Recrutement IA : ce qu'imposent le RGPD et l'IA Act

Le recrutement, un usage classé « haut risque » par l'IA Act

L'IA Act (règlement européen sur l'intelligence artificielle) classe explicitement les systèmes d'IA utilisés pour le recrutement dans la catégorie des usages à haut risque. Cela concerne le tri de candidatures, l'évaluation des candidats, la diffusion d'offres ciblées et l'analyse de performance en entretien. Le texte du règlement (UE) 2024/1689 est publié sur EUR-Lex.

Cette classification impose des obligations concrètes à l'employeur, qu'il ait développé l'outil en interne ou qu'il utilise une solution éditeur :

• Mettre en place un système de gestion des risques documenté.
• Garantir la qualité et la traçabilité des données d'entraînement.
• Conserver une documentation technique et des journaux d'utilisation.
• Assurer une supervision humaine effective à chaque étape décisionnelle.

Un outil de tri de CV n'est donc jamais neutre au regard de la loi : il entre dans un régime de conformité renforcé dès qu'il influence une décision d'embauche.

RGPD et article 22 : ce qui est réellement interdit

L'article 22 du RGPD interdit qu'une décision produisant des effets juridiques ou significatifs sur une personne repose exclusivement sur un traitement automatisé. En recrutement, cela signifie qu'un algorithme ne peut ni éliminer ni sélectionner seul un candidat.

La nuance est fine mais déterminante : l'IA peut classer, présélectionner, ordonner des candidatures selon un score. Elle ne peut pas décider seule de rejeter une candidature sans intervention humaine capable de comprendre, contester et modifier ce résultat.

Un score n'est pas une décision. La décision reste un acte humain, documenté, qui peut s'écarter du score algorithmique.

Scoring algorithmique : l'obligation d'explicabilité

Un outil qui attribue une note ou un rang à un candidat doit pouvoir justifier ce résultat. Les critères de scoring doivent être identifiables, compréhensibles par un recruteur non technicien, et communicables en cas de contestation.

Concrètement, cela exclut les modèles dits « boîte noire » dont la logique interne ne peut être restituée. Un outil qui ne permet pas d'expliquer pourquoi un candidat A a été classé devant un candidat B expose l'entreprise à un risque juridique direct, en cas de recours pour discrimination notamment.

Les équipes RH doivent pouvoir répondre à trois questions pour chaque outil utilisé :

• Quels critères entrent dans le calcul du score ?
• Quel poids est attribué à chaque critère ?
• Qui, en interne, peut expliquer ce fonctionnement à un candidat ou à un juge ?

Informer les candidats : une obligation, pas une option

Le RGPD impose d'informer chaque candidat de l'existence d'un traitement automatisé le concernant, dès la collecte de ses données (articles 13 et 14). Cela inclut l'analyse de CV par IA, l'enregistrement d'entretiens vidéo, et toute forme de scoring.

Cette information doit préciser la finalité du traitement, la logique générale utilisée, et les conséquences possibles sur la décision de recrutement. Un candidat non informé qui découvre l'usage d'un outil de scoring après un refus dispose d'un motif de contestation solide.

L'IA Act ajoute une exigence de transparence spécifique : le candidat doit savoir qu'il interagit avec, ou qu'il est évalué par, un système d'IA à haut risque.

Les usages IA légitimes en recrutement

Le cadre légal n'interdit pas l'usage de l'IA dans le recrutement. Il encadre les usages qui influencent directement une décision sur une personne. Plusieurs usages restent sans risque juridique majeur, à condition qu'un regard humain valide chaque décision finale :

• La rédaction assistée de fiches de poste, pour gagner du temps sur un contenu qui reste validé par le recruteur.
• La génération de grilles d'entretien structurées, utilisées comme trame et non comme grille de notation automatique.
• La synthèse de notes d'entretien, pour faciliter la comparaison entre candidats sans se substituer au jugement du recruteur.
• L'aide à la diffusion d'offres, tant que le ciblage ne repose pas sur des critères discriminatoires non contrôlés.

Dans ces cas, l'IA accélère la préparation et la documentation du processus. Elle ne prend jamais la décision d'avancer ou d'écarter un candidat.

Les usages qui exposent l'entreprise à un risque

Certains usages, pourtant répandus, créent une exposition directe au risque juridique :

• L'élimination automatique de candidatures en dessous d'un seuil de score, sans revue humaine documentée.
• L'analyse d'émotions ou de comportements en entretien vidéo : l'IA Act interdit explicitement les systèmes de reconnaissance des émotions en contexte professionnel.
• L'utilisation d'un outil de scoring dont la logique n'est pas explicable ni documentée.
• L'absence d'information des candidats sur l'existence d'un traitement automatisé.
• L'usage de données sensibles (origine, santé, situation familiale déduite) dans le calcul d'un score, même indirectement.

Ces pratiques ne sont pas seulement des zones grises : certaines, comme la reconnaissance d'émotions au travail, relèvent des pratiques interdites listées à l'article 5 de l'IA Act, sans marge d'appréciation possible.

Structurer une supervision humaine effective sans ralentir le recrutement

La supervision humaine ne doit pas être un frein au processus. Elle doit être conçue comme une étape structurée, intégrée dès la conception du workflow de recrutement, pas ajoutée après coup.

Trois principes permettent de garder de la vitesse tout en respectant l'obligation légale :

• Documenter la décision, pas seulement le score : chaque validation ou refus doit être tracé avec le motif humain associé.
• Former les recruteurs à lire et contester un score, plutôt qu'à le suivre par défaut.
• Limiter l'IA aux étapes de préparation et de tri intermédiaire, en réservant la décision finale à un entretien humain documenté.

Cette structuration transforme la conformité en méthode de travail, pas en couche de contrôle supplémentaire qui ralentit chaque étape. Le même principe vaut pour tous les systèmes IA en entreprise : savoir ce qu'ils ont le droit de décider seuls et ce qui revient à une personne, une question que nous détaillons dans notre guide de décision entre agent IA et automatisation classique. La formation des recruteurs à la lecture critique d'un score relève, elle, de l'accompagnement au changement et à l'adoption de l'IA.

Documenter la conformité : DPIA et registre des traitements

Un outil de recrutement assisté par IA classé haut risque nécessite une analyse d'impact relative à la protection des données (AIPD/DPIA), conformément à l'article 35 du RGPD. Cette analyse identifie les risques pour les candidats et les mesures prises pour les limiter.

Le registre des traitements doit mentionner l'outil, sa finalité, les données traitées, la durée de conservation et les mesures de supervision humaine mises en place. Cette documentation devient la preuve de conformité en cas de contrôle ou de contestation. Pour les modalités pratiques, la CNIL publie des recommandations sur l'intelligence artificielle.

Dans nos diagnostics data et IA, la gouvernance des données fait partie des dimensions notées de 0 à 5, avec notamment l'application effective des politiques RGPD, et les entretiens interrogent systématiquement les contraintes réglementaires et les freins à l'adoption de l'IA. Pour une direction RH, c'est un point de départ concret : où sont les données des candidats, qui en est responsable, quelle politique s'applique, et qui sait l'expliquer.

Cet article apporte un cadre de lecture, pas un avis juridique. La qualification d'un outil précis et la rédaction de l'AIPD relèvent d'un juriste ou du délégué à la protection des données de l'entreprise, avec qui nous travaillons sur la partie organisation et processus.

Questions fréquentes