Est-ce que je peux mettre un CV dans ChatGPT ?
Non dans la version grand public. Oui sous quatre conditions précises, avec une offre professionnelle.
À jour au 14 septembre 2026 — Conformité & RGPD
Un CV est une donnée personnelle : le transmettre à un outil d’IA est un traitement de données, qui suppose un contrat, une information du candidat et une décision humaine réelle. Et depuis 2026, c’est précisément ce que la CNIL contrôle.
Check-list gratuite. Faites le point en 15 minutes sur les 10 points AI Act et RGPD à vérifier dans votre PME. Ouvrir la check-list →
Pourquoi un CV n’est pas un document ordinaire
Nom, coordonnées, parcours, employeurs successifs, diplômes, parfois photographie, date de naissance ou nationalité. Chacune de ces informations identifie une personne, et leur réunion l’identifie sans ambiguïté.
Le RGPD ne distingue pas un fichier de dix mille candidats d’un CV unique. Dès lors qu’il y a une donnée personnelle et un traitement, le cadre s’applique entièrement.
Et coller un CV dans un outil d’IA est un traitement : l’outil reçoit le document, le conserve au moins temporairement, et selon l’offre souscrite, peut l’utiliser pour améliorer son service.
Le document est gratuit. Vous n’avez pas à le rédiger. Le modèle de politique d’usage de l’IA reprend les neuf clauses d’une politique d’usage, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.
Essayer le modèle — remplir et voir le document →
ou recevoir le modèle complet, gratuitement
Gratuit. Une adresse email suffit pour le recevoir.
Les quatre exigences du RGPD, applicables aujourd’hui
1. Un contrat de sous-traitance
L’éditeur de l’outil devient votre sous-traitant au sens de l’article 28 du RGPD. Cela suppose un accord de traitement des données qui encadre ce qu’il peut faire de vos données. Les offres professionnelles en proposent un ; les versions grand public et gratuites, généralement pas.
2. L’information du candidat
Les articles 13 et 14 imposent d’informer la personne concernée de l’existence du traitement et des catégories de destinataires de ses données. Concrètement : si la politique de confidentialité de votre processus de recrutement ne mentionne ni le recours à un traitement automatisé, ni l’éditeur de l’outil, vous êtes en défaut — même si tout le reste est en ordre.
3. Un encadrement du transfert hors Union européenne
La plupart des éditeurs d’IA générative hébergent leurs traitements aux États-Unis. Le chapitre V du RGPD exige alors un mécanisme de transfert valide. C’est une clause à vérifier dans le contrat, pas une formalité à présumer.
4. Une durée de conservation maîtrisée
Selon le référentiel de la CNIL sur les durées de conservation en gestion des ressources humaines (2 avril 2026), le dossier d’un candidat non retenu est conservé le temps de la procédure, puis archivé 5 ans à compter de la date où le poste a été pourvu, à des fins de preuve en cas d’action en discrimination ; il ne peut rester dans un vivier de candidats que jusqu’à 2 ans après le dernier contact, pour un profil qui intéresse l’employeur et sauf opposition du candidat. Ces règles s’appliquent aussi aux copies qui subsistent dans l’historique de conversation d’un outil d’IA — un point presque toujours oublié.
L’erreur la plus fréquente. « J’ai supprimé la conversation après coup. » La suppression ne défait pas la transmission déjà opérée, et ne vous rend pas conforme rétroactivement. Le manquement est constitué au moment où la donnée quitte votre système.
« Et si j’anonymise le CV ? »
Retirer le nom ne suffit pas, et c’est le malentendu le plus répandu sur ce sujet.
Un parcours professionnel est en lui-même un identifiant. « Directrice commerciale dans une PME de matériel médical en Loire-Atlantique de 2019 à 2023, puis responsable grands comptes » ne désigne qu’une seule personne, et le recoupement prend trente secondes sur un réseau professionnel.
Anonymiser réellement un CV supposerait de retirer les employeurs, les dates, les intitulés de poste, les diplômes et les localisations — c’est-à-dire exactement ce que vous vouliez faire analyser. L’anonymisation et l’utilité sont ici contradictoires.
Ce que l’AI Act ajoute, et à partir de quand
C’est le point sur lequel la plupart des articles disponibles se trompent, et il vaut la peine d’être exact.
Depuis le 2 février 2025 — article 4, littératie IA. L’action des autorités nationales de surveillance est prévue depuis le 2 août 2026, mais en France leur désignation n’est pas encore définitive. Le Digital Omnibus, règlement (UE) 2026/1744 en vigueur depuis le 27 juillet 2026, a réécrit cette obligation : il s’agit désormais de prendre des mesures pour favoriser le développement de la maîtrise de l’IA, et non plus de garantir un niveau suffisant.
Déjà applicable — article 5, pratiques interdites. Les systèmes d’IA qui déduisent les émotions d’une personne sur le lieu de travail à partir de données biométriques (visage, voix) sont interdits, sauf raisons médicales ou de sécurité (article 5, paragraphe 1, point f). Cela vise les outils qui prétendent évaluer l’état émotionnel d’un candidat en entretien à partir de son visage ou de sa voix.
À partir du 2 décembre 2027 — article 26, déployeurs de systèmes à haut risque. Les systèmes d’IA destinés au tri des candidatures figurent à l’annexe III, point 4, et sont en principe à haut risque, sauf exceptions de l’article 6, paragraphe 3 ; leur régime complet a été reporté à cette date par le même règlement.
L’urgence aujourd’hui est le RGPD, pas l’AI Act. Les obligations lourdes du haut risque ne sont pas encore exigibles, et quiconque vous dit le contraire se trompe ou vous vend la peur.
Mais le calendrier est connu et les exigences sont substantielles : supervision humaine par des personnes compétentes et formées, information préalable des candidats et des salariés concernés, conservation des journaux pendant au moins six mois, signalement des incidents graves. Un dispositif mis en place maintenant sera en place à temps.
Le risque réel en 2026 : le contrôle CNIL
Le recrutement figure parmi les thématiques prioritaires de contrôle de la CNIL pour 2026 (annonce du 3 avril 2026). La CNIL présente ces contrôles comme une préfiguration de son futur rôle d’autorité de surveillance de l’IA dans le champ du travail.
Ils se concentreront notamment sur trois thèmes :
Les systèmes de prise de décision automatisée — par exemple un tri qui écarte des candidatures sans examen humain réel (article 22 du RGPD) ; un tel tri ne doit pas non plus produire de discrimination, directe ou indirecte.
L’information des candidats — ils doivent être informés de l’existence d’un traitement automatisé et des critères essentiels de l’évaluation, et disposent d’un droit d’accès ainsi que d’un droit d’opposition au profilage.
Les durées de conservation — celles rappelées plus haut.
Les contrôles visent prioritairement les grandes entreprises et les cabinets de recrutement, en raison du volume de candidatures traitées. Une PME n’est pas une cible privilégiée — mais une plainte d’un candidat suffit à déclencher un contrôle, quelle que soit la taille.
Les quatre conditions pour le faire correctement
Une offre professionnelle, avec accord signé. Offre entreprise de l’éditeur, accord de traitement des données conclu, et vérification écrite de la non-réutilisation de vos données pour l’entraînement.
Une politique de confidentialité de recrutement à jour. Mentionnant explicitement le traitement automatisé, l’éditeur comme destinataire, et la durée de conservation.
Une décision humaine réelle. L’outil prépare et synthétise ; il ne sélectionne pas. Une présélection automatique sans réexamen humain effectif est le point exact où le risque devient sérieux.
Une trace écrite. Qui a relu, quand, et quelle décision a été retenue. C’est ce registre qui démontre que le système a assisté une décision sans la prendre.
Si ces quatre conditions ne sont pas réunies, la réponse à la question posée en titre est non.
Le modèle de politique d’usage — gratuit
Les neuf clauses d’une politique d’usage de l’IA, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.
Gratuit. Une adresse email suffit pour le recevoir.
Le kit de conformité — 199 €
Vous renseignez votre raison sociale et la liste de vos outils. Vous choisissez vous-même la catégorie de risque de chaque usage, à l’aide d’un rappel des règles, et le kit met en forme, à partir de modèles : votre politique d’usage de l’IA en neuf articles, votre registre des systèmes d’IA qui reprend vos outils et la catégorie que vous avez choisie pour chacun, votre journal des usages sensibles pour noter vos relectures et vos décisions, et une note d’information au personnel à relire avant diffusion.
Pas encore prêt ? Faites l’auto-diagnostic en 3 minutes ou commencez par la check-list AI Act gratuite : 10 points à vérifier en 15 minutes.
La newsletter. Un numéro tous les quinze jours : une question de conformité IA traitée avec les textes applicables et leurs dates, chaque affirmation sourcée. Gratuite, sans publicité. Lire le premier numéro — « Le premier risque de l’IA en entreprise n’est pas européen ».
Vous l’avez déjà fait ?
C’est le cas de la grande majorité des entreprises, et la bonne réaction n’est ni la panique ni la dissimulation. Trois gestes, dans cet ordre :
Cessez l’usage dans l’outil non couvert et informez les personnes qui l’utilisaient, sans en faire une affaire disciplinaire.
Mettez à jour votre politique de confidentialité de recrutement. C’est le manquement le plus visible lors d’un contrôle, et le plus simple à corriger.
Écrivez une règle interne et faites-la connaître. Une règle de cinq lignes appliquée vaut mieux qu’une charte de dix pages que personne n’a lue.
En l’absence de standard officiel, c’est la cohérence et l’antériorité du dispositif qui démontrent la bonne foi. Un encadrement imparfait mais écrit, daté et appliqué pèse beaucoup plus lourd qu’une absence totale de cadre — et infiniment plus qu’un cadre rédigé dans l’urgence après un contrôle.
À lire ensuite
Sources
Règlement (UE) 2024/1689 sur l’intelligence artificielle, modifié par le règlement (UE) 2026/1744 (Digital Omnibus), publié au Journal officiel le 24 juillet 2026
Règlement (UE) 2016/679 (RGPD), articles 13, 14, 28 et chapitre V
Commission européenne — Article 26 : obligations des déployeurs de systèmes d’IA à haut risque
Gibson Dunn — Report des obligations du haut risque (Omnibus)
Contrôles CNIL 2026 : IA, information des candidats, conservation des données
Rédigé par Adrien Bano, fondateur d’IA en Règle. Nous ne sommes pas avocats : cet article a été préparé avec l’aide d’outils d’IA et vérifié sur les textes officiels cités.
Cet article présente l’état du droit à la date indiquée. Il ne constitue pas un conseil juridique et ne se substitue pas à l’analyse d’un conseil pour une situation particulière.
