Trier des candidatures avec l'IA : est-ce autorisé ?
Oui, mais c'est l'usage de l'IA le plus encadré en entreprise — et celui que la CNIL contrôle en priorité cette année.
À jour au 14 septembre 2026 — Conformité & RGPD
Trois conditions rendent le tri de candidatures par IA licite, et la première est une distinction que presque personne ne fait correctement.
La distinction qui commande tout le reste
Il y a deux choses très différentes derrière l’expression « trier des CV avec l’IA ».
Aider un recruteur à lire. L’outil résume un CV, en extrait les compétences, reformule un parcours confus. Un humain lit ensuite chaque candidature et décide. L’IA a fait gagner du temps de lecture, rien de plus.
Présélectionner automatiquement. L’outil attribue un score, classe les candidatures, et celles qui passent sous un seuil ne sont jamais lues par personne. Ici l’IA n’assiste plus : elle décide, par omission.
Le premier usage est encadré. Le second est celui qui vous expose vraiment, et il est bien plus répandu qu’on ne l’admet — il suffit qu’un recruteur ne descende jamais au-delà des vingt premiers profils classés par l’outil.
L’article 22 du RGPD, qui s’applique aujourd’hui
C’est la disposition la plus souvent oubliée, et c’est celle qui s’applique dès maintenant — sans attendre l’AI Act.
L’article 22 du RGPD donne à toute personne le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou l’affectant de manière significative. Un rejet de candidature entre dans cette catégorie.
En pratique, cela impose trois choses :
une intervention humaine réelle dans la décision, pas une validation de façade ;
le droit pour le candidat d’obtenir une explication et de contester la décision ;
une information préalable sur l’existence du traitement automatisé et sa logique.
Une intervention humaine de façade — un recruteur qui valide en bloc un classement sans réexaminer les dossiers écartés — ne satisfait pas cette exigence. C’est le point précis sur lequel un contentieux se perd.
Le risque de discrimination, qui est aussi un risque pénal
Un modèle reproduit les régularités de ses données d’entraînement, stéréotypes compris. S’il a appris sur dix ans de recrutements passés, il a appris vos biais passés.
Or l’article L.1132-1 du code du travail interdit toute discrimination à l’embauche fondée notamment sur l’origine, le sexe, l’âge, l’état de santé, la situation de famille ou l’apparence physique, et les articles 225-1 et 225-2 du code pénal en font un délit. L’interdiction porte sur le résultat, pas sur l’intention : « c’est l’algorithme qui a classé » n’est pas un moyen de défense.
Et la discrimination indirecte compte. Un critère apparemment neutre — la continuité du parcours, la proximité géographique, la durée des études — peut désavantager systématiquement une catégorie de personnes. C’est exactement ce que la CNIL appelle la loyauté de l’algorithme.
Ce qu’il faut faire en pratique. Demandez à votre éditeur quels critères pondèrent le score, et conservez sa réponse écrite. S’il refuse de répondre ou invoque le secret industriel, vous ne pouvez pas démontrer la loyauté du traitement — et c’est vous, le déployeur, qui serez interrogé.
Ce que l’AI Act ajoute, et quand
Le tri de candidatures relève de l’annexe III du règlement (UE) 2024/1689 : c’est un usage à haut risque. Mais le calendrier est souvent mal rapporté.
Depuis le 2 février 2025 — article 4, littératie IA. Contrôlé par les autorités nationales depuis août 2026. Obligation de moyens depuis le règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026.
Déjà applicable — article 5. L’analyse des émotions d’un candidat en entretien est interdite, sauf motif médical ou de sécurité.
À partir du 2 décembre 2027 — article 26. Régime complet des déployeurs de systèmes à haut risque, reporté à cette date par le même règlement.
À partir du 2 décembre 2027, l’article 26 exigera : une supervision humaine assurée par des personnes compétentes et formées, l’information préalable des candidats et des salariés concernés, la conservation des journaux pendant au moins six mois, et le signalement des incidents graves.
Conclusion pratique : l’AI Act n’est pas votre échéance immédiate. Le RGPD l’est.
Pourquoi 2026 est l’année du risque
Le recrutement figure parmi les trois thématiques prioritaires de contrôle de la CNIL pour 2026, avec un intérêt explicite pour l’usage de l’IA dans la sélection des candidatures.
Trois points vérifiés : la loyauté des algorithmes, l’information des candidats — existence du traitement automatisé et critères essentiels de l’évaluation —, et la maîtrise des durées de conservation, fixée par la doctrine constante de la CNIL à deux ans après le dernier contact.
Les cibles prioritaires sont les grandes entreprises et les cabinets de recrutement, en raison du volume de candidatures traitées. Mais la plainte d’un candidat écarté suffit à déclencher un contrôle, quelle que soit votre taille — et un candidat à qui l’on a refusé une explication est un candidat qui écrit à la CNIL.
Les trois conditions pour le faire licitement
L’IA assiste, elle ne décide pas. Un humain lit réellement les dossiers écartés, ou au minimum un échantillon documenté. Si personne ne descend jamais sous le vingtième profil, la condition n’est pas remplie, quoi qu’en dise votre procédure.
Les candidats sont informés avant de postuler. Mention dans l’offre d’emploi et dans le formulaire de candidature : existence du traitement automatisé, critères essentiels, droit d’accès et de contestation.
Vous gardez une trace. Qui a relu, quand, selon quels critères, et quelle décision a été retenue. C’est le seul élément qui démontrera, plus tard, que la décision n’était pas exclusivement automatisée.
Sur la question préalable — ce que vous avez le droit de transmettre à l’outil — voyez notre article Est-ce que je peux mettre un CV dans ChatGPT ?
Le kit de conformité — 199 €
Vous renseignez vos outils, le kit les classe par niveau de risque et génère à votre nom votre politique d’usage de l’IA, votre registre des systèmes, votre journal des usages sensibles et votre note d’information au personnel.
Si vous déclarez un outil de tri de candidatures, il vous indique qu’il s’agit d’un usage à haut risque et ce que cela implique.
Pas encore prêt ? Commencez par la check-list AI Act gratuite : 10 points à vérifier en 15 minutes.
À lire ensuite
Sources
Règlement (UE) 2016/679 (RGPD), article 22 — décision individuelle automatisée
Règlement (UE) 2024/1689, annexe III et article 26, modifié par le règlement (UE) 2026/1744
Code du travail, article L.1132-1, et code pénal, articles 225-1 et 225-2 — non-discrimination à l’embauche
Contrôles CNIL 2026 : IA, information des candidats, conservation des données
Gibson Dunn — Report des obligations du haut risque (Omnibus)
Cet article présente l’état du droit à la date indiquée. Il ne constitue pas un conseil juridique et ne se substitue pas à l’analyse d’un conseil pour une situation particulière.
Recevez les prochains articles par email. Un article par semaine sur l'IA, le RGPD et l'AI Act en entreprise, gratuit : s'abonner à IA en Règle.
Commentaires
Enregistrer un commentaire