Trier des CV avec l’IA : ce que la loi impose déjà
LA RÉPONSE COURTE
Vous pouvez utiliser l’intelligence artificielle pour trier des candidatures, à condition qu’un être humain garde la main sur la décision finale. Ce n’est pas une règle à venir : le RGPD l’impose depuis 2018, et l’autorité néerlandaise vient d’infliger à Uber une amende de près de 825 millions d’euros pour l’avoir ignorée. Le calendrier européen sur l’IA à haut risque, lui, a été repoussé au 2 décembre 2027 : c’est le seul point qui a bougé cet été.
EN BREF
- Pour qui : tout dirigeant qui recrute, évalue ou sélectionne avec l’aide d’un outil d’IA, et les formateurs qui accompagnent ces usages.
- L’enjeu : distinguer l’IA qui prépare une décision de l’IA qui la prend. La première est libre, la seconde est encadrée depuis huit ans.
- Le chiffre clé : 824 990 000 euros d’amende, annoncés le 24 août 2026, pour des désactivations de comptes décidées sans aucune intervention humaine.
- Temps de lecture : environ 8 minutes.
1. Une amende de 825 millions d’euros pour des décisions prises sans personne
Le 24 août 2026, la CNIL a annoncé une sanction qui mérite d’être lue de près, même quand on dirige une entreprise de trois salariés. L’autorité néerlandaise de protection des données, en coopération avec la CNIL, a infligé aux sociétés Uber B.V. et Uber Technologies Inc. une amende de 824 990 000 euros. Le motif n’est ni une fuite de données, ni un défaut de consentement aux cookies. C’est autre chose, et c’est précisément ce qui rend l’affaire instructive : la plateforme prenait des décisions individuelles entièrement automatisées au sujet de ses chauffeurs.
Concrètement, deux mécanismes étaient en cause. En cas de suspicion de fraude, le compte du chauffeur était désactivé temporairement. En cas de notation basse de la part des clients, il pouvait l’être temporairement, puis définitivement. Dans les deux cas, l’autorité a constaté l’absence totale d’intervention humaine dans le processus de décision. Et la conséquence, elle, était bien réelle : compte bloqué, plus de courses, plus de revenus.
L’affaire vient d’une plainte collective déposée en 2020 par la Ligue des droits de l’Homme, au nom de plus de 170 chauffeurs. Elle avait déjà donné lieu à deux sanctions, 10 millions d’euros en décembre 2023 pour un défaut d’information et 290 millions en juillet 2024 pour des transferts de données hors d’Europe. Le volet « décision automatisée » était le dernier à être jugé : c’est de loin le plus lourd.
Il serait facile de ranger cela parmi les affaires de géants du numérique. Ce serait manquer l’essentiel : la règle appliquée ici ne vise pas les grandes plateformes, elle vise tout le monde.
2. La date que beaucoup annoncent n’est plus la bonne
Une date circule depuis des mois dans les argumentaires commerciaux : le 2 août 2026, les systèmes d’IA dits « à haut risque », dont le recrutement fait partie, devaient basculer sous une longue liste d’obligations. Beaucoup d’offres de mise en conformité ont été bâties sur cette échéance.
Elle a changé. Le paquet européen de simplification numérique adopté cet été a repoussé l’application de ces obligations au 2 décembre 2027 pour les systèmes listés à l’annexe III du règlement sur l’intelligence artificielle, et au 2 août 2028 pour ceux qui sont intégrés dans des produits. Le calendrier officiel de mise en oeuvre, mis à jour le 31 août 2026, ne laisse aucune ambiguïté : les obligations qui pèsent sur l’utilisateur d’un système à haut risque, rassemblées à l’article 26, portent désormais la mention « entre en application 2 décembre 2027 ».
Le piège à éviter
Un report n’est pas une dispense, et surtout il ne concerne qu’une partie du texte. Les interdictions du règlement s’appliquent depuis le 2 février 2025. Les obligations de transparence sur les contenus générés s’appliquent depuis le 2 août 2026, comme nous l’avons détaillé dans notre article sur l’étiquetage des contenus IA. Si un prestataire vous vend une mise en conformité en agitant une échéance sans préciser de quel article il parle, demandez-lui l’article.
3. La vraie ligne de partage : préparer une décision, ou la prendre
Pendant que l’on discute du calendrier européen, une règle s’applique sans interruption depuis mai 2018 : l’article 22 du RGPD. Il dit qu’une personne a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé lorsque cette décision produit des effets juridiques la concernant ou l’affecte de manière significative.
Tout se joue sur l’adverbe : le RGPD n’interdit pas l’algorithme, il interdit que la machine soit seule à décider. La CNIL précise ce qu’est un effet significatif : une décision qui influence l’environnement de la personne, son comportement, ses choix, ou qui aboutit à une discrimination. Une candidature écartée, un devis refusé, un tarif majoré y entrent sans difficulté.
La question n’est pas de savoir si vous utilisez l’IA pour recruter. Elle est de savoir si quelqu’un, dans votre entreprise, aurait pu dire non à la machine.
Voici comment se répartissent, en pratique, les usages que l’on rencontre le plus souvent dans une petite entreprise.
| Ce que vous faites | Est-ce une décision automatisée ? | Ce que cela exige |
|---|---|---|
| Faire rédiger une offre d’emploi par un assistant IA | Non | Rien de particulier. Relisez, c’est tout. |
| Demander un résumé des vingt CV reçus | Non, si vous lisez ensuite les CV | Informer les candidats de l’usage de l’outil. Vérifier ce que l’outil fait des données. |
| Faire noter les candidats de 0 à 10 et ne recevoir que les mieux notés | Oui, en pratique, si personne ne regarde les autres | Une relecture humaine réelle des écartés, ou les garanties de l’article 22. |
| Laisser un outil envoyer seul les refus sous un certain score | Oui, sans ambiguïté | Interdit par principe, sauf exception prévue et garanties associées. |
| Analyser le ton de voix ou le visage d’un candidat en entretien | Autre sujet | Interdit depuis le 2 février 2025. Voir la section suivante. |
La troisième ligne est celle qui piège le plus de monde. Beaucoup de dirigeants estiment de bonne foi qu’ils gardent la main parce qu’ils voient une liste à l’écran. Mais si la liste ne contient plus que les cinq premiers et que les quarante autres candidatures ne sont jamais ouvertes, c’est bien l’outil qui a décidé, et l’humain qui a entériné.
4. Ce qui est déjà interdit, aujourd’hui, sans attendre 2027
Une pratique en particulier ne relève ni du calendrier ni du débat : elle est purement et simplement interdite. Depuis le 2 février 2025, l’article 5 du règlement européen sur l’IA prohibe la mise sur le marché et l’utilisation de systèmes visant à inférer les émotions d’une personne sur le lieu de travail et dans les établissements d’enseignement, sauf pour des raisons médicales ou de sécurité.
Sont visés les outils d’entretien vidéo qui prétendent mesurer la motivation ou la sincérité d’un candidat à partir de son visage, de sa voix ou de ses hésitations, comme les dispositifs qui évalueraient l’humeur des salariés en poste. Ce n’est pas un usage à encadrer, c’est un usage interdit, passible d’amendes pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial.
Trois réflexes à ne pas avoir
- Coller un CV complet dans un assistant IA grand public sans avoir vérifié ce que le service fait des données : ce CV contient les données personnelles d’un tiers, pas les vôtres.
- Acheter un outil qui promet de détecter les émotions ou la personnalité en entretien. C’est interdit sur le lieu de travail, quelle que soit la qualité du produit.
- Considérer qu’un candidat écarté n’a droit à aucune explication. Lorsqu’une décision automatisée est en jeu, il peut demander une intervention humaine, exprimer son point de vue et contester la décision.
Sur le premier point, la parade est simple et vaut pour tous les usages de l’IA en entreprise : une règle écrite, connue de tous, qui dit quels outils sont autorisés et quelles données ne doivent jamais y entrer. C’est l’objet de la charte d’usage que nous décrivions en août, et elle prend ici tout son sens.
5. Pourquoi le recrutement, et pourquoi cette année
Chaque année, la CNIL choisit quelques thématiques prioritaires de contrôle, qui représentent environ 20 % des contrôles qu’elle mène. Le 3 avril 2026, elle a annoncé ses choix : le répertoire électoral unique, les fédérations sportives, et le recrutement.
Trois ans après son guide du recrutement de janvier 2023, elle en vérifiera l’application, sur trois points prioritaires : les systèmes de prise de décision automatisée, l’information des candidats et les durées de conservation. Les contrôles viseront d’abord les grandes entreprises et les cabinets de recrutement, vu le volume de candidatures qu’ils traitent.
Une phrase de cette annonce mérite pourtant l’attention de tous les autres. La CNIL écrit que cette thématique « préfigurera l’exercice par la CNIL de ses futures attributions en tant qu’autorité de surveillance de marché dans le champ travail au titre du règlement sur l’intelligence artificielle ». Traduction : l’autorité qui contrôlera demain l’usage de l’IA dans l’emploi est en train de se roder aujourd’hui, sur le terrain du RGPD.
Ce que dit l’annexe III
Le règlement européen classe parmi les usages à haut risque les systèmes destinés au recrutement ou à la sélection, en particulier pour publier des offres ciblées, analyser et filtrer les candidatures et évaluer les candidats. Il y ajoute les systèmes servant à décider des conditions de travail, d’une promotion ou d’un licenciement, à attribuer des tâches selon le comportement ou les traits de personnalité, ou à suivre et évaluer les performances. La liste est large, et elle ne parle pas seulement de recrutement.
6. Cinq gestes pour une entreprise qui n’a pas de service RH
Rien de ce qui précède n’exige un logiciel, un budget ou un juriste. Voici ce qui suffit, dans une entreprise de quelques personnes.
- Écrivez noir sur blanc qui décide. Une ligne dans votre procédure interne : la sélection finale est faite par une personne nommée, qui a vu les candidatures écartées.
- Dites-le aux candidats. Une phrase dans l’offre ou dans l’accusé de réception suffit : nous utilisons un outil d’aide au tri, votre candidature est examinée par une personne, vous pouvez nous écrire pour en savoir plus.
- Ouvrez la pile des refusés. Au moins une fois, sur un recrutement entier. C’est le seul moyen de savoir si votre outil écarte des profils que vous auriez reçus.
- Fixez une durée de conservation. Deux ans après le dernier contact est l’usage retenu par la CNIL pour un vivier, à condition d’en informer la personne. Supprimez ensuite.
- Vérifiez où vont les CV. Un assistant IA grand public n’est pas un coffre-fort. Consultez les conditions du service, ou utilisez une offre professionnelle qui exclut la réutilisation de vos données.
L’occasion à saisir
Ouvrir la pile des candidatures écartées n’est pas seulement une précaution juridique. C’est souvent là que l’on retrouve le profil atypique, le parcours en reconversion, la personne qui a changé de métier à quarante-cinq ans et dont le CV ne coche aucune case attendue. Dans un bassin d’emploi rural, où le vivier est étroit, ce réflexe vaut mieux que n’importe quel outil de rapprochement automatique.
7. Ce qui arrivera le 2 décembre 2027
Le report ne supprime rien, il décale. À partir du 2 décembre 2027, une entreprise qui utilise un système d’IA à haut risque dans l’emploi devra notamment : l’utiliser conformément à sa notice, confier le contrôle humain à des personnes disposant des compétences, de la formation et de l’autorité nécessaires, conserver les journaux générés par le système pendant au moins six mois, informer les représentants du personnel et les salariés concernés avant sa mise en service, et informer les personnes soumises à une décision prise ou facilitée par ce système.
Aucune n’est absurde, et trois relèvent déjà de la bonne pratique : savoir qui décide, le dire aux personnes concernées, garder une trace. Une entreprise qui applique dès maintenant les cinq gestes ci-dessus n’aura aucun virage à prendre en décembre 2027. Elle aura surtout évité d’acheter, entre-temps, une conformité pour une échéance qui n’existait plus.
Nous ne sommes pas juristes : cet article décrit un cadre général et cite ses sources officielles. Pour une situation précise, notamment en présence de représentants du personnel ou d’un outil de gestion RH, faites relire votre procédure par votre conseil.
À RETENIR
- La règle qui s’applique aujourd’hui n’est pas le règlement européen sur l’IA, c’est l’article 22 du RGPD, en vigueur depuis 2018 : une machine ne décide pas seule du sort d’une personne.
- Le 24 août 2026, cette règle a produit une amende de 824 990 000 euros, pour des désactivations de comptes prononcées sans aucune intervention humaine.
- Les obligations européennes sur l’IA à haut risque, dont le recrutement, sont reportées au 2 décembre 2027. Méfiez-vous des offres bâties sur l’ancienne date du 2 août 2026.
- Déduire les émotions d’une personne sur le lieu de travail est interdit depuis le 2 février 2025, sans report ni exception commerciale.
- Le recrutement est une priorité de contrôle de la CNIL pour 2026 : décision automatisée, information des candidats, durées de conservation.
Toutes ces règles tiennent en une idée simple, et plutôt rassurante : la loi ne vous demande pas de renoncer à l’IA, elle vous demande de rester la personne qui tranche. C’est la logique que l’ANSSI applique aux agents capables d’agir à votre place, et celle qui vaut pour les résumés automatiques de votre messagerie : l’outil prépare, vous décidez.
Num Compagny accompagne les TPE et les PME dans la mise en place d’usages de l’IA maîtrisés : rédaction d’une charte interne, choix des outils, procédures de recrutement conformes et formation des équipes. Découvrez nos formations professionnelles, finançables et adaptées aux petites structures.
