Les outils d’IA résument un CV en quelques secondes, comparent une expérience à une description de poste ou aident à repérer des compétences pertinentes. C’est séduisant lorsqu’un employeur reçoit des centaines de candidatures.
Mais copier des CV de candidats dans un outil d’IA reste un traitement de données personnelles. Avant de le faire, il faut comprendre ce qu’il advient de ces informations.
Que demandez-vous exactement à l’IA ?
Il existe une différence majeure entre :
- Améliorer la formulation d’un courriel de recrutement générique
- Résumer le CV d’un candidat
- Comparer un CV à des critères de poste
- Classer des candidats
- Recommander qui convoquer
- Rejeter automatiquement des candidatures
Plus l’outil s’approche de la prise ou de la détermination de la décision, plus le risque juridique et pratique augmente. Laisser le système décider seul vous place sur le terrain du rejet automatique.
Un CV contient des données personnelles
Retirer le nom du fichier n’anonymise pas un CV.
Le document peut contenir :
- Nom
- Adresse électronique
- Numéro de téléphone
- Parcours professionnel
- Formation
- Localisation
- Photographie
- Affiliations professionnelles
- D’autres informations identifiant la personne
Il peut même contenir des informations sensibles que le candidat a choisi d’y inclure.
Traitez le téléversement comme une communication de données personnelles à un fournisseur technologique.
Vérifiez d’abord le fournisseur d’IA
Avant d’utiliser un service d’IA avec des données de candidats, établissez :
- Quel produit ou type de compte vous utilisez
- Quelles conditions contractuelles s’appliquent
- Si les données soumises sont conservées
- Si elles peuvent servir à l’entraînement ou à l’amélioration de modèles
- Où le traitement a lieu
- Quels sous-traitants ultérieurs interviennent
- Quelles mesures de sécurité sont disponibles
- Si des clauses de sous-traitance appropriées sont proposées
- Comment fonctionne la suppression
Ces réponses peuvent différer entre les versions grand public et professionnelle d’un même service. Les mêmes questions valent pour tout outil d’IA touchant des données personnelles, pas seulement les outils de recrutement.
Minimisez ce que vous téléversez
Si vous souhaitez uniquement de l’aide pour repérer des compétences, avez-vous besoin du nom, de l’adresse, de la photo et des coordonnées du candidat ?
Probablement pas.
Retirez, lorsque c’est possible, les informations inutiles à la tâche.
Rappelez-vous que la pseudonymisation réduit le risque mais laisse l’information dans le champ des données personnelles, pleinement soumise au RGPD.
Ne faites pas aveuglément confiance au résultat
L’IA peut se tromper, mal interpréter une expérience ou produire des conclusions que le CV ne soutient pas.
Les décisions de recrutement ne doivent pas reposer sur l’hypothèse qu’un résumé généré par IA est exact.
Un relecteur humain doit pouvoir vérifier les informations sources pertinentes et contester le résultat.
Classer n’est pas résumer
Utiliser l’IA pour produire un résumé neutre emporte déjà des obligations RGPD.
L’utiliser pour noter, classer ou rejeter des candidats soulève des questions supplémentaires de loyauté, de transparence, de décision automatisée et potentiellement les règles sur les systèmes à haut risque de l’AI Act européen.
Ne traitez pas ces cas d’usage comme équivalents.
Créez une règle interne sur l’IA
Vos collaborateurs doivent savoir s’ils peuvent coller des données de candidats dans des outils d’IA publics ou génératifs.
Une simple politique d’utilisation acceptable de l’IA peut définir :
- Les outils d’IA approuvés
- Les usages autorisés en recrutement
- Les informations qui ne peuvent être téléversées
- La relecture humaine requise
- Les exigences de sécurité
- L’escalade pour les usages à risque plus élevé
Sans cette règle, les responsables du recrutement créent des processus d’« IA fantôme » à l’insu des RH et de la direction.
Évaluez l’outil avant le CV
La règle pratique est simple : ne testez pas un flux de recrutement par IA avec de vraies données de candidats avant d’avoir évalué l’outil.
GDPRWise aide les organisations à cartographier tiers et traitements, pour que les nouveaux outils d’IA soient évalués dans le cadre RGPD existant plutôt qu’introduits de façon informelle.
GDPRWise cartographie les prestataires et traitements derrière votre recrutement, pour qu'un outil d'IA soit évalué avant que de vraies données de candidats ne l'atteignent.