Recrutement automatisé par IA : ce que l'article 22 du RGPD et l'AI Act exigent déjà
Tri de CV, scoring de candidats, entretiens vidéo augmentés par IA : la CNIL a fait du recrutement automatisé une priorité de contrôle 2026. Ce qu'une PME doit vérifier dès maintenant.
Le tri automatisé de CV, le scoring de candidats et les entretiens vidéo augmentés par intelligence artificielle figurent explicitement parmi les thématiques de contrôle prioritaires de la CNIL pour 2026. Ce n'est pas un sujet parmi d'autres dans la longue liste des obligations liées à l'IA, c'est l'un des axes sur lesquels le régulateur français a annoncé concentrer son attention, avec une vérification directe de la conformité à l'article 22 du RGPD et au régime des systèmes à haut risque de l'AI Act.
L'article 22 du RGPD, en vigueur depuis 2018, interdit qu'une décision produisant des effets juridiques ou significatifs sur une personne, comme l'écarter d'un processus de recrutement, repose exclusivement sur un traitement entièrement automatisé, sauf exceptions strictement encadrées. Un être humain doit pouvoir intervenir dans la décision finale, pas seulement en théorie, mais dans un exercice réel de validation ou de contestation. L'AI Act ajoute une couche supplémentaire, spécifique à l'intelligence artificielle, en classant explicitement le recrutement parmi les usages à haut risque de son annexe III, ce qui impose une documentation renforcée, une supervision humaine effective, et une information claire des candidats concernés.
Pour une PME qui utilise un outil de tri de candidatures, la question n'est pas binaire. Un simple filtre de mots-clés qui présélectionne des CV sur la présence de termes précis soulève moins d'interrogations qu'un scoring fondé sur l'IA générative, qui évalue et classe des profils selon des critères plus opaques. Mais dès qu'un outil classe, note ou élimine automatiquement des candidats, sans distinction de sophistication technique, la vigilance sur l'article 22 et sur le régime haut risque de l'AI Act devient pertinente.
Trois vérifications concrètes permettent à une PME d'évaluer sa situation sans nécessairement recourir à un audit juridique complet. La première consiste à s'assurer qu'un recruteur humain valide réellement la décision finale, et pas seulement le classement proposé par l'outil sans le remettre en question. La deuxième consiste à vérifier que les candidats sont informés, de façon claire, de l'usage d'un outil automatisé dans le traitement de leur candidature. La troisième consiste à s'assurer que l'entreprise peut expliquer, en cas de contestation, les critères concrets qui ont conduit à un résultat donné, ce qui suppose une documentation minimale de l'outil et de ses règles de fonctionnement.
Ce sujet n'est pas théorique en 2026. La CNIL a démontré, dès le premier trimestre de l'année, sa capacité à sanctionner lourdement les manquements liés au traitement des données, avec plus de cinquante millions d'euros d'amendes déjà prononcées, notamment contre Free, sanctionné à hauteur de 42 millions d'euros, et France Travail, sanctionné à hauteur de 5 millions d'euros, pour des défauts de sécurité. Ses nouveaux pouvoirs de contrôle sur l'AI Act portent le plafond des sanctions possibles jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial, un niveau qui concerne, en théorie, toute entreprise, quelle que soit sa taille.
Un point mérite d'être clarifié, souvent mal compris par les PME qui délèguent leur recrutement à un outil fourni par un prestataire externe, éditeur d'un logiciel de gestion des candidatures ou plateforme spécialisée. L'entreprise qui utilise cet outil dans son propre processus de recrutement reste responsable de sa conformité, le prestataire n'assumant qu'une responsabilité partagée, limitée à son propre rôle technique dans le traitement. Un contrat avec un fournisseur ne transfère pas la responsabilité de l'usage qui en est fait.
Cette vigilance ne doit pas pour autant décourager l'usage de l'IA dans le recrutement, qui reste, pour une PME confrontée à un grand volume de candidatures, l'un des cas d'usage les plus rentables à court terme. La conformité n'interdit pas l'automatisation du tri, elle en encadre les modalités, avec un point de validation humaine réel et une information transparente des candidats, deux exigences compatibles avec un gain de temps significatif pour les équipes RH.
C'est ce que l'étape de cadrage doit documenter spécifiquement pour chaque outil impliqué dans une décision RH, le point de validation humaine associé, et l'information effectivement donnée aux candidats concernés par l'usage d'un traitement automatisé. Le recrutement n'est pas un usage IA comme un autre, c'est l'un des rares domaines où la loi impose depuis longtemps une limite claire à l'automatisation totale, et où le régulateur a désormais les moyens et l'intention de la faire respecter. Si vous souhaitez en parler, contactez-moi.
Questions fréquentes
Pourquoi le recrutement automatisé par IA est-il une priorité de contrôle de la CNIL en 2026 ?
Parce que les systèmes de tri de CV, de scoring de candidats et d'entretiens vidéo augmentés par IA figurent explicitement parmi les thématiques prioritaires de contrôle de la CNIL pour 2026, avec une vérification de conformité à l'article 22 du RGPD et au régime haut risque de l'AI Act.
Que dit précisément l'article 22 du RGPD sur le recrutement automatisé ?
Il interdit qu'une décision produisant des effets juridiques ou significatifs sur une personne, comme l'écarter d'un processus de recrutement, repose exclusivement sur un traitement automatisé, sauf exceptions encadrées. Un humain doit pouvoir intervenir dans la décision finale.
Les outils de tri de CV sont-ils considérés comme des systèmes à haut risque par l'AI Act ?
Oui. Le recrutement figure explicitement parmi les usages à haut risque de l'annexe III de l'AI Act, ce qui impose des obligations renforcées de documentation, de supervision humaine et de transparence envers les candidats concernés.
Une PME qui utilise un simple filtre de mots-clés dans les CV est-elle concernée ?
Un filtre de mots-clés basique pose moins de questions qu'un scoring automatisé fondé sur l'IA générative. Mais dès qu'un outil classe, note ou élimine des candidats de façon automatisée, la vigilance sur l'article 22 et l'AI Act s'impose, quelle que soit la sophistication technique de l'outil.
Que doit vérifier concrètement une PME qui utilise un outil de tri de candidatures ?
Trois points prioritaires, qu'un recruteur humain valide bien la décision finale et pas seulement le classement proposé, que les candidats soient informés de l'usage d'un outil automatisé, et que l'entreprise puisse expliquer les critères qui ont conduit à un résultat contesté.
Quelles sont les conséquences d'un manquement sur ce sujet précis ?
La CNIL a démontré début 2026 sa capacité à sanctionner lourdement les manquements liés aux traitements de données, avec plus de 50 millions d'euros d'amendes prononcées au premier trimestre. Ses nouveaux pouvoirs sur l'AI Act portent les sanctions possibles jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial.
Un prestataire externe qui fournit l'outil de recrutement IA peut-il être tenu pour seul responsable en cas de manquement ?
Non. L'entreprise qui utilise l'outil dans son processus de recrutement reste responsable de sa conformité, même lorsque l'outil est fourni et hébergé par un prestataire tiers, ce dernier n'assume qu'une responsabilité partagée limitée à son propre rôle technique.
À quelle étape d'un projet IA traiter la conformité des outils de recrutement ?
L'étape Cadrage, qui suit l'inventaire des usages, doit documenter spécifiquement chaque outil impliqué dans une décision RH, avec le point de validation humaine associé et l'information donnée aux candidats concernés.