L’IA peut aider les employeurs à rédiger des descriptions de poste, résumer des CV, classer des candidats, planifier des entretiens et appuyer des décisions d’embauche. Mais le recrutement porte sur des décisions qui peuvent avoir un impact majeur sur la vie des personnes.
C’est ce qui fait de l’IA en recrutement un domaine sensible pour le RGPD comme pour l’AI Act européen.
Commencez par le cas d’usage
« Utiliser l’IA en recrutement » peut recouvrir des réalités très différentes.
Par exemple :
- Rédiger une offre
- Résumer des CV
- Extraire des compétences de candidatures
- Classer des candidats
- Analyser des tests
- Analyser des entretiens vidéo
- Recommander des candidats
- Rejeter automatiquement des candidatures
Le risque dépend fortement de ce que le système fait réellement.
Utiliser l’IA pour améliorer la formulation d’une offre est très différent de laisser un algorithme décider qui obtient un entretien.
Quelles données personnelles entrent dans le système ?
Avant d’utiliser un outil d’IA, identifiez les informations que vous comptez lui fournir.
Un CV peut contenir des noms, adresses, parcours professionnel, formation et d’autres données personnelles. Il peut aussi contenir une photographie ou des informations sensibles ajoutées spontanément par le candidat.
Appliquez la minimisation.
Si la tâche peut être réalisée sans données identifiantes, demandez-vous s’il faut téléverser le CV complet. La même question se pose lorsque vous collez un CV dans un assistant d’IA généraliste.
Que fait le fournisseur des données ?
Demandez :
- Les données de candidats sont-elles conservées ?
- Pendant combien de temps ?
- Servent-elles à entraîner ou améliorer des modèles ?
- Qui peut y accéder ?
- Où sont-elles traitées ?
- Des sous-traitants ultérieurs interviennent-ils ?
- Les données peuvent-elles être supprimées ?
- Quelles protections contractuelles s’appliquent ?
Ne présumez pas qu’un outil d’IA connu convient automatiquement à des données de recrutement confidentielles. Lorsque le fournisseur traite ces données pour votre compte, il vous faut normalement aussi un accord de sous-traitance.
Ajoutez le fournisseur d’IA à votre dossier tiers
Si un fournisseur d’IA externe traite des données de candidats, veillez à l’inscrire dans votre dossier tiers. Documentez ce qu’il fait, quelles données il reçoit, où elles sont traitées, si des sous-traitants ultérieurs interviennent et quelles dispositions contractuelles et de transfert s’appliquent.
L’outil d’IA est ainsi traité comme tout autre prestataire externe traitant des données personnelles, et ne devient pas une partie non documentée de votre processus.
Décision automatisée sous le RGPD
Le RGPD contient des règles spécifiques pour les décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant les personnes de manière significative de façon similaire.
Une décision entièrement automatisée de rejeter une candidature peut donc soulever de sérieuses difficultés.
Qu’un processus donné relève de ces règles dépend du fonctionnement réel du système et de l’intervention humaine.
Ajouter une personne en fin de processus ne règle rien si elle accepte simplement la recommandation de l’algorithme. Lorsque le résultat automatisé est en pratique déterminant et que l’humain n’apporte aucune appréciation véritable, le traitement reste dans le champ de l’article 22 du RGPD. Voir l’IA peut-elle rejeter automatiquement un candidat ? pour ce que cela implique concrètement.
L’AI Act compte aussi
L’AI Act européen encadre les systèmes d’IA selon leur risque.
Certains systèmes destinés au recrutement ou à la sélection, par exemple pour analyser et filtrer des candidatures ou évaluer des candidats, sont classés à haut risque.
Ce classement emporte des obligations substantielles, et celles qui pèsent sur vous dépendent du rôle de votre organisation : fournisseur, déployeur ou autre rôle réglementé.
Sur le calendrier : ces obligations devaient s’appliquer au 2 août 2026, mais le règlement (UE) 2026/1744 a reporté cette date au 2 décembre 2027 pour les systèmes autonomes de l’annexe III couvrant le recrutement. Les obligations de transparence de l’article 50 n’ont pas été reportées et s’appliquent dès maintenant. Voir RGPD et AI Act en recrutement pour l’articulation des deux cadres.
Biais et exactitude
Les systèmes d’IA peuvent reproduire ou amplifier les schémas présents dans les données et les critères qu’ils utilisent.
Un employeur examine donc :
- Si les critères sont pertinents pour le poste
- Si les résultats sont exacts
- Si certains groupes peuvent être désavantagés
- Comment détecter les erreurs
- Comment les candidats peuvent contester une décision
- Si les relecteurs humains comprennent les limites du système
Les principes RGPD d’exactitude et de loyauté restent applicables, même lorsque le traitement est effectué par un logiciel.
Évaluez avant de déployer
Selon la nature et le risque du traitement, une analyse d’impact relative à la protection des données peut être requise par le RGPD.
Réalisez-la avant le déploiement, et non après l’arrivée des plaintes.
La conformité à l’AI Act peut exiger une gestion des risques, une documentation, un contrôle humain et d’autres mesures supplémentaires.
L’IA doit soutenir un processus maîtrisé
La bonne question n’est pas « L’IA peut-elle nous faire gagner du temps ? »
Elle est :
Pouvons-nous utiliser ce système précis pour cette tâche de recrutement précise de manière licite, transparente et maîtrisée ?
GDPRWise aide les organisations à cartographier les données personnelles, les fournisseurs, les finalités et les risques de leurs traitements, offrant une base RGPD structurée lors de l’introduction de nouveaux outils comme l’IA.
GDPRWise cartographie vos traitements et vos prestataires externes, pour qu'un nouvel outil d'IA soit documenté et évalué plutôt qu'ajouté discrètement au processus.