Recrutement automatisé par IA : ce que l'article 22 du RGPD et l'AI Act exigent déjà

Le tri automatisé de CV, le scoring de candidats et les entretiens vidéo augmentés par intelligence artificielle figurent explicitement parmi les thématiques de contrôle prioritaires de la CNIL pour 2026. Ce n'est pas un sujet parmi d'autres dans la longue liste des obligations liées à l'IA, c'est l'un des axes sur lesquels le régulateur français a annoncé concentrer son attention, avec une vérification directe de la conformité à l'article 22 du RGPD et au régime des systèmes à haut risque de l'AI Act.

L'article 22 du RGPD, en vigueur depuis 2018, interdit qu'une décision produisant des effets juridiques ou significatifs sur une personne, comme l'écarter d'un processus de recrutement, repose exclusivement sur un traitement entièrement automatisé, sauf exceptions strictement encadrées. Un être humain doit pouvoir intervenir dans la décision finale, pas seulement en théorie, mais dans un exercice réel de validation ou de contestation. L'AI Act ajoute une couche supplémentaire, spécifique à l'intelligence artificielle, en classant explicitement le recrutement parmi les usages à haut risque de son annexe III, ce qui impose une documentation renforcée, une supervision humaine effective, et une information claire des candidats concernés.

Pour une PME qui utilise un outil de tri de candidatures, la question n'est pas binaire. Un simple filtre de mots-clés qui présélectionne des CV sur la présence de termes précis soulève moins d'interrogations qu'un scoring fondé sur l'IA générative, qui évalue et classe des profils selon des critères plus opaques. Mais dès qu'un outil classe, note ou élimine automatiquement des candidats, sans distinction de sophistication technique, la vigilance sur l'article 22 et sur le régime haut risque de l'AI Act devient pertinente.

Trois vérifications concrètes permettent à une PME d'évaluer sa situation sans nécessairement recourir à un audit juridique complet. La première consiste à s'assurer qu'un recruteur humain valide réellement la décision finale, et pas seulement le classement proposé par l'outil sans le remettre en question. La deuxième consiste à vérifier que les candidats sont informés, de façon claire, de l'usage d'un outil automatisé dans le traitement de leur candidature. La troisième consiste à s'assurer que l'entreprise peut expliquer, en cas de contestation, les critères concrets qui ont conduit à un résultat donné, ce qui suppose une documentation minimale de l'outil et de ses règles de fonctionnement.

Ce sujet n'est pas théorique en 2026. La CNIL a démontré, dès le premier trimestre de l'année, sa capacité à sanctionner lourdement les manquements liés au traitement des données, avec plus de cinquante millions d'euros d'amendes déjà prononcées, notamment contre Free, sanctionné à hauteur de 42 millions d'euros, et France Travail, sanctionné à hauteur de 5 millions d'euros, pour des défauts de sécurité. Ses nouveaux pouvoirs de contrôle sur l'AI Act portent le plafond des sanctions possibles jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial, un niveau qui concerne, en théorie, toute entreprise, quelle que soit sa taille.

Un point mérite d'être clarifié, souvent mal compris par les PME qui délèguent leur recrutement à un outil fourni par un prestataire externe, éditeur d'un logiciel de gestion des candidatures ou plateforme spécialisée. L'entreprise qui utilise cet outil dans son propre processus de recrutement reste responsable de sa conformité, le prestataire n'assumant qu'une responsabilité partagée, limitée à son propre rôle technique dans le traitement. Un contrat avec un fournisseur ne transfère pas la responsabilité de l'usage qui en est fait.

Cette vigilance ne doit pas pour autant décourager l'usage de l'IA dans le recrutement, qui reste, pour une PME confrontée à un grand volume de candidatures, l'un des cas d'usage les plus rentables à court terme. La conformité n'interdit pas l'automatisation du tri, elle en encadre les modalités, avec un point de validation humaine réel et une information transparente des candidats, deux exigences compatibles avec un gain de temps significatif pour les équipes RH.

C'est ce que l'étape Cadrage de la méthode IMPACT doit documenter spécifiquement pour chaque outil impliqué dans une décision RH, le point de validation humaine associé, et l'information effectivement donnée aux candidats concernés par l'usage d'un traitement automatisé. Le recrutement n'est pas un usage IA comme un autre, c'est l'un des rares domaines où la loi impose depuis longtemps une limite claire à l'automatisation totale, et où le régulateur a désormais les moyens et l'intention de la faire respecter. Un diagnostic de 5 jours ouvrés vérifie la conformité de vos outils RH avant tout contrôle.