Un candidat dépose un CV en ligne et reçoit un refus quelques secondes plus tard. Un autre passe un entretien vidéo analysé par un logiciel. Un troisième apprend qu’un outil a classé sa candidature derrière plusieurs centaines de profils. Dans ces situations, la question n’est pas seulement de savoir si une intelligence artificielle a été utilisée : il faut déterminer ce qu’elle a réellement fait dans le processus de recrutement.
Un algorithme peut aider à trier, classer ou évaluer les candidatures. Mais le droit français impose déjà une information sur les méthodes de recrutement, et le RGPD renforce les droits lorsque la décision est entièrement automatisée et produit un effet significatif.
Le candidat doit être informé des méthodes et techniques de recrutement
L’article L. 1221-8 du Code du travail est très clair : le candidat à un emploi doit être expressément informé, avant leur mise en œuvre, des méthodes et techniques d’aide au recrutement utilisées à son égard. Les résultats obtenus sont confidentiels et les méthodes doivent être pertinentes au regard de la finalité poursuivie.
Cette règle existait bien avant l’essor de l’intelligence artificielle. Elle s’applique donc aussi lorsqu’une méthode de recrutement prend la forme d’un tri automatique de CV, d’un test évalué par logiciel ou d’un système qui produit un score de compatibilité avec le poste.
Le candidat ne devrait pas découvrir après le refus qu’un outil a analysé des informations dont il ignorait l’usage.
Un algorithme ne peut pas collecter n’importe quelle information
La CNIL rappelle que les informations utilisées pendant un recrutement doivent avoir un lien direct et nécessaire avec l’emploi proposé ou l’évaluation des aptitudes professionnelles.
Le fait qu’un système d’IA soit capable d’extraire des centaines de caractéristiques ne rend pas chacune d’elles pertinente. L’évaluation des performances par IA pose des questions comparables lorsqu’elle intervient après l’embauche. L’utilisation de données sans rapport avec le poste peut augmenter les risques de biais, de discrimination ou d’atteinte à la vie privée.
Lorsqu’un outil affirme pouvoir déduire des traits de personnalité, des émotions ou des caractéristiques sensibles à partir d’une vidéo, de la voix ou du visage, il faut être particulièrement prudent. L’AI Act interdit déjà certains systèmes destinés à inférer les émotions dans le domaine du travail, sauf motifs médicaux ou de sécurité.
Le RGPD protège contre certaines décisions entièrement automatisées
L’article 22 du RGPD pose le principe du droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé lorsqu’elle produit un effet juridique ou affecte la personne de manière significative.
La CNIL cite précisément comme exemple le refus automatique d’une candidature à un emploi. Elle indique que, lorsqu’une telle décision entre dans le champ de l’article 22, la personne doit être informée de l’existence de la décision automatisée et peut demander à connaître la logique et les critères employés, exprimer son point de vue, contester la décision et demander l’intervention d’un être humain.
Cela ne signifie pas que tout outil de tri entraîne automatiquement l’application de l’article 22. Il faut vérifier si la décision est réellement prise sans intervention humaine et si elle produit un effet significatif.
Une intervention humaine purement théorique ne suffit pas toujours
Un recruteur peut être officiellement placé dans la boucle alors que, dans les faits, il ne consulte jamais les candidatures classées en dessous d’un certain score. La CNIL attire précisément l’attention sur ce type de situation : un classement automatique peut devenir, en pratique, une décision exclusivement automatisée si les candidatures reléguées ne sont jamais réellement examinées par une personne.
La question utile est donc : un humain avait-il réellement la capacité, le temps et l’autorité pour remettre en cause le résultat de l’algorithme ?
Peut-on demander « pourquoi mon CV a été rejeté » ?
Le candidat peut demander des informations sur le traitement de ses données et, lorsqu’une décision automatisée significative a été prise, obtenir des informations sur la logique sous-jacente, son importance et ses conséquences prévues.
Ce droit ne se confond pas avec un droit général d’obtenir le code source du logiciel, ses secrets commerciaux ou la totalité de son modèle mathématique. L’objectif est de permettre à la personne de comprendre suffisamment le mécanisme qui l’a affectée pour exercer ses droits et, le cas échéant, contester une erreur.
Une demande utile peut porter sur :
- l’existence d’un classement ou d’un score automatisé ;
- les principales catégories de données utilisées ;
- les critères ou la logique ayant joué un rôle dans l’évaluation ;
- la place du score dans la décision finale ;
- l’existence d’un réexamen humain ;
- la durée de conservation des données et les destinataires des résultats.
Que change l’AI Act pour le recrutement ?
Le règlement européen sur l’intelligence artificielle classe parmi les systèmes à haut risque certains outils destinés au recrutement ou à la sélection, notamment ceux qui servent à diffuser des offres ciblées, analyser ou filtrer des candidatures, ou évaluer des candidats lors d’entretiens ou de tests.
Ces systèmes seront soumis à un ensemble d’obligations renforcées portant notamment sur la gestion des risques, la qualité des données, la traçabilité, l’information et la supervision humaine.
Mais le calendrier doit être présenté correctement. À la suite de la réforme européenne adoptée en 2026, les obligations spécifiques aux systèmes à haut risque de l’annexe III ne s’appliqueront qu’à partir du 2 décembre 2027. Au 21 août 2026, elles ne sont donc pas encore toutes exigibles.
Le Code du travail et le RGPD, eux, s’appliquent déjà.
Le CSE doit être informé des méthodes de recrutement dans l’entreprise
Dans les entreprises concernées, l’article L. 2312-38 du Code du travail prévoit que le CSE est informé préalablement à l’utilisation des méthodes ou techniques d’aide au recrutement et de leurs modifications.
L’introduction d’un outil de tri algorithmique ne se réduit donc pas à un choix du service RH ou du fournisseur informatique : elle peut également entrer dans le champ des obligations d’information des représentants du personnel.
Que faire lorsqu’un refus paraît incohérent ?
Un rejet automatique très rapide, une erreur manifeste dans les données ou une explication contradictoire peut justifier une demande d’information ou de rectification. Il est utile de conserver :
- l’offre d’emploi telle qu’elle était publiée ;
- la version du CV et de la lettre effectivement envoyées ;
- les courriels ou notifications reçus ;
- la date et l’heure du dépôt de candidature ;
- les captures d’écran du parcours de recrutement ;
- les informations fournies sur l’outil automatisé.
Les principes exposés dans l’article consacré à la conservation d’une capture d’écran comme preuve sont utiles pour garder un parcours en ligne complet plutôt qu’une image isolée.
Si le recrutement comprend des échanges par messagerie professionnelle ou une plateforme collaborative, les questions de données et de confidentialité peuvent également rejoindre celles étudiées à propos des messages Teams ou Slack.
Ce que le candidat peut raisonnablement attendre
Un recrutement automatisé ne crée pas un droit à être embauché ni à connaître chaque paramètre technique d’un logiciel. En revanche, il ne transforme pas le processus de recrutement en boîte noire. Le candidat doit être informé des méthodes utilisées ; les données doivent être pertinentes ; et lorsqu’une décision significative est réellement automatisée, le RGPD ouvre des droits renforcés à l’explication, à la contestation et à l’intervention humaine.
L’AI Act renforcera encore ce cadre pour les systèmes de recrutement classés à haut risque à compter du 2 décembre 2027. D’ici là, les recruteurs qui utilisent l’IA restent déjà soumis au Code du travail et au RGPD.