L'IA trie vos CV : la CNIL contrôle en 2026, pas 2027
L'AI Act a repoussé le recrutement à décembre 2027. Le RGPD, lui, n'a pas bougé — et la CNIL en a fait sa cible.
Le 7 mai 2026, l'accord Omnibus a repoussé au 2 décembre 2027 les obligations « haut risque » de l'AI Act. Le recrutement en fait partie. Beaucoup de dirigeants et de responsables RH ont lu ça comme un sursis : « on a jusqu'en 2027 pour trier les CV à l'IA, on est tranquilles ». C'est un contresens, et il peut coûter cher. Le RGPD, lui, n'a jamais été reporté. Et la CNIL vient d'inscrire le recrutement parmi ses cibles de contrôle prioritaires pour 2026.
Le malentendu du 2 décembre 2027
Reprenons l'accord dans le détail, parce que c'est là que se niche l'erreur. L'Omnibus décale trois choses. Les systèmes d'IA autonomes classés « à haut risque » au titre de l'annexe III — biométrie, infrastructures critiques, éducation, emploi, justice — passent du 2 août 2026 au 2 décembre 2027, soit seize mois de rab. Les produits réglementés à IA embarquée (annexe I) glissent au 2 août 2028. Le marquage des contenus générés par IA déjà en circulation bénéficie d'une transition jusqu'au 2 décembre 2026. Nous avions décortiqué le calendrier complet dans notre checklist de conformité post-Omnibus.
Ce qui n'a pas bougé d'un jour, en revanche : les pratiques interdites — scoring social, surveillance biométrique en temps réel, manipulation subliminale — restent prohibées depuis février 2025, l'accord y ajoutant l'interdiction des applications de « nudification ». Et au 2 août 2026, les obligations de transparence, l'encadrement des modèles à usage général (GPAI) et le pouvoir de sanction de la Commission entrent bel et bien en application. Le recrutement gagne donc du temps sur le seul volet « système à haut risque » de l'AI Act. Pas sur le reste. La réglementation européenne sur les détails figure sur la page officielle de la Commission.
Pourquoi la CNIL, pas l'AI Act, est votre vrai risque en 2026
Chaque année, la CNIL rend publiques ses thématiques de contrôle prioritaires. Pour 2026, le recrutement y figure noir sur blanc, aux côtés du répertoire électoral unique et des fédérations sportives. Ce n'est pas un signal faible : c'est l'annonce que les contrôleurs vont frapper à la porte des employeurs et des cabinets de recrutement dans l'année.
Son programme de travail 2026 va plus loin. L'autorité finalise une série de recommandations sur l'IA appliquée au monde du travail, prépare des outils dédiés aux DPO et compte clarifier la répartition des responsabilités le long de la chaîne de valeur de l'IA — un point clé quand vous achetez un logiciel de tri auprès d'un éditeur. En parallèle, avec l'ANSSI, elle développe PANAME, une bibliothèque logicielle censée évaluer si un modèle traite ou non des données personnelles. Traduction : les moyens techniques du contrôle arrivent, eux aussi.
Côté addition : le RGPD prévoit jusqu'à 20 M€ ou 4 % du chiffre d'affaires mondial ; les pratiques interdites de l'AI Act montent à 35 M€ ou 7 %. Pour une PME, une amende reste rare, mais la mise en demeure publique, elle, ne l'est pas. La CNIL a récemment épinglé une société qui exigeait de ses candidats leur lieu de naissance, leur nationalité, leur situation familiale, jusqu'aux salaires perçus chez leurs précédents employeurs. Trois mois pour se conformer, sanction à la clé sinon. Aucune IA dans ce dossier — juste un formulaire trop gourmand. Branchez un algorithme qui note les candidats par-dessus, et la surface de risque enfle d'un coup.
Ce que le RGPD exige quand une IA trie vos CV
Trois obligations reviennent dans chaque dossier de contrôle. Ce sont aussi les trois que la CNIL trouve le plus souvent absentes.
Une AIPD avant de brancher l'outil
Dès qu'un outil score, classe ou présélectionne des candidatures, il déclenche une analyse d'impact relative à la protection des données (AIPD, article 35 du RGPD). C'est un document formel : finalité, données traitées, risques pour les personnes, mesures correctrices. La CNIL le répète, l'absence d'AIPD sur un outil de recrutement automatisé est l'un des manquements les plus fréquemment relevés. Ce n'est pas une formalité de fin de projet — c'est un prérequis avant la mise en production.
Informer le candidat, garder l'humain dans la boucle
Un candidat a le droit de savoir qu'un algorithme intervient dans sa candidature (articles 13 et 14). Et l'article 22 encadre les décisions « entièrement automatisées » : vous ne pouvez pas laisser une machine écarter seule un profil. Il faut une intervention humaine réelle, un droit au réexamen et la possibilité de contester. « Réel » est le mot qui compte : un recruteur qui valide en bloc les scores de l'outil sans jamais rouvrir un dossier ne coche pas la case.
Minimisation et durée de conservation
Le principe de minimisation impose de ne collecter que ce qui présente un lien direct et nécessaire avec le poste. Exit la nationalité, la situation familiale, l'état de santé, l'origine, la religion, l'orientation sexuelle ou la grossesse — la loi les range parmi les données interdites, sauf exception rarissime. Quant aux CV des candidats non retenus, ils se conservent deux ans maximum après le dernier contact, avec purge automatique. Un modèle qui aurait « mémorisé » ces données au fil des tris pose exactement le problème que la CNIL cherche à outiller avec PANAME.
IA de recrutement en PME : où ça dérape vraiment
La théorie tient en trois articles. Le terrain, lui, ressemble à trois scénarios qu'on croise dans à peu près toutes les TPE-PME qui recrutent.
- Le tri sauvage sur ChatGPT. Coller quarante CV dans ChatGPT gratuit pour « dégrossir », c'est envoyer des données personnelles de candidats à un service américain qui, sur ses offres grand public, peut les réutiliser pour son entraînement. Vous cumulez trois manquements d'un coup : minimisation, transfert hors UE et absence de base légale. C'est l'usage le plus répandu et le plus exposé.
- Le scoring intégré à l'ATS. Beaucoup d'outils de recrutement — que nous avons passés en revue ici — classent désormais les candidats par « adéquation ». Sans AIPD, sans information et sans clause de réexamen humain, l'automatisation devient le problème, pas la solution. Ajoutez le risque de biais algorithmique, que la future fiche CNIL sur l'IA au travail vise explicitement.
- L'entretien vidéo analysé. Les outils qui notent le ton, le vocabulaire ou les micro-expressions d'un candidat sont dans le viseur : décision largement automatisée, données sensibles, base légale fragile. À manier avec des pincettes, ou pas du tout.
Se mettre en règle en 2026 : la marche à suivre
Bonne nouvelle : pour la majorité des PME, la mise en conformité tient dans une journée de travail. Voici l'ordre qui marche.
- Cartographier. Listez chaque outil qui touche une candidature : ATS, assistant conversationnel, module de scoring, plateforme d'entretien. Y compris les usages « officieux » d'un manager sur son compte perso.
- AIPD. Une analyse d'impact par outil qui score ou présélectionne. C'est le document que la CNIL demandera en premier.
- Base légale et notice candidat. Une mention claire indiquant qu'un traitement automatisé intervient, et laquelle. Rédiger cette notice et le brouillon de l'AIPD à partir de vos process prend une trentaine de minutes avec un assistant comme Claude — à faire relire par votre DPO avant publication, jamais l'inverse.
- Réexamen humain formalisé. Une personne nommée revoit toute présélection issue de l'algorithme, et cette revue laisse une trace.
- Contrat sous-traitant et localisation. Exigez de votre éditeur un DPA, l'endroit où sont hébergées les données candidats et l'engagement de ne pas les réutiliser pour entraîner ses modèles.
- Registre et conservation. Consignez les traitements et programmez la purge automatique à deux ans.
Centraliser le registre, les AIPD et les notices dans un espace unique évite la panique le jour d'un contrôle. Un hub documentaire partagé — type — suffit largement pour une PME, à condition qu'il soit tenu à jour et non reconstitué en urgence.
Ce qu'il faut retenir
Le report à décembre 2027 est réel, mais c'est un leurre de sécurité. Le vrai calendrier, c'est celui de la CNIL, et il court déjà. Une PME qui trie ses CV à l'IA sans AIPD, sans information des candidats et sans réexamen humain n'est pas « en avance sur 2027 » : elle est hors des clous en 2026. Rappelons que la sécurité des données reste la crainte n°1 des dirigeants face à l'IA, quand 83 % des PME n'ont encore formé personne. Sur le recrutement, cette impréparation a désormais un coût potentiel bien réel. Le bon réflexe n'est pas de renoncer à l'IA — c'est de la déployer avec les trois garde-fous que la loi réclame déjà.
