Est-ce que je peux mettre un CV dans ChatGPT ?
Non dans la version grand public. Oui sous quatre conditions précises, avec une offre professionnelle.
À jour au 14 septembre 2026 — Conformité & RGPD
Un CV est une donnée personnelle : le transmettre à un outil d’IA est un traitement de données, qui suppose un contrat, une information du candidat et une décision humaine réelle. Et depuis 2026, c’est précisément ce que la CNIL contrôle.
Pourquoi un CV n’est pas un document ordinaire
Nom, coordonnées, parcours, employeurs successifs, diplômes, parfois photographie, date de naissance ou nationalité. Chacune de ces informations identifie une personne, et leur réunion l’identifie sans ambiguïté.
Le RGPD ne distingue pas un fichier de dix mille candidats d’un CV unique. Dès lors qu’il y a une donnée personnelle et un traitement, le cadre s’applique entièrement.
Et coller un CV dans un outil d’IA est un traitement : l’outil reçoit le document, le conserve au moins temporairement, et selon l’offre souscrite, peut l’utiliser pour améliorer son service.
Les quatre exigences du RGPD, applicables aujourd’hui
1. Un contrat de sous-traitance
L’éditeur de l’outil devient votre sous-traitant au sens de l’article 28 du RGPD. Cela suppose un accord de traitement des données qui encadre ce qu’il peut faire de vos données. Les offres professionnelles en proposent un ; les versions grand public et gratuites, généralement pas.
2. L’information du candidat
Les articles 13 et 14 imposent d’informer la personne concernée de l’existence du traitement et des catégories de destinataires de ses données. Concrètement : si la politique de confidentialité de votre processus de recrutement ne mentionne ni le recours à un traitement automatisé, ni l’éditeur de l’outil, vous êtes en défaut — même si tout le reste est en ordre.
3. Un encadrement du transfert hors Union européenne
La plupart des éditeurs d’IA générative hébergent leurs traitements aux États-Unis. Le chapitre V du RGPD exige alors un mécanisme de transfert valide. C’est une clause à vérifier dans le contrat, pas une formalité à présumer.
4. Une durée de conservation maîtrisée
La doctrine constante de la CNIL fixe le repère à deux ans après le dernier contact pour les données d’un candidat non retenu. Cette limite s’applique aussi aux copies qui subsistent dans l’historique de conversation d’un outil d’IA — un point presque toujours oublié.
L’erreur la plus fréquente. « J’ai supprimé la conversation après coup. » La suppression ne défait pas la transmission déjà opérée, et ne vous rend pas conforme rétroactivement. Le manquement est constitué au moment où la donnée quitte votre système.
« Et si j’anonymise le CV ? »
Retirer le nom ne suffit pas, et c’est le malentendu le plus répandu sur ce sujet.
Un parcours professionnel est en lui-même un identifiant. « Directrice commerciale dans une PME de matériel médical en Loire-Atlantique de 2019 à 2023, puis responsable grands comptes » ne désigne qu’une seule personne, et le recoupement prend trente secondes sur un réseau professionnel.
Anonymiser réellement un CV supposerait de retirer les employeurs, les dates, les intitulés de poste, les diplômes et les localisations — c’est-à-dire exactement ce que vous vouliez faire analyser. L’anonymisation et l’utilité sont ici contradictoires.
Ce que l’AI Act ajoute, et à partir de quand
C’est le point sur lequel la plupart des articles disponibles se trompent, et il vaut la peine d’être exact.
Depuis le 2 février 2025 — article 4, littératie IA. Les autorités nationales en surveillent le respect depuis août 2026. Le Digital Omnibus, règlement (UE) 2026/1744 en vigueur depuis le 27 juillet 2026, a transformé cette obligation en obligation de moyens : promouvoir le développement de la littératie IA, et non plus garantir un niveau suffisant.
Déjà applicable — article 5, pratiques interdites. L’analyse des émotions sur le lieu de travail est interdite, sauf motif médical ou de sécurité. Cela inclut les outils qui prétendent évaluer l’état émotionnel d’un candidat en entretien.
À partir du 2 décembre 2027 — article 26, déployeurs de systèmes à haut risque. Le tri de candidatures relève de l’annexe III, donc du haut risque, mais le régime complet a été reporté à cette date par le même règlement.
L’urgence aujourd’hui est le RGPD, pas l’AI Act. Les obligations lourdes du haut risque ne sont pas encore exigibles, et quiconque vous dit le contraire se trompe ou vous vend la peur.
Mais le calendrier est connu et les exigences sont substantielles : supervision humaine par des personnes compétentes et formées, information préalable des candidats et des salariés concernés, conservation des journaux pendant au moins six mois, signalement des incidents graves. Un dispositif mis en place maintenant sera en place à temps.
Le risque réel en 2026 : le contrôle CNIL
Le recrutement figure parmi les trois thématiques prioritaires de contrôle de la CNIL pour 2026, avec un intérêt explicite pour l’usage de l’intelligence artificielle dans le tri et la sélection des candidatures.
Trois points sont vérifiés :
La loyauté des algorithmes — le traitement ne doit pas produire de discrimination, directe ou indirecte.
L’information des candidats — ils doivent être informés de l’existence d’un traitement automatisé et des critères essentiels de l’évaluation, et disposent d’un droit d’accès ainsi que d’un droit d’opposition au profilage.
La maîtrise des durées de conservation — le repère des deux ans mentionné plus haut.
Les contrôles visent prioritairement les grandes entreprises et les cabinets de recrutement, en raison du volume de candidatures traitées. Une PME n’est pas une cible privilégiée — mais une plainte d’un candidat suffit à déclencher un contrôle, quelle que soit la taille.
Les quatre conditions pour le faire correctement
Une offre professionnelle, avec accord signé. Offre entreprise de l’éditeur, accord de traitement des données conclu, et vérification écrite de la non-réutilisation de vos données pour l’entraînement.
Une politique de confidentialité de recrutement à jour. Mentionnant explicitement le traitement automatisé, l’éditeur comme destinataire, et la durée de conservation.
Une décision humaine réelle. L’outil prépare et synthétise ; il ne sélectionne pas. Une présélection automatique sans réexamen humain effectif est le point exact où le risque devient sérieux.
Une trace écrite. Qui a relu, quand, et quelle décision a été retenue. C’est ce registre qui démontre que le système a assisté une décision sans la prendre.
Si ces quatre conditions ne sont pas réunies, la réponse à la question posée en titre est non.
Le kit de conformité — 199 €
Vous renseignez votre raison sociale et la liste de vos outils. Le kit classe chaque usage par niveau de risque et génère, à votre nom : votre politique d’usage de l’IA en neuf articles, votre registre des systèmes d’IA avec les obligations applicables à chacun, votre journal des usages sensibles qui prouve la supervision humaine, et une note d’information au personnel prête à diffuser.
Pas encore prêt ? Commencez par la check-list AI Act gratuite : 10 points à vérifier en 15 minutes.
Vous l’avez déjà fait ?
C’est le cas de la grande majorité des entreprises, et la bonne réaction n’est ni la panique ni la dissimulation. Trois gestes, dans cet ordre :
Cessez l’usage dans l’outil non couvert et informez les personnes qui l’utilisaient, sans en faire une affaire disciplinaire.
Mettez à jour votre politique de confidentialité de recrutement. C’est le manquement le plus visible lors d’un contrôle, et le plus simple à corriger.
Écrivez une règle interne et faites-la connaître. Une règle de cinq lignes appliquée vaut mieux qu’une charte de dix pages que personne n’a lue.
En l’absence de standard officiel, c’est la cohérence et l’antériorité du dispositif qui démontrent la bonne foi. Un encadrement imparfait mais écrit, daté et appliqué pèse beaucoup plus lourd qu’une absence totale de cadre — et infiniment plus qu’un cadre rédigé dans l’urgence après un contrôle.
Sources
Règlement (UE) 2024/1689 sur l’intelligence artificielle, modifié par le règlement (UE) 2026/1744 (Digital Omnibus), publié au Journal officiel le 24 juillet 2026
Règlement (UE) 2016/679 (RGPD), articles 13, 14, 28 et chapitre V
Commission européenne — Article 26 : obligations des déployeurs de systèmes d’IA à haut risque
Gibson Dunn — Report des obligations du haut risque (Omnibus)
Contrôles CNIL 2026 : IA, information des candidats, conservation des données
Cet article présente l’état du droit à la date indiquée. Il ne constitue pas un conseil juridique et ne se substitue pas à l’analyse d’un conseil pour une situation particulière.
Recevez les prochains articles par email. Un article par semaine sur l'IA, le RGPD et l'AI Act en entreprise, gratuit : s'abonner à IA en Règle.
Commentaires
Enregistrer un commentaire