L'IA peut-elle rejeter automatiquement un candidat ?

Un employeur reçoit 1 000 candidatures. Un logiciel note chaque CV et rejette automatiquement tous ceux qui passent sous un certain seuil. Efficace ? Certainement. Licite ? Presque jamais, sans un travail préalable.

L’article 22 est une interdiction, pas une procédure de plainte

C’est le point sur lequel les employeurs se trompent le plus souvent.

L’article 22, paragraphe 1 du RGPD est souvent lu comme un droit : le candidat peut s’opposer à une décision entièrement automatisée, et tant qu’il ne le fait pas, l’employeur peut continuer. Cette lecture est erronée.

Dans son arrêt SCHUFA (C-634/21, 7 décembre 2023), la Cour de justice a jugé que l’article 22, paragraphe 1 pose une interdiction de principe des décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant la personne de manière significative de façon similaire. La personne concernée n’a rien à invoquer pour que cette interdiction s’applique.

Pour un employeur, la conséquence est concrète : vous ne pouvez pas activer le rejet automatique et attendre de voir si un candidat s’y oppose. Vous devez établir, avant le déploiement, qu’une des exceptions de l’article 22, paragraphe 2 s’applique et que les garanties sont en place.

Être rejeté pour un emploi affecte clairement une personne de manière significative, il n’y a donc guère de débat utile sur ce seuil. Les droits des candidats en matière de décision automatisée s’ajoutent à cette interdiction ; ils ne la remplacent pas.

Que signifie « exclusivement automatisé » ?

La question est de savoir s’il existe une intervention humaine significative.

Si un logiciel attribue un score à chaque candidat et rejette tous ceux qui passent sous 70 % sans que personne n’examine ces dossiers, la décision est automatisée. Ce cas est simple.

Le cas plus délicat est celui que produisent la plupart des outils de recrutement : le système génère un classement ou un score, et un collaborateur RH prend la décision formelle.

SCHUFA importe ici aussi. La Cour a jugé que l’établissement du score peut lui-même constituer la décision visée à l’article 22 lorsque la partie qui l’utilise s’appuie de manière déterminante sur ce score pour fixer l’issue. Appliqué au recrutement : si le classement produit par l’IA détermine en pratique qui est convoqué et que l’humain n’apporte aucune appréciation véritable, son intervention ne fait pas sortir le traitement du champ de l’article 22.

Posez trois questions au sujet de votre relecteur :

• Voit-il la candidature complète, ou seulement le score ?
• A-t-il l’autorité de parvenir à une conclusion différente ?
• En a-t-il le temps, compte tenu du volume de dossiers que vous lui transmettez ?

Si la réponse honnête à l’une de ces questions est non, traitez le processus comme exclusivement automatisé.

Quand est-ce licite ?

L’article 22, paragraphe 2 prévoit trois exceptions, et trois seulement :

• Nécessaire à la conclusion ou à l’exécution d’un contrat entre le candidat et l’employeur. La nécessité est un test strict ; recevoir un volume élevé de candidatures et vouloir les filtrer à moindre coût relève de la commodité, pas de la nécessité.
• Autorisée par le droit de l’Union ou d’un État membre, qui doit prévoir des garanties appropriées. Cela varie selon les pays et reste rare en recrutement.
• Consentement explicite du candidat. Le consentement dans une relation d’emploi ou de recrutement est difficile à qualifier de libre, car le candidat n’est pas en position de refuser sans coût.

Lorsque vous invoquez la première ou la troisième exception, l’article 22, paragraphe 3 impose des garanties : au minimum le droit d’obtenir une intervention humaine, d’exprimer son point de vue et de contester la décision. Si le traitement porte sur des catégories particulières de données, l’article 22, paragraphe 4 le restreint davantage.

Notre position pratique pour les employeurs : ne construisez pas un processus de recrutement qui dépend de l’établissement d’une exception à l’article 22. Construisez-en un où une personne prend réellement la décision, et utilisez l’outillage pour préparer cette décision plutôt que pour la prendre.

Les candidats doivent être informés

Lorsque l’article 22 s’applique, la transparence n’est ni facultative ni générique.

Les articles 13, paragraphe 2, f) et 14, paragraphe 2, g) imposent d’indiquer aux candidats qu’une décision automatisée a lieu, et de fournir des informations utiles concernant la logique sous-jacente ainsi que l’importance et les conséquences prévues du traitement. L’article 15, paragraphe 1, h) exige les mêmes informations si le candidat introduit une demande d’accès.

« De la technologie peut être utilisée dans notre processus de recrutement » n’atteint pas ce niveau. Expliquez ce que le système évalue, quel rôle joue son résultat et comment un candidat peut demander un réexamen humain. Où cela s’inscrit est détaillé dans ce que doit contenir une notice de confidentialité candidats.

Qu’ajoute l’AI Act ?

L’AI Act européen classe les systèmes d’IA servant à filtrer les candidatures ou à évaluer les candidats comme à haut risque au titre de l’annexe III.

Les systèmes à haut risque emportent un cadre substantiel : gestion des risques, gouvernance des données, documentation, journalisation, transparence, contrôle humain, exactitude, robustesse et cybersécurité, avec des obligations qui varient selon que vous êtes fournisseur ou déployeur.

Le règlement (UE) 2026/1744 a reporté la date d’application de ces systèmes autonomes à haut risque du 2 août 2026 au 2 décembre 2027. Cela déplace votre échéance au titre de l’AI Act. Cela ne change rien à votre position RGPD : l’article 22 s’applique aujourd’hui. L’articulation des deux cadres est traitée dans RGPD et AI Act en recrutement.

Attention aux résultats discriminatoires

Un système peut paraître neutre tout en désavantageant certains groupes.

Les données historiques de recrutement reflètent des biais historiques, et un modèle entraîné sur ces données reproduit ces schémas. Vérifiez que vos critères sont réellement pertinents pour le poste et que le système ne produit pas de résultats injustes.

La conformité au RGPD ne remplace pas le droit de la non-discrimination. Un outil peut être documenté, transparent et licite au regard de l’article 22 tout en vous exposant à une action pour discrimination.

La supervision humaine doit être réelle

Un relecteur qui apporte quelque chose au processus :

• Comprend ce que fait le système et ce qu’il ne mesure pas
• Accède à la candidature complète, pas seulement au résultat
• Peut contester le résultat et l’écarter
• Dispose du temps et de l’autorité pour une appréciation autonome
• N’est pas évalué sur la vitesse à laquelle il vide la file

« L’ordinateur dit non » n’est pas une supervision.

Traitez le rejet automatique comme une gouvernance à haut risque

L’évaluation automatisée de candidats relève directement de l’article 35, paragraphe 3, a), de sorte qu’une analyse d’impact relative à la protection des données constitue le point de départ et non un complément. Associez les fonctions vie privée, RH, juridique, sécurité et gouvernance de l’IA avant le déploiement, pas après la première plainte.

GDPRWise aide les organisations à documenter leurs traitements et à évaluer les risques vie privée, afin de disposer de la base RGPD nécessaire avant d’introduire des technologies de recrutement à risque plus élevé.