Tri de CV par l'IA : ce qui est légal pour un employeur en Pévèle

Que dit la loi sur le tri de CV par l'IA ?

L'article L. 1221-8 du Code du travail ne nomme pas l'IA. Il encadre les « méthodes et techniques d'aide au recrutement ». Sa règle de base est claire : « Le candidat à un emploi est expressément informé, préalablement à leur mise en oeuvre, des méthodes et techniques d'aide au recrutement utilisées à son égard ». Le même article rend les résultats confidentiels. Il exige aussi des méthodes « pertinentes au regard de la finalité poursuivie ».

Dans son guide du recrutement, la CNIL précise que cette exigence de pertinence s'applique notamment « au choix des logiciels et des outils d'aide à la décision du recruteur ». Si l'outil repose sur un algorithme qui apprend, c'est au recruteur de vérifier sa pertinence, y compris la façon dont il a été entraîné. Un manquement peut engager sa responsabilité.

Les informations utilisées pour trier sont encadrées elles aussi. L'article L. 1221-6 limite les informations demandées à celles qui ont un lien direct et nécessaire avec l'emploi proposé ou avec l'évaluation des aptitudes professionnelles. Selon l'article L. 1132-1, personne ne peut être écarté d'un recrutement pour un motif discriminatoire. La liste comprend notamment l'âge, le sexe, le nom de famille, le lieu de résidence et l'apparence physique. Or les outils de tri peuvent se tromper, voire « perpétuer certains stéréotypes », prévient la CNIL.

Le RGPD ajoute une limite. Son article 22 donne à chacun le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, profilage compris, quand elle l'affecte de manière significative. Pour la CNIL, être écarté d'un recrutement entre en général dans ce cas. Sa fiche n° 13 conclut : « En raison des risques associés à ce mode de prise de décisions, souvent opaque pour les candidats, de tels procédés sont en principe interdits par le RGPD ».

Le RGPD admet trois exceptions : la nécessité d'un contrat, une autorisation par la loi, le consentement explicite. En recrutement, la CNIL les lit de façon stricte. Le consentement d'un candidat n'est en général pas libre, car un refus pourrait nuire à ses chances d'obtenir l'emploi. Aucune disposition légale spécifique n'autorise ces dispositifs en France, relève-t-elle dans son guide. Reste la nécessité de conclure le contrat de travail. Le comité européen de la protection des données, cité par la CNIL, exige alors un nombre de candidatures « exceptionnellement élevé ».

Quand un logiciel de tri décide-t-il à votre place ?

Le piège se cache dans l'usage courant. Un logiciel qui classe les CV ne décide pas forcément à votre place. Mais si vous ne lisez que le haut du classement, les autres candidats sont exclus par le seul fonctionnement du logiciel. Pour la CNIL, cette exclusion peut alors résulter d'une décision entièrement automatisée. Même chose si vous validez la proposition de l'outil sans pouvoir en expliquer les motifs : la décision peut être regardée comme prise « sans intervention humaine ».

La CNIL décrit une mauvaise pratique qui parle aux petites entreprises. Pour son premier salarié, une entreprise achète un outil de tri « sur étagère ». Dix candidatures arrivent pour un poste de monteur d'échafaudage : elle embauche le premier du classement, sans comparer. Pour la CNIL, l'outil ne semblait pas nécessaire avec si peu de candidatures, et son fonctionnement n'était pas expliqué en détail. Les candidats, eux, n'étaient pas informés de la décision automatisée. Ce recours ne respectait pas la réglementation.

Quand une décision automatisée est admise, la CNIL demande d'informer les candidats de son existence, de sa logique et de ses conséquences. L'article 22 leur garantit alors au moins le droit d'obtenir une intervention humaine, d'exprimer leur point de vue et de contester la décision. Selon la CNIL, ce droit doit pouvoir s'exercer avant la fin du recrutement.

Laisser la décision à un humain, c'est aussi le principe des outils d'IA que je code. L'IA lit et prépare, vous validez, et chaque échange est enregistré dans un journal (IA et automatisation). Si une mission me fait traiter les données de vos candidats, un contrat de sous-traitance au sens de l'article 28 du RGPD accompagne le devis.

Que change le règlement européen sur l'IA, et quand ?

Le règlement (UE) 2024/1689 sur l'IA classe à haut risque les systèmes destinés au recrutement, notamment pour « analyser et filtrer les candidatures et évaluer les candidats » (annexe III). La Commission européenne cite les logiciels de tri de CV parmi ses exemples. L'article 6 prévoit des exceptions, par exemple pour une tâche procédurale étroite ou une tâche préparatoire. Mais un système qui effectue un profilage de personnes physiques reste toujours à haut risque.

Les obligations qui en découlent ne s'appliquent pas encore. Le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026 selon la Commission, les a reportées au 2 décembre 2027 pour les usages de l'annexe III (article 113). L'entreprise qui utilise l'outil sous sa propre autorité est un « déployeur » (article 3). L'article 26 lui demandera notamment :

• D'utiliser l'outil conformément à sa notice d'utilisation.
• De confier le contrôle humain à des personnes qui disposent « des compétences, de la formation et de l'autorité nécessaires ».
• De veiller à la pertinence et à la représentativité des données d'entrée, si elle les maîtrise.
• De conserver au moins six mois les journaux générés par l'outil, s'ils sont sous son contrôle.
• D'informer les candidats qu'ils sont soumis à un système d'IA à haut risque.

L'article 25 ajoute un point de vigilance. Celui qui modifie la destination d'un système d'IA, « y compris un système d'IA à usage général », au point qu'il devient à haut risque, est considéré comme son fournisseur. Il en reprend alors les obligations. Confier le tri de candidatures à un assistant conversationnel généraliste pose donc une question à examiner avant décembre 2027.

Que vérifier avant de confier le tri des CV à l'IA ?

La CNIL a retenu le recrutement parmi ses thématiques de contrôle prioritaires pour 2026. Ses contrôles se concentrent notamment sur « les systèmes de prise de décision automatisée, l'information des candidats ainsi que les durées de conservation ». Les grandes entreprises et les cabinets de recrutement sont visés en premier, mais les règles valent pour tous. Les fiches n° 8 et 9 de son guide traitent de l'information des candidats et de la conservation des CV.

Pour vos embauches, le Service aux entreprises de Pévèle Carembault propose des conseils et bonnes pratiques. Il accompagne aussi la rédaction des offres et le suivi des recrutements. Son adresse : serviceauxentreprises@pevelecarembault.fr.

Ces éléments sont une information générale, à jour au 26/09/2026. Vérifiez votre situation auprès de l'organisme compétent, la CNIL pour les données personnelles.