CV trié par une IA : un recruteur peut-il refuser automatiquement une candidature ?
Les outils de tri de CV et de scoring peuvent classer ou écarter des candidatures. En 2026, le RGPD encadre déjà les décisions entièrement automatisées et la CNIL contrôle particulièrement les pratiques de recrutement.
Lorsqu’un CV est trié par une IA, le candidat doit pouvoir comprendre le rôle du traitement automatisé et les garanties qui entourent la décision de recrutement.
Un logiciel de recrutement peut aujourd’hui classer des candidatures, rechercher des mots dans les CV, attribuer un score ou recommander certains profils. Le fait qu’un outil utilise de l’intelligence artificielle ne rend pas automatiquement le recrutement illicite. En revanche, plus l’outil influence directement l’accès à l’emploi, plus les règles relatives aux données personnelles et aux décisions automatisées deviennent importantes.
En 2026, il faut distinguer deux niveaux. Le RGPD s’applique déjà aux traitements de données et aux décisions entièrement automatisées. De son côté, l’AI Act classe certains systèmes utilisés pour analyser, filtrer ou évaluer les candidatures parmi les usages potentiellement à haut risque, mais les obligations spécifiques de ce régime pour l’annexe III n’entreront en application que le 2 décembre 2027.
Un simple classement automatique n’est pas toujours une décision automatisée au sens du RGPD
L’article 22 du RGPD vise une décision fondée exclusivement sur un traitement automatisé lorsqu’elle produit des effets juridiques ou affecte la personne de manière significative. Un refus automatique de candidature peut entrer dans ce cadre puisqu’il ferme l’accès à un emploi.
La situation est plus nuancée lorsque l’outil se contente d’ordonner les CV et qu’un recruteur examine réellement les candidatures. La CNIL rappelle toutefois qu’une intervention humaine purement formelle ne suffit pas nécessairement. Si l’algorithme place certains CV si bas dans une liste qu’aucun humain ne les examinera en pratique, son influence réelle doit être prise en compte.
Le candidat peut demander une intervention humaine dans certaines situations
La CNIL rappelle que, lorsqu’une décision entièrement automatisée ayant un effet juridique ou significatif est mise en œuvre dans les cas où le RGPD l’autorise, la personne doit disposer de garanties. Elle peut notamment demander l’intervention d’un être humain, exprimer son point de vue et contester la décision.
Elle doit aussi pouvoir être informée de l’existence d’une décision automatisée et obtenir des informations utiles sur la logique et les critères employés. Cela ne signifie pas que l’entreprise doit livrer le code source ou tous ses secrets commerciaux, mais elle doit permettre à la personne de comprendre suffisamment le mécanisme ayant influencé la décision.
La CNIL a fait du recrutement une priorité de contrôle en 2026
La CNIL a annoncé que ses contrôles prioritaires de 2026 porteraient notamment sur la mise en œuvre de son guide recrutement. Elle indique que les contrôles viseront des thèmes comme les systèmes de prise de décision automatisée, l’information des candidats et les durées de conservation.
Cette priorité concerne en particulier les grandes entreprises et les cabinets de recrutement, qui traitent un volume important de candidatures et utilisent plus facilement des systèmes de présélection ou de classement.
L’AI Act considère le recrutement comme une zone sensible
L’annexe III de l’AI Act vise les systèmes destinés au recrutement ou à la sélection des personnes, notamment ceux utilisés pour diffuser des offres ciblées, analyser et filtrer les candidatures ou évaluer les candidats. Ces usages relèvent du futur régime des systèmes d’IA à haut risque lorsqu’ils remplissent les critères du règlement.
Après l’Omnibus IA entré en vigueur le 27 juillet 2026, les obligations propres aux systèmes de l’annexe III seront applicables à partir du 2 décembre 2027. Il serait donc inexact d’affirmer qu’en août 2026 tout logiciel de tri de CV doit déjà respecter l’intégralité des obligations « haut risque » de l’AI Act.
2027 ne signifie pas que les recruteurs disposent d’une période sans règles
Le décalage du régime haut risque n’écarte ni le RGPD, ni les règles relatives à la non-discrimination, ni les obligations d’information applicables au recrutement. Un système qui traite des données de candidats doit déjà disposer d’une base juridique et respecter les principes de finalité, minimisation et durée de conservation.
Un modèle biaisé peut également produire une discrimination même si aucun recruteur n’a volontairement programmé un critère interdit. L’automatisation ne neutralise donc pas la responsabilité liée au résultat du processus.
Quels indices peuvent révéler une présélection automatisée ?
Certains parcours de candidature indiquent explicitement qu’un outil de scoring ou d’analyse est utilisé. Dans d’autres cas, l’information figure dans la politique de confidentialité ou dans une notice dédiée au recrutement. Le candidat peut rechercher les mentions relatives au profilage, à la prise de décision automatisée ou à l’utilisation d’un outil d’intelligence artificielle.
Une réponse reçue quelques secondes après l’envoi d’un dossier ne prouve pas à elle seule qu’une décision entièrement automatisée a été prise. Le bon réflexe consiste à demander quelle étape a été automatisée et quelle intervention humaine est réellement prévue.
Et si l’IA analyse autre chose que le CV ?
Certains outils vont plus loin que le texte d’un CV et prétendent analyser une voix, un visage ou des comportements. Lorsqu’un système cherche à inférer les émotions dans le contexte du travail, l’AI Act prévoit une interdiction spécifique, sous réserve de l’exception médicale ou de sécurité.
Pour les salariés déjà en poste, l’utilisation d’un algorithme pour attribuer des tâches, contrôler ou évaluer la performance relève d’un autre usage visé par l’annexe III.