, la confiance en soi, l’enthousiasme ou la sincérité d’un candidat. Une entreprise qui a acheté une fonction d’analyse du langage corporel, du ton de la voix ou des micro-expressions faciales dans sa suite de recrutement doit la désactiver et documenter cette désactivation. La seule réserve prévue concerne les systèmes mis sur le marché strictement pour des raisons médicales ou de sécurité, comme un usage thérapeutique, ce qui ne couvre pas la sélection de candidats.

La seconde ligne rouge tient aux données que l’outil ingère. L’article 22, paragraphe 4, du règlement général sur la protection des données n’autorise les décisions automatisées fondées sur des catégories particulières de données, celles de l’article 9, que dans des conditions spécifiques étroites. Or un outil de recrutement qui aspire les profils de réseaux sociaux, analyse les photographies jointes aux candidatures ou déduit des informations sur l’origine, la santé, les opinions ou l’appartenance syndicale expose l’entreprise à traiter des données sensibles sans fondement valable. Le code du travail ajoute une barrière propre au recrutement : « Les informations demandées, sous quelque forme que ce soit, au candidat à un emploi ne peuvent avoir comme finalité que d’apprécier sa capacité à occuper l’emploi proposé ou ses aptitudes professionnelles. » Tout critère sans lien direct et nécessaire avec le poste, fût-il découvert par la machine plutôt que demandé par un formulaire, viole ce texte. Le dirigeant doit donc exiger de son éditeur la liste exacte des variables prises en compte par le modèle et vérifier chacune au regard du poste : l’ancienneté dans une fonction comparable passe le test, la photographie, l’âge déduit du parcours ou le code postal non.

La troisième ligne rouge est la discrimination, qui survient souvent sans intention discriminatoire. Un modèle entraîné sur les recrutements passés de l’entreprise reproduit les biais de ces recrutements : s’il apprend que les profils promus sont majoritairement des hommes d’une certaine tranche d’âge issus de certaines écoles, il pénalisera les autres profils. Le code du travail est formel : « Aucune personne ne peut être écartée d’une procédure de recrutement ou de nomination ou de l’accès à un stage ou à une période de formation en entreprise » pour l’un des motifs prohibés, qui couvrent notamment l’origine, le sexe, l’âge, la situation de famille, l’apparence physique, le lieu de résidence ou l’état de santé. La discrimination peut être indirecte, c’est-à-dire résulter d’un critère en apparence neutre qui désavantage en fait une catégorie protégée, et un score d’adéquation opaque constitue un terrain idéal pour ce mécanisme. Devant le conseil de prud’hommes, le candidat qui établit des faits laissant supposer une discrimination renverse la charge de la preuve : c’est à l’employeur de démontrer que sa décision repose sur des éléments objectifs étrangers à toute discrimination. Face à un outil dont personne dans l’entreprise ne comprend la logique, cette démonstration est redoutable. D’où l’importance des tests de biais avant déploiement et des suivis statistiques après : taux de présélection par sexe, par tranche d’âge, par origine supposée du nom, comparés à la population des candidatures reçues. Ces mesures relèvent à la fois de la conformité au règlement sur l’intelligence artificielle, qui impose aux déployeurs de surveiller le fonctionnement du système et de signaler les risques au fournisseur, et de la défense prud’homale de l’entreprise.

II. Mettre l’entreprise en règle avant le contrôle

Une fois le rôle réel de l’outil décrit et les usages interdits écartés, l’entreprise doit accomplir les formalités qui conditionnent la licéité du traitement et préparer les pièces qu’un contrôle réclamera.

A. Informer les candidats et les représentants du personnel, limiter la conservation

L’obligation d’information est double, et chaque volet a son texte. Côté candidat, le code du travail dispose que « Le candidat à un emploi est expressément informé, préalablement à leur mise en oeuvre, des méthodes et techniques d’aide au recrutement utilisées à son égard. » L’information doit donc intervenir avant que l’outil ne traite la candidature, pas après le refus. En pratique, l’offre d’emploi ou l’accusé de réception de la candidature mentionne l’existence du tri automatisé, sa logique en termes compréhensibles, les critères pris en compte, la possibilité d’obtenir un réexamen humain et les modalités pour le demander. Le même article ajoute que « Les méthodes et techniques d’aide au recrutement ou d’évaluation des candidats à un emploi doivent être pertinentes au regard de la finalité poursuivie. », ce qui fonde le contrôle de proportionnalité décrit plus haut, et que les résultats obtenus sont confidentiels, ce qui interdit de les communiquer à des tiers sans fondement.

Le règlement général sur la protection des données complète ce dispositif par ses articles 13 et 14 : identité du responsable du traitement, finalités, base légale, destinataires, durée de conservation, droits des personnes dont l’accès, la rectification, l’effacement et l’opposition, droit d’introduire une réclamation auprès de la CNIL, et existence d’une prise de décision automatisée avec des informations utiles sur la logique sous-jacente ainsi que l’importance et les conséquences prévues du traitement. Le guide du recrutement publié par la CNIL détaille ces mentions et rappelle que toutes les opérations portant sur les données des candidats, de la collecte à la suppression, constituent des traitements soumis au règlement. L’entreprise reprend ces mentions dans sa politique de confidentialité dédiée au recrutement, distincte de celle applicable aux salariés, et veille à ce que le prestataire qui héberge le portail de candidature ne les remplace pas par ses propres mentions.

Côté représentants du personnel, le code du travail dispose que « Le comité social et économique est informé, préalablement à leur utilisation, sur les méthodes ou techniques d’aide au recrutement des candidats à un emploi ainsi que sur toute modification de celles-ci. » L’information du comité doit donc précéder la mise en service de l’outil, et chaque modification substantielle, changement de modèle, ajout d’une source de données, modification des critères, donne lieu à une nouvelle information. Le procès-verbal de la réunion du comité constitue une pièce du dossier de conformité, au même titre que la documentation technique. Dans les entreprises qui exploitent aussi des traitements automatisés de gestion du personnel ou des moyens de contrôle de l’activité des salariés, le même article prévoit une information préalable sur ces traitements et une procédure d’information et de consultation sur les moyens de contrôle : un outil de recrutement qui suivrait ensuite les salariés recrutés dans leur activité franchirait cette seconde frontière et devrait respecter le régime correspondant. Lorsque l’outil sert ensuite à évaluer les salariés recrutés, par exemple pour décider d’une promotion ou d’un suivi de performance, le code du travail encadre aussi la collecte : « Les informations demandées, sous quelque forme que ce soit, à un salarié ne peuvent avoir comme finalité que d’apprécier ses aptitudes professionnelles. » Et « Le salarié est expressément informé, préalablement à leur mise en oeuvre, des méthodes et techniques d’évaluation professionnelles mises en oeuvre à son égard. »

La durée de conservation mérite une attention particulière, car c’est l’un des premiers points vérifiés lors d’un contrôle. La CNIL indique que le dossier peut être conservé « 2 ans après votre dernier contact » avec le recruteur, ou plus longtemps si le candidat a donné son accord formel. La règle opérationnelle est donc la suivante : les données des candidats non retenus sont supprimées au plus tard deux ans après le dernier contact, sauf accord formel du candidat pour intégrer une CVthèque, accord qui doit être libre, spécifique et révocable. Les scores et classements produits par l’outil suivent le même sort, car ils constituent des données personnelles relatives aux candidats. L’entreprise paramètre des purges automatiques dans l’outil et chez l’hébergeur, documente les dates d’effacement et traite sans délai les demandes d’effacement anticipé. Conserver cinq ans de candidatures « au cas où » ou réutiliser les CV d’un recrutement pour un autre poste sans information nouvelle expose l’entreprise à un manquement autonome, indépendant de la licéité du tri lui-même.

B. Prouver la conformité : analyse d’impact, contrat avec l’éditeur, contrôle humain et journaux

Le dossier de preuve s’articule autour de quatre pièces. La première est l’analyse d’impact relative à la protection des données. Le règlement impose une analyse d’impact dès qu’un type de traitement, en particulier par le recours à de nouvelles technologies, est susceptible d’engendrer un « risque élevé » pour les droits et libertés des personnes physiques. Un tri automatisé des candidatures à grande échelle, fondé sur un profilage qui détermine l’accès à l’emploi, entre sans discussion dans cette catégorie, que le règlement vise d’ailleurs expressément pour l’évaluation systématique et approfondie d’aspects personnels sur le fondement d’un traitement automatisé. L’analyse décrit le traitement, évalue la nécessité et la proportionnalité, identifie les risques pour les candidats, dont la discrimination et l’erreur de classement, et consigne les mesures prévues : réexamen humain, tests de biais, information, durées de conservation, sécurité. Elle est réalisée avant le déploiement, avec l’avis du délégué à la protection des données lorsqu’il existe, et réexaminée à chaque modification substantielle de l’outil. Le règlement sur l’intelligence artificielle fait le lien en prévoyant que les déployeurs utilisent les informations fournies par le fournisseur pour se conformer à leur obligation d’analyse d’impact : l’entreprise exige donc de son éditeur la documentation nécessaire et refuse les outils livrés sans notice d’utilisation exploitable.

La deuxième pièce est le contrat avec l’éditeur du logiciel. L’éditeur agit en principe comme sous-traitant de l’entreprise pour l’hébergement et le traitement des candidatures, et le contrat doit comporter les mentions de l’article 28 du règlement : objet, durée, nature et finalités du traitement, types de données, obligations et droits du responsable, engagement à ne traiter que sur instruction documentée, confidentialité des personnes autorisées, assistance pour les demandes des personnes concernées, suppression ou restitution des données en fin de contrat, audits. Deux clauses méritent une négociation spécifique aux outils d’intelligence artificielle : l’interdiction de réutiliser les candidatures de l’entreprise pour entraîner les modèles de l’éditeur ou ceux de ses autres clients, et l’obligation de fournir les informations nécessaires à la transparence due aux candidats ainsi qu’à l’analyse d’impact. Si l’entreprise utilise une version gratuite ou grand public d’un outil sans contrat d’entreprise, elle se prive de ces garanties et doit réévaluer le risque, y compris celui d’un transfert de données hors de l’Union européenne. Notre dossier consacré au contrat de sous-traitance des données et à l’audit du prestataire qui refuse de s’y soumettre détaille la méthode de mise en demeure et de vérification applicable à ces situations.

La troisième pièce est l’organisation du contrôle humain. Le règlement sur l’intelligence artificielle classe parmi les systèmes à haut risque les systèmes d’IA destinés au recrutement ou à la sélection, en particulier pour « analyser et filtrer les candidatures » et évaluer les candidats, et il impose aux déployeurs des obligations précises : utiliser le système conformément à sa notice, confier le contrôle humain à des personnes compétentes, formées et dotées de l’autorité nécessaire, surveiller le fonctionnement, tenir les journaux générés automatiquement pendant une durée adaptée d’au moins six mois, et informer les personnes soumises au système. Côté employeur, l’obligation d’information des travailleurs et de leurs représentants avant la mise en service sur le lieu de travail s’ajoute à l’information du comité social et économique prévue par le code du travail. Concrètement, l’entreprise désigne les relecteurs humains, les forme à la lecture critique des scores, leur donne le pouvoir effectif de repêcher des candidatures, définit les cas de réexamen systématique, par exemple tous les rejets prononcés sur le seul fondement du score, et conserve la trace des décisions humaines contraires à la recommandation de l’outil. Un contrôle purement formel, où le recruteur valide en un clic des listes produites par la machine sans les lire, ne satisfait ni l’exigence de contrôle humain du règlement sur l’intelligence artificielle ni le droit au réexamen humain du règlement général sur la protection des données.

La quatrième pièce concerne les suites d’un contrôle ou d’un litige. La CNIL peut prononcer des mises en demeure, des sanctions pécuniaires et des injonctions de mise en conformité, et ses contrôles sur place commencent par la saisie des documents décrits ci-dessus : registre des traitements, analyse d’impact, mentions d’information, contrat de sous-traitance, preuves d’effacement, journaux. Devant le conseil de prud’hommes, un candidat évincé qui invoque une discrimination fondée sur un tri automatisé placera l’entreprise en difficulté si celle-ci ne produit ni la logique du traitement ni les statistiques de présélection ni la preuve d’un réexamen humain. À Paris et en Île-de-France, où se concentrent les sièges des grands éditeurs de logiciels de recrutement et un volume important de recrutements, les dossiers se traitent devant le conseil de prud’hommes de Paris pour les litiges individuels et devant la CNIL, dont le siège est à Paris, pour les réclamations : la proximité géographique ne change rien au droit applicable, mais elle raccourcit les délais pratiques de convocation et d’instruction, ce qui rend d’autant plus nécessaire un dossier de conformité tenu à jour en continu plutôt que reconstitué dans l’urgence. L’entreprise qui découvre une faille, par exemple un biais statistique ou une collecte excessive, a intérêt à la corriger immédiatement, à le documenter et, si des personnes ont été affectées, à examiner avec son conseil les notifications et réparations dues, car la coopération et la correction rapide pèsent dans l’appréciation des sanctions.

Conclusion

L’entreprise qui trie les CV par intelligence artificielle en 2026 évolue dans un cadre désormais complet : le règlement général sur la protection des données interdit les décisions exclusivement automatisées qui évincent des candidats sans garanties, la Cour de justice retient une lecture large de cette interdiction dès qu’un tiers se fonde de manière déterminante sur un score, le code du travail impose l’information préalable des candidats et du comité social et économique ainsi que la pertinence des méthodes au regard du poste, et le règlement sur l’intelligence artificielle, applicable depuis le 2 août 2026, classe ces outils parmi les systèmes à haut risque avec des obligations précises de contrôle humain, de surveillance et d’information. La CNIL, qui a fait du recrutement une priorité de contrôle en 2026, vérifiera en premier lieu la réalité du réexamen humain, la qualité de l’information délivrée, le respect de la conservation de deux ans et l’existence d’une analyse d’impact. Les usages interdits, à commencer par la détection des émotions sur le lieu de travail, doivent être désactivés sans délai. Le dirigeant qui décrit honnêtement son processus, écarte les données sans lien avec le poste, informe avant de traiter, encadre son éditeur par contrat, organise un contrôle humain réel et conserve les preuves de chaque étape transforme un outil à risque en un recrutement défendable, devant l’autorité de contrôle comme devant le juge.