Informer les candidats de l'usage de l'IA

Un candidat doit savoir quand un outil d'IA traite sa candidature, quelles données l'outil utilise, et qui prend la décision. L'information se donne au moment où les données sont collectées, c'est-à-dire avant ou pendant le dépôt de la candidature, et non après le rejet. Cette page dit ce que demandent les textes lus, puis propose un exemple de mention, clairement signalé comme à faire valider.

Pourquoi l'information se traite avant le tri

Le RGPD distingue deux situations. Quand les données sont collectées auprès du candidat, par exemple dans un formulaire ou un CV envoyé directement, c'est l'article 13 qui s'applique. Quand elles viennent d'ailleurs, par exemple d'un site d'emploi, d'un cabinet de recrutement ou d'une base de CV, c'est l'article 14. Dans les deux cas, le texte demande une information, et ces informations ont un contenu commun.

Ce que demande l'article 13

Au moment de la collecte, le responsable doit indiquer, d'après le texte lu sur gdpr-info.eu :

son identité et ses coordonnées, et celles du délégué à la protection des données s'il en a un ;
les finalités du traitement et sa base juridique ;
les destinataires ou catégories de destinataires, s'il y en a ;
les transferts éventuels hors de l'Union européenne ;
la durée de conservation, ou les critères qui la déterminent ;
les droits de la personne : accès, rectification, effacement, limitation, opposition, portabilité ;
le droit de retirer son consentement, si le traitement repose sur lui ;
le droit de réclamer auprès d'une autorité de contrôle ;
l'existence d'une décision automatisée, y compris le profilage, avec des informations utiles sur la logique suivie et sur les conséquences prévues.

Le dernier point est celui qui concerne directement l'IA. Il ne suffit pas de dire qu'un outil est « utilisé » : il faut dire si l'outil prend une décision seul ou si une personne décide.

Ce que demande l'article 14

Pour les données reçues d'une autre source, l'article 14 demande au responsable d'informer la personne. Son paragraphe 2, point g), vise l'existence d'une décision automatisée, y compris le profilage, et des informations utiles sur la logique, l'importance et les conséquences prévues. La lecture faite pour cette page porte sur la version anglaise du texte.

Ce que demande le règlement sur l'IA

L'article 50, paragraphe 1, de l'AI Act, lu sur artificialintelligenceact.eu, vise les systèmes d'IA destinés à interagir directement avec des personnes. Il demande de les concevoir pour que les personnes concernées soient informées qu'elles interagissent avec une IA, sauf si c'est évident pour une personne raisonnablement bien informée.

Un outil de tri de CV n'interagit pas forcément avec le candidat. Un chatbot qui répond aux candidats, si. Voir la page chatbot de recrutement. Dans le doute, le plus simple est de le dire.

L'article 26, lu sur la même source, concerne les déployeurs de systèmes à haut risque. Il demande d'informer les représentants des travailleurs et les salariés concernés avant la mise en service sur le lieu de travail. Cela vise les salariés, pas les candidats, mais il faut traiter les deux.

Le droit de demander une intervention humaine

L'article 22 du RGPD, lu sur gdpr-info.eu, donne à la personne le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, quand cette décision produit un effet significatif. Dans les exceptions, le responsable doit prévoir au minimum une intervention humaine, la possibilité d'exprimer son point de vue et de contester. Le candidat doit donc savoir qu'il peut demander un réexamen.

Exemple de mention, à faire valider

Le texte ci-dessous est un exemple écrit pour cette page. Il n'a pas été validé par un juriste. Il doit être adapté au fonctionnement réel de l'outil, puis validé par le délégué à la protection des données avant tout usage.

Votre candidature peut être examinée avec l'aide d'un outil d'intelligence artificielle, [nom de l'outil ou de l'éditeur], qui classe les dossiers selon les critères du poste : [liste des critères]. Une personne de notre équipe prend toute décision de sélection, et aucun candidat n'est écarté uniquement par cet outil. Vous pouvez demander une explication de ce classement, présenter vos observations, ou demander qu'un membre de l'équipe réexamine votre dossier, en écrivant à [adresse de contact]. Données traitées : [liste]. Durée de conservation : [durée]. Responsable du traitement : [nom de l'entreprise]. Vous pouvez aussi saisir la CNIL.

Où placer cette information

Dans l'offre d'emploi, sous la mention de candidature, si l'outil intervient dès la réception.
Dans le formulaire de candidature, avec une case qui renvoie au texte complet. La case ne doit pas être cochée d'avance.
Dans l'accusé de réception, en complément, pour garder une trace datée.

Le texte doit être mis à jour dès que l'outil change de fonction ou de fournisseur. Une mention ancienne qui ne correspond plus à l'outil est pire qu'une absence de mention.

Ce qu'il faut vérifier

Que chaque candidat voit la mention avant d'envoyer son dossier.
Que la mention parle de l'outil réel, avec les mêmes critères que ceux qui sont utilisés.
Que la personne qui décide est nommée ou désignée par sa fonction.
Que le délai de conservation annoncé est celui qui est appliqué.

Ce que cette page ne dit pas

Elle ne donne pas d'avis juridique. L'exemple de mention n'est pas validé. Les textes sont lus en anglais sur gdpr-info.eu et sur artificialintelligenceact.eu ; les formulations officielles françaises sont à vérifier sur EUR-Lex. Le réseau a une page sur le tri de CV et le RGPD et une page sur la durée de conservation des CV.