Vous postulez en ligne un dimanche soir. Le formulaire avale votre CV, votre lettre, vos réponses à un questionnaire, parfois une vidéo. Le mardi matin, un courriel poli vous apprend que votre candidature n’est pas retenue, sans un mot sur les raisons. Entre les deux, aucun échange humain : un logiciel a lu, noté, classé, écarté. Cette scène n’a plus rien d’exceptionnel. Les outils qui publient des offres ciblées, filtrent les candidatures et évaluent les candidats se sont banalisés dans les directions des ressources humaines, et les candidats découvrent souvent après coup qu’une machine a pesé sur leur sort.
La question n’est pas de savoir si l’employeur a le droit de s’organiser. Il l’a. La question est de savoir ce que la machine a le droit de faire de vos données, ce que l’employeur doit vous dire avant de l’utiliser, et ce qu’il vous reste quand la réponse est non. Le droit français et européen donne des réponses précises : information préalable du candidat, données limitées à l’appréciation de votre capacité à occuper le poste, interdiction des décisions entièrement automatisées qui vous affectent, droit d’obtenir une intervention humaine et de contester. Depuis le 2 août 2026, le règlement européen sur l’intelligence artificielle s’applique en outre aux systèmes de recrutement, classés parmi les usages à haut risque.
Cet article décrit d’abord ce que l’employeur et son logiciel peuvent faire et où s’arrêtent leurs droits, puis la marche à suivre quand vous êtes écarté : vérifier ce qui s’est joué, exiger un réexamen humain, saisir la CNIL et, en cas de discrimination, porter le litige devant le juge avec un régime de preuve aménagé en votre faveur.
I. Ce que l’employeur et son logiciel ont le droit de faire, et leurs limites
A. Un tri encadré : information préalable, données pertinentes, conservation limitée
Le Code du travail pose trois verrous que tout outil de tri, même le plus sophistiqué, doit respecter. D’abord, le candidat doit savoir qu’un outil est utilisé : « Le candidat à un emploi est expressément informé, préalablement à leur mise en oeuvre, des méthodes et techniques d’aide au recrutement utilisées à son égard. » Un logiciel de filtrage des CV, un questionnaire noté automatiquement, un jeu de tests en ligne : tout cela entre dans les méthodes et techniques d’aide au recrutement. L’information doit donc intervenir avant que le tri commence, pas après le refus. Le même article ajoute que « Les résultats obtenus sont confidentiels » et que « Les méthodes et techniques d’aide au recrutement ou d’évaluation des candidats à un emploi doivent être pertinentes au regard de la finalité poursuivie. » Un test sans rapport avec le poste, une notation fondée sur des critères étrangers à l’emploi, violent cette exigence de pertinence.
Ensuite, le contenu de ce qui vous est demandé est limité : « Les informations demandées, sous quelque forme que ce soit, au candidat à un emploi ne peuvent avoir comme finalité que d’apprécier sa capacité à occuper l’emploi proposé ou ses aptitudes professionnelles. » Et : « Ces informations doivent présenter un lien direct et nécessaire avec l’emploi proposé ou avec l’évaluation des aptitudes professionnelles. » Le logiciel n’a pas plus de droits que le recruteur humain : aspirer vos publications sur les réseaux sociaux, inférer votre état de santé, votre religion, votre vie familiale ou vos opinions pour alimenter un score, c’est sortir du cadre. Enfin, aucune collecte cachée n’est admise : « Aucune information concernant personnellement un candidat à un emploi ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. » Un enrichissement de votre dossier à votre insu, par exemple par un profilage opéré à partir de sources publiques que vous n’avez pas fournies, heurte cette règle.
Le règlement général sur la protection des données (RGPD) ajoute ses propres garde-fous. Les données doivent rester minimales : elles doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités poursuivies (minimisation des données). L’information due au candidat doit être fournie de façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples. Et lorsque le traitement repose sur l’intérêt légitime de l’employeur, le candidat peut s’y opposer pour des raisons tenant à sa situation particulière.
La CNIL a détaillé ces obligations dans son guide sur le recrutement. Elle y demande que le candidat soit informé, entre autres, de l’existence d’une prise de décision automatisée, y compris un profilage tel qu’un traitement algorithmique de tri automatisé des candidatures. Autrement dit, si un algorithme trie les CV, l’annonce ou le dossier de candidature doit le dire. Sur la durée de vie de votre dossier, la position est nette : la conservation des candidatures non retenues n’excède en principe pas deux ans à compter du dernier contact avec la personne. Passé ce délai, vos données doivent être supprimées, sauf si vous avez accepté de rejoindre une CVthèque. Ce délai de deux ans est aussi votre horizon pratique : au-delà, les traces du tri disparaissent et toute contestation devient plus difficile.
Côté employeur, le même traitement doit figurer au registre des activités de traitement, avec sa finalité, ses durées et ses mesures de sécurité, et faire l’objet d’une analyse d’impact quand il est susceptible d’engendrer un risque élevé pour les droits des candidats, ce qui est le cas d’un tri algorithmique opaque appliqué à des centaines de dossiers. Le délégué à la protection des données, quand il existe, doit être consulté en amont. Ces documents internes ne vous sont pas communiqués spontanément, mais la CNIL peut les exiger lors d’un contrôle : leur absence ou leur pauvreté joue contre l’employeur et corrobore votre contestation.
B. Le recrutement par IA, un usage classé à haut risque depuis 2026
Le règlement européen sur l’intelligence artificielle, entré en vigueur en 2024, renforce ce cadre pour les usages liés à l’emploi, exposés aux biais historiques et aux atteintes aux droits des travailleurs. Selon le ministère de l’Économie, le 2 août 2026 comme date d’application complète aux systèmes d’IA à haut risque déjà identifiés, parmi lesquels ceux utilisés dans l’emploi Ce calendrier compte pour votre dossier : mentionnez la date du tri dans vos demandes écrites, car le cadre applicable diffère selon qu’il est antérieur ou postérieur au 2 août 2026.
Cette classification ne donne pas au candidat une action directe contre l’éditeur du logiciel, mais elle change le rapport de forces. L’employeur qui déploie un système à haut risque doit pouvoir démontrer qu’il l’utilise dans les conditions prévues, avec des données d’entraînement et d’évaluation pertinentes, et une information des personnes concernées. Concrètement, face à un refus opaque, vous pouvez demander sur quel fondement le système a été déployé, quelles données il a utilisées et quel contrôle humain a été exercé. L’absence de réponse documentée fragilise la position de l’employeur devant la CNIL comme devant le juge.
Reste l’essentiel : le droit de ne pas subir une décision purement machinale. Le RGPD dispose que toute personne a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, qui produit des effets juridiques ou l’affecte de manière significative Être écarté d’un emploi vous affecte de manière significative : un refus de candidature entre dans ce champ. Trois exceptions seulement permettent une décision entièrement automatisée : la nécessité pour conclure ou exécuter un contrat, une autorisation prévue par le droit de l’Union ou de l’État membre avec des garanties, ou votre consentement explicite. Et même dans ces cas, l’employeur doit garantir un recours humain : il doit garantir au moins le droit d’obtenir une intervention humaine, d’exprimer son point de vue et de contester la décision. Un refus généré par un logiciel, sans réexamen par une personne, sans possibilité de faire valoir vos arguments, ne satisfait pas à cette exigence.
Le principe de proportionnalité irrigue tout le raisonnement. L’article L. 1121-1 du Code du travail dispose que « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. » La Cour de cassation applique ce texte avec exigence aux dispositifs de contrôle des salariés : dans un arrêt du 19 décembre 2018 rendu à propos d’un système de géolocalisation servant à contrôler la durée du travail, elle a jugé que « l’utilisation d’un système de géolocalisation pour assurer le contrôle de la durée du travail » n’est licite que comme dernier recours et « n’est pas justifiée lorsque le salarié dispose d’une liberté dans l’organisation de son travail ». Rendu à propos de la géolocalisation et non du recrutement, cet arrêt illustre la méthode du juge : plus le dispositif est intrusif, plus l’employeur doit démontrer qu’aucun moyen moins attentatoire ne permettait d’atteindre le but. Transposé au tri des candidatures, le raisonnement invite à vérifier si le logiciel n’a pas écarté des profils qu’un examen humain aurait retenus, et si des critères indirectement discriminants, comme l’âge inféré du parcours, le sexe ou l’origine inférés du prénom ou de la photo, n’ont pas pesé dans la note.
II. Candidat écarté : vérifier, contester, obtenir réparation
A. Savoir ce qui s’est joué : accès, logique du traitement, CNIL
La première démarche consiste à exiger des réponses écrites. Le RGPD vous donne un droit d’accès à l’ensemble des données détenues sur vous, et surtout le droit de comprendre la machine : en cas de décision automatisée, le responsable du traitement doit fournir des informations utiles sur la logique du traitement, ainsi que sur son importance et ses conséquences prévues pour vous. Demandez donc par écrit au recruteur : un algorithme a-t-il participé au tri, quelles données a-t-il utilisées, quelle note ou quel score vous a été attribué, et une personne a-t-elle réexaminé votre dossier. La CNIL précise que le secret industriel ne fait pas écran : face à une demande d’accès aux résultats de tests établis à partir de grilles ou d’outils d’un prestataire, le recruteur devrait communiquer les informations sans dévoiler les éléments couverts par le secret, et un engagement de confidentialité ne constitue pas un motif valable pour refuser de répondre à votre demande d’accès. Quand le résultat est un score, les chiffres bruts ne suffisent pas : les données fournies doivent comprendre non seulement les résultats, mais aussi les éléments permettant de les interpréter, sous une forme compréhensible, codes et abréviations explicités.
Si le recruteur se tait ou répond à côté, la plainte auprès de la CNIL prend le relais : la Commission peut contrôler l’employeur, vérifier l’information préalable, la pertinence des données, la conservation et l’existence d’une intervention humaine, puis mettre en demeure et, en cas de persistance, sanctionner. Les contrôles récents montrent que l’autorité n’hésite pas à viser les outils de gestion des ressources humaines quand les données collectées dépassent ce qui est nécessaire. Pour que votre plainte soit instruite utilement, joignez-y l’ensemble de la chronologie : l’offre et le descriptif du poste, votre dossier de candidature, les mentions d’information qui l’accompagnaient, votre demande écrite d’accès et d’intervention humaine, la réponse du recruteur ou la preuve de son silence, et le refus avec sa date et son heure. Une plainte documentée, qui montre que vous avez d’abord exercé vos droits directement auprès de l’employeur, a plus de poids qu’un simple signalement. Si plusieurs candidats écartés par le même outil se manifestent, leurs dossiers convergent et facilitent le contrôle.
Conservez vos preuves : l’offre, le formulaire rempli, l’accusé de réception, le refus et son heure d’envoi — un refus arrivé trois minutes après votre candidature est un indice, pas une preuve, mais il justifie vos questions.
La difficulté probatoire est réelle, et la jurisprudence récente l’illustre. Le 21 mai 2026, la cour d’appel de Paris a statué sur le cas d’un candidat qui, soupçonnant une discrimination, demandait en référé la communication des grilles de notation et des comptes rendus du comité de sélection : noté 60 % quand les candidats retenus affichaient 88 %, classé dixième sur trente-quatre, il contestait la crédibilité de la notation et soupçonnait une grille confectionnée après coup. La cour a confirmé le rejet de sa demande, faute pour l’intéressé d’établir l’existence des pièces réclamées : « il ne peut être fait droit à une demande de communication portant sur un élément dont l’existence est contestée et non prouvée », et « Il n’est pas non plus démontré que la société [1] ait consigné par écrit, au-delà du tableau déjà transmis, les justifications des différentes notes attribuées aux candidats ». La leçon est double : le juge n’ordonnera la production que de documents dont vous rendez l’existence vraisemblable, et c’est d’abord par l’exercice de vos droits RGPD — accès, logique du traitement, intervention humaine — que vous obtiendrez les éléments permettant ensuite, le cas échéant, de saisir le juge sur un fondement précis.
Le même réflexe probatoire vaut si le recruteur invoque un simple outil d’aide à la décision en prétendant qu’un humain a tranché : demandez qui a réexaminé votre dossier, à quelle date et sur quels éléments propres, distincts de la note automatique. Un tampon humain apposé sans examen réel reste une décision exclusivement automatisée au sens du règlement. Les juges apprécient la réalité du contrôle humain, pas son affichage, et une validation en quelques secondes de centaines de dossiers ne résiste pas à l’examen.
Pensez aussi aux représentants du personnel : le comité social et économique doit être informé, « préalablement à leur utilisation, sur les méthodes ou techniques d’aide au recrutement des candidats à un emploi ». Si vous êtes déjà salarié de l’entreprise et candidatez en interne, ou si vous agissez avec l’appui d’une organisation syndicale, vérifiez si cette information-consultation a eu lieu : son absence est une irrégularité supplémentaire à verser au dossier. Pour une candidature externe, ce levier appartient aux élus et aux syndicats, pas au candidat lui-même, mais il peut alimenter un signalement.
B. Contester : intervention humaine, discrimination et juge
Quand l’accès à vos données confirme un tri automatisé sans réexamen humain, l’action se déplace vers la contestation. Premier levier, l’intervention humaine garantie par le RGPD : exigez par écrit le réexamen de votre candidature par une personne, en exposant votre point de vue et les éléments que la machine a ignorés — expérience atypique, reconversion, compétences acquises hors diplôme. Le responsable du traitement doit vous permettre d’obtenir une intervention humaine, d’exprimer votre point de vue et de contester la décision. Un refus persistant, ou un réexamen purement formel qui reprend la note du logiciel sans analyse propre, caractérise un manquement que la CNIL peut sanctionner.
Deuxième levier, la discrimination. La loi interdit d’écarter un candidat pour un motif prohibé : « Aucune personne ne peut être écartée d’une procédure de recrutement ou de nomination ou de l’accès à un stage ou à une période de formation en entreprise » en raison notamment de son origine, de son sexe, de ses mœurs, de son orientation sexuelle, de son âge ou de son handicap. Or les outils de tri apprennent sur des données historiques : s’ils ont été entraînés sur des recrutements passés biaisés, ils reproduisent les biais — c’est le risque classique des outils entraînés sur des recrutements passés. Si vos échanges, votre score ou la logique du traitement révèlent qu’un critère prohibé a pesé, directement ou à travers un indicateur neutre en apparence mais corrélé à ce critère, l’action pour discrimination est ouverte. Et la preuve est aménagée en votre faveur : « le candidat à un emploi » « présente des éléments de fait laissant supposer l’existence d’une discrimination directe ou indirecte », puis « il incombe à la partie défenderesse de prouver que sa décision est justifiée par des éléments objectifs étrangers à toute discrimination ». Vous n’avez donc pas à démontrer le biais de l’algorithme avec certitude : des faits laissant supposer la discrimination — un score inexpliqué, un critère d’âge inféré, des statistiques d’embauche déséquilibrées — suffisent à renverser la charge de la preuve.
Le juge compétent pour les différends nés à l’occasion du travail est le conseil de prud’hommes, qui « règle par voie de conciliation les différends qui peuvent s’élever à l’occasion de tout contrat de travail » et « juge les litiges lorsque la conciliation n’a pas abouti ». La réparation prend alors la forme de dommages et intérêts, évalués selon le préjudice subi : perte de chance d’obtenir l’emploi, préjudice moral lié à une sélection opaque ou discriminante. Agissez sans tarder : vos données de candidature sont en principe supprimées deux ans après le dernier contact, et c’est sur ces traces — formulaire, score, échanges, mentions d’information — que se gagne le procès. Le même réflexe vaut pour les dispositifs voisins de surveillance des salariés, comme la géolocalisation imposée par l’employeur, qui obéit à la même logique de proportionnalité et de contestation devant la CNIL et le juge.
Refusé par un logiciel, vous n’êtes pas sans recours : l’employeur devait vous informer avant le tri, ne collecter que ce que le poste exige, et soumettre toute décision automatisée à un réexamen humain que vous pouvez exiger et contester. Exercez vos droits par écrit, faites-vous communiquer la logique et votre score avec ses clés d’interprétation, saisissez la CNIL en cas de silence, et portez la discrimination devant le juge avec le bénéfice de la preuve aménagée. La machine peut aider à recruter ; elle ne peut pas décider seule de votre avenir professionnel.
Concrètement, l’effacement n’est pas une faveur mais un droit : le règlement ouvre au candidat la possibilité d’obtenir la suppression de ses données quand elles ne sont plus nécessaires au regard de la finalité du recrutement, quand il retire son consentement sans autre fondement, ou quand le traitement était illicite. Une candidature écartée dont le poste est pourvu entre dans le premier cas une fois la durée de conservation expirée. Formulez la demande par écrit, visez ces motifs, et conservez la réponse : un refus non motivé ou une conservation au-delà du nécessaire alimente à la fois la plainte devant la CNIL et l’action en justice.
Un dernier point mérite votre attention avant toute démarche : le sort de votre dossier après le refus. Si vous ne répondez pas à la proposition de conserver vos données pour d’autres postes, elles doivent être supprimées à l’issue de la durée de conservation, deux ans au maximum après le dernier contact. Si vous avez accepté de figurer dans une CVthèque, vous pouvez revenir sur votre accord à tout moment et exiger l’effacement, sans avoir à vous justifier. Dans les deux cas, demandez une confirmation écrite de la suppression : c’est ce document qui prouvera, en cas de prospection ultérieure non sollicitée ou de réutilisation de votre profil pour un autre tri, que l’employeur a manqué à ses obligations. Et si le même logiciel vous écarte à nouveau lors d’une candidature ultérieure, chaque refus fait courir une nouvelle occasion d’exercer vos droits et de faire contrôler la machine.
Précision utile quand le tri repose sur l’intérêt légitime de l’entreprise : vous pouvez vous opposer au traitement pour des raisons tenant à votre situation particulière, et l’employeur doit alors démontrer des motifs légitimes et impérieux qui prévaudraient sur vos droits, ou cesser d’utiliser vos données pour ce tri. Cette opposition, formulée par écrit après le refus, oblige le recruteur à sortir du silence : soit il justifie son système avec des éléments objectifs et étrangers à toute discrimination, soit il réexamine votre candidature humainement. Dans les deux cas, sa réponse écrite devient une pièce de votre dossier, devant la CNIL comme devant le juge.