Guide
Tri de CV par IA et RGPD : ce qu'il faut respecter
Trier des CV avec une IA sans décision automatisée : article 22 du RGPD, information des candidats, contrôle humain. Repères, pas un avis juridique.
Mis à jour le
Un outil qui trie des CV peut relever de l'article 22 du RGPD, le règlement européen sur les données personnelles. Cela se produit quand une décision est prise uniquement par la machine et qu'elle produit un effet significatif sur le candidat, par exemple un rejet sans qu'un humain ait regardé le dossier. La règle la plus simple : l'outil classe ou met en avant, une personne décide, et le candidat sait qu'un outil a été utilisé.
Ce que dit l'article 22
Le paragraphe 1 de l'article 22 donne à la personne le droit de ne pas faire l'objet d'une décision « fondée exclusivement sur un traitement automatisé » qui produit des effets juridiques la concernant, ou qui l'affecte de manière similaire et significative. Le texte est lu sur la version anglaise de gdpr-info.eu, et la formule la plus proche est : « a decision based solely on automated processing ».
Le paragraphe 2 prévoit des exceptions : la décision est nécessaire à un contrat, elle est autorisée par le droit de l'Union ou d'un État membre, ou elle repose sur le consentement explicite de la personne.
Le paragraphe 3 pose des garanties. Quand une exception s'applique, le responsable doit au minimum permettre à la personne d'obtenir une intervention humaine, d'exprimer son point de vue et de contester la décision.
Pourquoi le consentement du candidat ne suffit pas à tout
Certains recruteurs pensent qu'il suffit de faire signer un consentement. L'article 7 du RGPD, lu sur gdpr-info.eu, pose trois exigences. Le responsable doit pouvoir démontrer le consentement. Retirer son consentement doit être « aussi facile » que le donner. Et, pour apprécier si le consentement est libre, il faut tenir compte du fait que l'exécution d'un contrat, y compris la fourniture d'un service, ne soit pas subordonnée au consentement à un traitement qui n'est pas nécessaire à ce contrat.
Pour un candidat, le consentement est difficile à considérer comme libre : refuser le tri pourrait peser sur sa candidature. Ce point doit être étudié avec le délégué à la protection des données.
L'information à donner
L'article 13 s'applique quand les données sont collectées auprès de la personne, par exemple dans le formulaire ou le CV envoyé. Parmi les informations à donner au moment de la collecte, le texte cite l'identité du responsable, les finalités et la base juridique, les destinataires éventuels, la durée de conservation ou ses critères, et les droits de la personne. Le paragraphe 2, point f), prévoit aussi l'information sur l'existence d'une décision automatisée, y compris le profilage.
L'article 14 s'applique quand les données viennent d'une autre source, par exemple un site d'emploi ou un cabinet de recrutement. Son paragraphe 2, point g), prévoit l'information sur l'existence d'une décision automatisée, et des informations utiles sur la logique utilisée, son importance et ses conséquences prévues. Le texte est lu en anglais sur gdpr-info.eu ; la formulation française officielle reste à vérifier sur EUR-Lex.
La page dédiée explique comment rédiger cette information : voir informer les candidats de l'usage de l'IA.
Un tableau pour organiser le tri
| Étape | Qui fait quoi | Trace à garder |
|---|---|---|
| Réception du dossier | Le formulaire donne l'information et les droits | Version du texte d'information |
| Classement par l'outil | L'outil propose un ordre ou des critères, sans écarter personne seul | Critères utilisés, date du tri |
| Lecture humaine | Une personne lit les dossiers écartés et ceux retenus | Nom de la personne, décision |
| Contestation | Le candidat peut demander un réexamen | Demande et réponse |
Dans les cas où l'article 22 s'applique, l'intervention humaine est la garantie minimale prévue par son paragraphe 3. Une personne qui valide sans relire ne suffit pas : elle doit avoir les moyens et le temps de changer la décision.
Le lien avec le règlement sur l'IA
L'annexe III du règlement européen sur l'IA, lue sur artificialintelligenceact.eu, range parmi les systèmes à haut risque ceux qui sont destinés à analyser et filtrer les candidatures. Un outil de tri entre donc dans ce champ. Les obligations de l'AI Act s'ajoutent au RGPD et ne le remplacent pas. Voir la page IA et recrutement : le haut risque dans l'AI Act.
Les points à vérifier avec le délégué à la protection des données
- Quelles données le fournisseur reçoit, où elles sont hébergées, et si elles servent à entraîner son modèle.
- Combien de temps les CV restent dans l'outil, et s'il est possible de les supprimer à la demande.
- Si le traitement demande une analyse d'impact : cette question se pose au délégué, qui connaît le dossier.
- Comment un candidat peut demander une explication du tri, et qui répond.
Le réseau a un site consacré au RGPD, rgpd.cercle-ia.tech, avec une page sur l'article 22 appliqué à l'IA.
Ce que cette page ne dit pas
Cette page ne donne pas d'avis juridique. Elle résume des textes lus pendant la session du 15/11/2026, et les citations sont en anglais. Une situation précise, comme un outil déjà installé ou un refus contesté, relève d'un juriste ou du délégué à la protection des données de l'entreprise. La CNIL a une page dédiée au recrutement ; elle n'a pas pu être lue pendant cette session.
Sources
Pages consultées pour écrire cet article :