La CNIL va contrôler les entreprises qui utilisent l’IA pour trier les CV

L’intelligence artificielle s’invite de plus en plus dans les processus de recrutement. Tri automatique des candidatures, présélection de profils, notation des CV, analyse des compétences ou encore évaluation de la compatibilité avec un poste : les outils se multiplient. Mais leur utilisation n’échappe pas au regard des autorités.

Dans le cadre de son programme de contrôles prioritaires pour 2026, la Commission nationale de l’informatique et des libertés (CNIL) a annoncé le 3 avril dernier qu’elle porterait une attention particulière aux pratiques de recrutement.

Parmi les sujets visés figurent les dispositifs de décision automatisée, dont les outils d’intelligence artificielle utilisés pour analyser ou classer les candidatures.

Une annonce qui doit alerter les employeurs, les cabinets de recrutement et les éditeurs de logiciels RH. Car si l’IA peut faire gagner du temps, son utilisation reste encadrée par le RGPD et plusieurs règles spécifiques destinées à protéger les candidats.

Pourquoi la CNIL s’intéresse-t-elle au recrutement ?

Le recrutement est l’un des domaines où les entreprises collectent le plus de données personnelles. CV, lettres de motivation, coordonnées, parcours professionnel, diplômes, expériences, parfois même tests de personnalité ou évaluations comportementales : les informations recueillies sont nombreuses.

Avec l’arrivée de l’intelligence artificielle, une nouvelle étape a été franchie. Certains logiciels sont désormais capables d’analyser des centaines de candidatures en quelques secondes et d’établir des classements selon des critères définis par l’employeur.

Ces technologies soulèvent plusieurs questions :

• Les candidats sont-ils correctement informés ?
• Les critères de sélection sont-ils transparents ?
• Les données collectées sont-elles réellement nécessaires ?
• Existe-t-il un risque de discrimination ?
• Une décision importante peut-elle être prise uniquement par un algorithme ?

Pour la CNIL, ces interrogations justifient une vigilance renforcée.

Des contrôles annoncés pour 2026

Dans sa communication officielle, la CNIL a indiqué que le recrutement ferait partie de ses trois thématiques prioritaires de contrôle pour l’année 2026.

L’autorité prévoit notamment de vérifier :

• les modalités de collecte des données des candidats ;
• la durée de conservation des dossiers de candidature ;
• les dispositifs de prise de décision automatisée ;
• les outils de tri et de classement des candidatures ;
• l’information délivrée aux personnes concernées.

Concrètement, les contrôleurs pourront demander à une entreprise d’expliquer le fonctionnement d’un logiciel utilisé lors du recrutement, les critères pris en compte pour sélectionner les candidats ou encore les garanties mises en place pour éviter les biais.

Les cabinets de recrutement et les grandes entreprises devraient être particulièrement concernés, mais aucune structure n’est à l’abri d’un contrôle.

Les logiciels de tri automatique sont-ils autorisés ?

Contrairement à une idée reçue, le recours à l’intelligence artificielle dans le recrutement n’est pas interdit.

Une entreprise peut utiliser un outil permettant de filtrer ou de classer des candidatures. En revanche, cette utilisation doit respecter plusieurs conditions.

• La première concerne la transparence. Les candidats doivent être informés que leurs données sont traitées par un système automatisé et connaître les principales caractéristiques du traitement.
• La deuxième concerne la pertinence des données collectées. Les informations demandées doivent être directement liées à l’évaluation des aptitudes professionnelles du candidat.
• Enfin, l’entreprise doit être en mesure de démontrer que l’outil utilisé respecte les exigences du RGPD.

Attention aux décisions entièrement automatisées

Le point le plus sensible concerne les décisions reposant exclusivement sur un traitement automatisé.

Le RGPD prévoit en effet qu’une personne ne peut pas, sauf exceptions particulières, faire l’objet d’une décision produisant des effets juridiques significatifs lorsqu’elle repose uniquement sur un traitement automatisé.

Dans le cadre d’un recrutement, cela signifie qu’un candidat ne devrait pas être écarté automatiquement sans intervention humaine uniquement parce qu’un algorithme lui attribue une mauvaise note.

L’humain doit conserver un rôle réel dans le processus de décision.

Dans les faits, cela implique qu’un recruteur examine les résultats produits par l’outil et puisse les remettre en question avant toute décision définitive.

Le risque des biais algorithmiques

L’un des principaux sujets de préoccupation concerne les discriminations.

Un algorithme apprend à partir des données qui lui sont fournies. Si ces données comportent des biais, l’outil risque de les reproduire, voire de les amplifier.

Plusieurs affaires médiatisées ont montré que certains systèmes de recrutement pouvaient défavoriser certaines catégories de candidats.

Par exemple :

• les femmes dans certains métiers techniques ;
• les seniors ;
• les personnes en situation de handicap ;
• les candidats issus de certains territoires ;
• les profils atypiques.

Même lorsque l’intention discriminatoire n’existe pas, le résultat peut être problématique.

Pour cette raison, les entreprises doivent être capables d’expliquer les critères utilisés et de vérifier régulièrement les effets de leurs outils de sélection.

Une obligation d’information des candidats

Lorsqu’une entreprise collecte des données dans le cadre d’un recrutement, elle doit fournir plusieurs informations aux candidats.

Ces informations doivent notamment préciser :

• l’identité du responsable du traitement ;
• les finalités poursuivies ;
• la durée de conservation des données ;
• les destinataires des informations ;
• les droits dont disposent les candidats.

Lorsque des outils d’analyse automatisée sont utilisés, cette information doit être suffisamment claire pour permettre aux personnes concernées de comprendre comment leurs données sont exploitées.

Une simple mention noyée dans des conditions générales pourrait ne pas être considérée comme suffisante.

Combien de temps conserver les CV ?

La conservation des candidatures constitue un autre sujet régulièrement surveillé par la CNIL.

Les données des candidats non retenus ne peuvent pas être conservées indéfiniment.

La pratique généralement admise consiste à conserver les dossiers pendant une durée maximale de deux ans après le dernier contact avec le candidat, sous réserve de l’avoir informé et de lui avoir laissé la possibilité de s’y opposer.

Les entreprises qui accumulent depuis plusieurs années des CV dans leurs bases de données sans procédure de nettoyage s’exposent à des observations lors d’un contrôle.

Certaines entreprises devront réaliser une analyse d’impact

Dans certains cas, l’utilisation d’un outil d’intelligence artificielle dans le recrutement peut nécessiter la réalisation d’une analyse d’impact relative à la protection des données (AIPD).

Cette démarche consiste à évaluer les risques que le traitement fait peser sur les droits et libertés des personnes concernées.

L’analyse permet notamment d’identifier :

• les risques de discrimination ;
• les atteintes à la vie privée ;
• les défauts de sécurité ;
• les risques liés à la prise de décision automatisée.

Lorsqu’un traitement présente des risques élevés, cette analyse devient une obligation.

L’ombre de l’AI Act européen

Les contrôles annoncés par la CNIL s’inscrivent également dans un contexte réglementaire plus large : l’entrée en application progressive du règlement européen sur l’intelligence artificielle, plus connu sous le nom d’AI Act.

Ce texte classe les systèmes d’IA utilisés dans le recrutement parmi les usages à haut risque.

Les fournisseurs et les utilisateurs de ces solutions devront respecter des exigences renforcées en matière de gouvernance, de documentation, de transparence et de gestion des risques.

Même si toutes les dispositions ne sont pas encore applicables, les entreprises ont intérêt à anticiper dès maintenant les futures obligations.

Ce que les employeurs peuvent faire dès aujourd’hui

Face aux contrôles annoncés, les entreprises ont tout intérêt à réaliser un audit de leurs pratiques de recrutement.

Quelques questions peuvent servir de point de départ :

• Utilisons-nous un outil de tri automatisé des candidatures ?
• Les candidats sont-ils clairement informés ?
• Les critères de sélection sont-ils documentés ?
• Une intervention humaine existe-t-elle réellement dans la décision finale ?
• Les données sont-elles conservées pendant une durée justifiée ?
• Une analyse d’impact est-elle nécessaire ?

L’objectif n’est pas d’abandonner l’intelligence artificielle, mais de s’assurer qu’elle reste un outil d’aide à la décision et non un substitut complet au jugement humain.

Une vigilance qui devrait s’accentuer

Les contrôles de la CNIL montrent que le recrutement devient l’un des terrains d’observation privilégiés des autorités en matière d’intelligence artificielle.

Alors que de plus en plus d’entreprises cherchent à automatiser leurs processus RH pour gagner du temps et réduire leurs coûts, la question de l’équilibre entre performance et respect des droits des candidats s’impose.

Pour les employeurs, le message est clair : utiliser l’IA pour trier les CV est possible, mais encore faut-il pouvoir expliquer comment elle fonctionne, démontrer qu’elle respecte les règles du RGPD et garantir qu’un être humain garde la main sur les décisions qui comptent.