Qu’est-ce que la conformité IA en recrutement ?
La conformité IA en recrutement désigne l’ensemble des obligations légales que les employeurs doivent respecter lorsqu’ils utilisent des systèmes d’intelligence artificielle, des algorithmes ou des outils automatisés à n’importe quelle étape du processus de recrutement. Cela inclut les logiciels de présélection de CV, les entretiens menés par chatbot, les modèles de scoring et tout outil qui filtre ou classe les candidats sans jugement humain direct.
En 2026, trois cadres réglementaires structurent la conformité en recrutement pour la plupart des employeurs au Royaume-Uni et dans l’UE : le Règlement général sur la protection des données (RGPD), la loi IA de l’UE et la législation sur le droit au travail. Ensemble, ils créent des obligations précises sur la manière dont les données des candidats sont collectées, dont les décisions automatisées sont prises et sur qui est autorisé à travailler.
La conformité n’est pas un simple exercice de case à cocher. Les amendes sont substantielles (jusqu’à 6 % du chiffre d’affaires mondial au titre de la loi IA de l’UE) et l’activité des autorités de contrôle est en hausse. En 2023, la Commission nationale de l’informatique et des libertés (CNIL) a sanctionné Clearview AI d’une amende de 20 millions d’euros pour traitement illicite de données biométriques à grande échelle, un signal fort que les autorités de contrôle examinent attentivement les systèmes algorithmiques traitant des données personnelles.
Pourquoi 2026 est le tournant décisif
Les obligations de la loi IA de l’UE pour les systèmes d’IA à haut risque, qui incluent explicitement les IA dans l’emploi, sont entrées en application en août 2026 pour la plupart des organisations. Ce n’est pas une exigence future. Si vous utilisez aujourd’hui une IA pour présélectionner, classer ou établir des shortlists de candidats et que vous opérez dans l’UE, le compte à rebours a déjà commencé.
Le contrôle de la CNIL sur les prises de décision algorithmiques en recrutement se renforce, et la conscience des candidats quant à leurs droits RGPD progresse. Mettre en place un processus conforme dès maintenant vous protège des amendes, des réclamations des candidats et des atteintes à votre réputation.
La loi IA de l’UE et l’IA dans l’emploi
La loi IA de l’UE crée un système de classification des risques à quatre niveaux pour l’IA. L’IA dans l’emploi se situe dans le niveau le plus réglementé : haut risque. L’annexe III de la loi liste explicitement les IA utilisées pour le recrutement et la sélection, notamment la présélection de CV, le classement des candidats et l’évaluation en entretien, comme des applications à haut risque.
La date à laquelle les obligations liées aux IA à haut risque sont devenues applicables aux systèmes d’IA dans l’emploi. Si votre outil de présélection traite des candidats dans l’UE, les exigences obligatoires s’appliquent dès maintenant.
Ce que la classification à haut risque implique en pratique
Les employeurs et les fournisseurs de technologies RH qui déploient une IA à haut risque dans le recrutement doivent respecter un ensemble d’exigences avant et pendant le déploiement. Il ne s’agit pas d’une certification ponctuelle, mais d’obligations continues portant sur la documentation, la surveillance humaine et la transparence envers les candidats.
Une évaluation de conformité doit être réalisée avant de déployer le système d’IA. Cela implique de documenter l’objectif du système, les données sur lesquelles il a été entraîné, ses limites connues et les mesures prises pour atténuer les biais et les erreurs. Pour les employeurs qui achètent des outils clé en main, vous devez demander cette documentation à votre fournisseur.
Exigence de surveillance humaine
Chaque système d’IA à haut risque doit être conçu pour permettre une révision et une correction humaines. Dans le contexte du recrutement, cela signifie qu’aucun candidat ne peut être rejeté ou avancé à l’étape suivante sur la seule base d’une décision d’IA sans qu’un humain ait la possibilité concrète de revoir et d’annuler cette décision.
Cette exigence n’est pas satisfaite par un processus de validation purement formelle où un humain approuve les résultats de l’IA sans s’impliquer véritablement avec les données du candidat. La surveillance doit être substantielle. L’humain doit avoir accès au raisonnement de l’IA et aux données sous-jacentes du candidat, et doit être en mesure de parvenir à une conclusion différente.
Transparence envers les candidats
Les candidats doivent être informés que l’IA est utilisée dans leur évaluation. Cette information doit apparaître avant le début de l’interaction avec l’IA, dans l’offre d’emploi, le flux de candidature ou une notice dédiée. Elle doit préciser quel type d’IA est utilisé, ce qu’elle évalue et comment ses résultats sont pris en compte dans la décision de sélection.
RGPD et données des candidats
Le RGPD s’applique à tout employeur traitant des données personnelles de candidats résidant dans l’UE ou au Royaume-Uni, quel que soit le lieu d’établissement de l’employeur. Le recrutement est l’un des domaines les plus exposés en matière de conformité RGPD, car il implique de grands volumes de données personnelles sensibles provenant de personnes n’ayant aucune relation préexistante avec l’employeur.
Base légale de traitement
Le traitement des données des candidats lors d’un recrutement actif repose généralement sur l’intérêt légitime (article 6(1)(f)) ou l’exécution d’un contrat (article 6(1)(b), dans les étapes précontractuelles). Le consentement est rarement la base légale appropriée en recrutement : il doit être librement donné, ce qui est compromis par le déséquilibre de pouvoir entre l’employeur et le candidat.
Les données de catégorie spéciale, notamment la santé, le handicap, l’origine ethnique et la croyance religieuse, nécessitent une base légale supplémentaire au titre de l’article 9, le plus souvent le consentement explicite ou la nécessité au titre d’obligations légales en matière d’emploi. Si vos questions de présélection ou vos outils psychométriques collectent par inadvertance des données de catégorie spéciale, vous devez documenter cette base supplémentaire.
Minimisation des données et limitation des finalités
Vous ne pouvez collecter que les données du candidat nécessaires à la décision de recrutement. Ce principe remet en question plusieurs pratiques courantes : demander la date de naissance lorsque l’âge n’est pas une exigence réelle, demander une photo avant l’entretien, ou collecter des informations étendues sur les réseaux sociaux sans lien clair avec le poste. Les outils de présélection basés sur les mots-clés peuvent également introduire des biais involontaires lorsqu’ils collectent des données indirectes corrélées avec des caractéristiques protégées.
La limitation des finalités signifie que les données collectées pour un poste ne peuvent pas être librement réutilisées pour un poste différent sans une nouvelle base légale. Si vous souhaitez conserver les candidats non retenus pour de futures opportunités, cela nécessite un consentement explicite, et vous devez honorer le retrait de ce consentement sans délai.
Durées de conservation
Il n’existe pas de durée de conservation unique imposée par le RGPD pour les données des candidats. Cependant, le principe de limitation de la conservation vous oblige à supprimer les données lorsqu’elles ne sont plus nécessaires. En pratique, la plupart des organisations fixent une durée de conservation de six mois à compter de la fin du recrutement. Certaines l’étendent à 12 mois pour couvrir d’éventuelles réclamations pour discrimination.
Quelle que soit la durée choisie, documentez-la dans votre avis de confidentialité et faites-la appliquer. Une durée de conservation déclarée mais non appliquée est pire que l’absence de durée déclarée. Elle démontre aux régulateurs que vous saviez ce que vous deviez faire et avez choisi de ne pas le faire.
Décisions automatisées et article 22 du RGPD
L’article 22 du RGPD confère aux personnes le droit de ne pas faire l’objet d’une décision fondée uniquement sur un traitement automatisé produisant des effets juridiques ou des effets similaires les affectant de manière significative. Dans un contexte de recrutement, une décision de rejet ou de présélection prise entièrement par un algorithme sans implication humaine significative déclenche ce droit.
Ce qui déclenche l’article 22
Le critère essentiel est de savoir si la décision est fondée uniquement sur un traitement automatisé et produit un effet significatif. Le rejet d’une candidature est un effet significatif. Être classé en dessous du seuil d’entretien par un algorithme, et donc jamais examiné par un humain, constitue également un effet significatif, même si l’employeur qualifie le processus d’assisté par l’IA plutôt que de décidé par l’IA.
De manière importante, l’article 22 s’applique même lorsque l’employeur estime qu’un humain est impliqué, si cet examen humain est superficiel ou purement formel. La CNIL a précisé qu’un humain qui accepte simplement les résultats de l’IA sans s’impliquer véritablement avec les informations sous-jacentes ne constitue pas une implication humaine significative.
Garanties requises
Lorsque les prises de décision automatisées sont utilisées légalement, soit avec le consentement du candidat soit comme nécessaire à la conclusion d’un contrat, trois garanties doivent être en place. Premièrement, les candidats doivent être informés que des décisions automatisées sont prises et recevoir des informations significatives sur la logique impliquée. Deuxièmement, les candidats doivent pouvoir demander un examen humain de toute décision automatisée. Troisièmement, les candidats doivent pouvoir contester la décision et exprimer leur point de vue.
En pratique, cela implique de mettre en place un mécanisme destiné aux candidats : une notice claire dans le flux de candidature, un canal de contact pour les demandes d’examen et un processus interne pour traiter ces demandes avec une véritable évaluation humaine.
Comment Zyverno gère cela
Lina, notre assistante IA de screening, est conçue avec la surveillance humaine au cœur de son fonctionnement. Chaque recommandation de l’IA est examinée par un recruteur avant qu’un candidat avance ou soit rejeté. Les candidats sont informés de l’utilisation de l’IA avant le début de leur screening.
Vérifications du droit au travail
La législation sur le droit au travail oblige les employeurs à vérifier que chaque employé dispose de l’autorisation de travailler en France avant le début de l’emploi, conformément à l’article L. 8251-1 du Code du travail. Ne pas réaliser la vérification correctement expose l’employeur à des sanctions pour emploi illégal, qui peuvent atteindre 15 000 euros par salarié en situation irrégulière pour une personne morale.
Vérification en ligne du titre de séjour
En France, les employeurs peuvent vérifier en ligne l’authenticité d’un titre de séjour autorisant le travail via le service de vérification du ministère de l’Intérieur (Application Numérique pour les Étrangers en France, ANEF). Cette procédure s’applique aux ressortissants de pays tiers qui doivent présenter un titre de séjour mentionnant explicitement l’autorisation d’exercer une activité professionnelle salariée.
La vérification en ligne n’est pas obligatoire dans tous les cas, mais elle est fortement recommandée car elle constitue une preuve documentaire en cas de contrôle. Les employeurs qui procèdent à une vérification de bonne foi et conservent un enregistrement bénéficient d’une protection légale si le document vérifié s’avère ultérieurement frauduleux, à condition que la vérification ait été réalisée correctement.
Règles relatives aux données biométriques
Certains outils de vérification d’identité numérique utilisent la comparaison faciale biométrique en comparant un selfie en direct avec la photo figurant sur un document. Les données biométriques sont des données de catégorie spéciale au sens du RGPD et requièrent une base légale explicite. Pour les vérifications du droit au travail, cela repose généralement sur la nécessité au titre du droit du travail en vertu de l’article 9(2)(b) du RGPD.
Si vous collectez des données biométriques dans le cadre de votre processus de recrutement, cela doit être divulgué dans votre avis de confidentialité. Les candidats doivent comprendre quelles données biométriques sont collectées, comment elles sont utilisées et combien de temps elles sont conservées. Les modèles biométriques doivent être supprimés dès que la vérification est terminée.
Ressortissants UE/EEE et ressortissants de pays tiers
Les ressortissants de l’Union européenne, de l’Espace économique européen et de la Suisse bénéficient de la libre circulation et peuvent travailler librement en France. La vérification de leur identité s’effectue par la présentation d’une carte d’identité nationale ou d’un passeport en cours de validité, sans obligation de titre de séjour. Pour les ressortissants hors UE/EEE, un titre de séjour mentionnant explicitement l’autorisation d’exercer une activité salariée est requis avant toute embauche.
Construire un processus de screening IA conforme
Un processus conforme ne signifie pas un processus plus lent. Le RGPD et la loi IA de l’UE définissent des obligations, pas des conceptions de workflow. Avec les bons fondements, vous pouvez gérer un processus de screening rapide et à volume élevé qui répond à toutes les exigences. Voici les six étapes pour le construire.
Documenter vos outils IA
Inventoriez chaque outil IA ou algorithmique utilisé dans votre processus de recrutement. Pour chaque outil, documentez son objectif, le fournisseur, la manière dont il traite les données des candidats, s’il produit des décisions ou des classements et quelle documentation le fournisseur fournit au titre de la loi IA de l’UE.
Définir votre base légale
Pour chaque étape où vous traitez des données de candidats, documentez la base légale. L’intérêt légitime est courant pour la présélection précoce. Le consentement peut être nécessaire pour conserver les données au-delà de la période de recrutement active. Les données de catégorie spéciale nécessitent une base supplémentaire au titre de l’article 9.
Mettre à jour votre avis de confidentialité
Votre avis de confidentialité destiné aux candidats doit divulguer les données que vous collectez, votre base légale, la durée de conservation, si des prises de décision automatisées sont utilisées et quelle logique est impliquée, ainsi que la manière dont les candidats peuvent exercer leurs droits, notamment l’accès, l’effacement, la rectification et l’opposition.
Intégrer la revue humaine
Conçevez votre processus de sorte qu’un humain examine réellement les résultats de l’IA avant qu’une décision aux effets significatifs soit prise. Cela signifie que l’humain doit voir les documents du candidat sous-jacents, que le raisonnement de l’IA lui soit expliqué et qu’il ait la possibilité concrète d’annuler le résultat de l’IA.
Créer un processus de gestion des droits des candidats
Établissez un processus documenté pour traiter les demandes d’examen au titre de l’article 22, les demandes d’accès aux données et les demandes d’effacement. Les délais de réponse RGPD sont stricts : un mois pour les demandes d’accès, prolongeable à trois mois dans les cas complexes. Les candidats en recrutement actif soumettent fréquemment des demandes d’accès, vous devez donc disposer d’un processus prêt.
Mettre en place les calendriers de conservation et de suppression
Configurez votre ATS ou système RH pour signaler ou supprimer automatiquement les données des candidats à votre durée de conservation définie. Les processus de suppression manuels échouent systématiquement. L’automatisation est le seul moyen fiable d’appliquer la conservation à grande échelle.
Aller plus loin
Un processus conforme et un processus de recrutement de qualité ne sont pas en tension. Lisez notre guide sur comment améliorer la qualité des recrutements pour des étapes pratiques qui fonctionnent aux côtés de votre cadre de conformité.
Checklist d’audit de conformité
Inventaire des outils IA documenté
Chaque outil IA/algorithmique du processus de recrutement listé avec le fournisseur, l’objectif et la classification au titre de la loi IA de l’UE.
Base légale documentée par étape
Base légale enregistrée pour chaque activité de traitement : présélection, entretien, vérification des références et conservation des données après la phase de recrutement.
Avis de confidentialité mis à jour
L’avis de confidentialité des candidats divulgue l’utilisation de l’IA, la base légale, les durées de conservation et les droits des candidats, y compris les droits au titre de l’article 22.
Revue humaine en place
Aucun candidat rejeté ou présélectionné sur la seule base d’un résultat automatisé. Le réviseur humain a accès au raisonnement de l’IA et peut l’annuler.
Processus de droits des candidats opérationnel
Processus documenté pour les demandes d’accès, les demandes d’examen au titre de l’article 22 et les demandes d’effacement avec un responsable désigné et des délais conformes au RGPD.
Calendrier de conservation appliqué automatiquement
Suppression ou signalement automatisé du système à la durée de conservation définie. Pas de dépendance à des processus manuels qui ne passent pas à l’échelle.
Sanctions et mise en application
Le RGPD et la loi IA de l’UE prévoient tous deux des sanctions financières substantielles. Comprendre la structure des sanctions calibre le dossier commercial : le coût d’un programme de conformité est une fraction du coût d’une mesure de mise en application significative.
Sanctions RGPD
La mise en application du RGPD fonctionne selon un système à deux niveaux. Les violations moins graves, comme les registres insuffisants et les avis de confidentialité manquants, peuvent entraîner des amendes jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, selon le montant le plus élevé. Les violations plus graves, notamment le traitement sans base légale, la violation des droits des personnes concernées et la sécurité insuffisante, peuvent entraîner des amendes jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial.
Sanctions au titre de la loi IA de l’UE
La loi IA de l’UE applique des sanctions distinctes. L’utilisation d’applications IA interdites peut entraîner des amendes jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial. Les violations relatives aux systèmes d’IA à haut risque, notamment le non-respect des exigences de transparence, de surveillance humaine ou de documentation, peuvent entraîner des amendes jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel.
Pour une entreprise réalisant 50 millions d’euros de chiffre d’affaires annuel, une amende RGPD de 4 % représente 2 millions d’euros. Une amende de 3 % au titre de la loi IA de l’UE représente 1,5 million d’euros. Ce ne sont pas des plafonds théoriques. C’est la structure de sanction réelle que les régulateurs appliquent lorsqu’ils constatent une non-conformité significative.
Erreurs de conformité courantes
Confondre la conformité du fournisseur IA avec la sienne propre
Le fait qu’un fournisseur soit conforme au RGPD dans son propre traitement des données ne rend pas votre utilisation de son outil conforme. Vous êtes le responsable du traitement. Vous êtes responsable d’établir votre base légale, de fournir l’avis de confidentialité et de garantir que les données ne sont pas conservées plus longtemps que nécessaire.
S’appuyer sur le consentement comme base légale pour le screening
Le consentement doit être librement donné. Les candidats qui ont besoin d’un emploi et souhaitent être pris en considération ne sont pas en mesure de refuser librement leur consentement. Les lignes directrices de la CNIL sur les données d’emploi indiquent clairement que le consentement est rarement approprié comme base légale pour le traitement dans le cadre du recrutement.
Une revue humaine nominale qui ne satisfait pas à l’article 22
Mettre en place une étape de vérification où un humain clique sur approuver chaque recommandation de l’IA sans s’impliquer avec les données sous-jacentes ne satisfait pas à l’exigence de surveillance humaine. Si la revue humaine n’est pas authentique, vous prenez toujours des décisions basées uniquement sur un traitement automatisé.
Ne pas mettre à jour l’avis de confidentialité lors d’un changement d’outil IA
L’introduction d’un nouvel outil de screening IA, ou le changement de celui que vous utilisez, déclenche une obligation de mettre à jour votre avis de confidentialité destiné aux candidats. Les candidats ont le droit de savoir, au moment de leur candidature, quel traitement automatisé sera appliqué à leurs données.
Aucun processus en cas d’échec de vérification du droit au travail
Les employeurs réalisent parfois des vérifications du droit au travail mais ne disposent d’aucun processus documenté pour savoir quoi faire lorsqu’une vérification échoue ou retourne un résultat ambigu. Sans processus documenté, les responsables individuels prennent des décisions incohérentes, dont certaines peuvent constituer une discrimination illicite.
Questions fréquemment posées
Prochain guide
ATS avec screening IA : guide d'achat
Comment évaluer les plateformes ATS avec screening IA natif versus des outils tiers, et ce qu'il faut rechercher quand la conformité est une exigence.
Retour aux guides