Pourquoi le tri de CV est classé 'haut risque'
L'AI Act européen (Règlement UE 2024/1689) classe les systèmes IA selon 4 niveaux de risque. L'Annex III liste les usages "haut risque" - ceux qui ont un impact significatif sur les personnes. Le recrutement y figure explicitement :
AI Act, Annex III, point 4 - Emploi, gestion des travailleurs et accès au travail indépendant :
"Systèmes IA destinés à être utilisés pour le recrutement ou la sélection de personnes physiques, notamment pour : (a) la publication d'offres d'emploi ciblées, (b) l'analyse et le filtrage de candidatures, (c) l'évaluation des candidats."
Concrètement : tout outil qui aide à trier, scorer, classer ou rejeter des CV est concerné. Cela inclut un workflow n8n + IA, un module ATS qui propose un score, un script Python qui filtre par mots-clés, un assistant LLM qui résume des CV. Pas seulement les "grands" systèmes type HireVue.
Les 6 obligations concrètes pour les cabinets RH
- 1. DPIA (Data Protection Impact Assessment) préalable. Avant déploiement, évaluer les risques pour les candidats : risque de biais, risque de discrimination, impact sur l'emploi. Document écrit, validé par DPO ou conseil. Coût typique : 3-7k€ avec un cabinet spécialisé.
- 2. Audit de biais documenté. Le système doit être testé pour les biais sur les critères protégés (genre, âge, origine, handicap, religion, orientation, etc.). Méthode : tester avec CV identiques sauf un critère sensible, mesurer l'écart de score. Si biais > 5%, calibrer avant déploiement.
- 3. Supervision humaine effective (article 14 AI Act). Un humain doit pouvoir comprendre, contester et annuler chaque décision IA. Pas juste "valider" en aveugle. Cela implique formation, interface adaptée, temps réel disponible.
- 4. Transparence candidat (article 13 AI Act + article 13/14 RGPD). Le candidat doit être informé : 1) qu'un système IA est utilisé, 2) sur quels critères, 3) qu'il a un droit d'opposition, 4) qu'il peut demander une revue humaine.
- 5. Audit trail complet (article 12 AI Act). Chaque décision doit être tracée : qui (consultant + système IA), quand, sur quel CV, quel score, quelle justification, quelle décision finale. Conservation 6 mois minimum, recommandation 24 mois.
- 6. Droit de recours (article 50 AI Act). Le candidat doit pouvoir demander : revue de la décision par un humain, explication détaillée, rectification ou suppression. Procédure documentée, délai de réponse 30 jours max.
Stack technique conforme
Une stack qui respecte les 6 obligations :
- LLM : Mistral (souverain France, RGPD natif) ou Claude Pro/Team (DPA conforme, US mais avec garanties). ÉVITER : ChatGPT free, Gemini free, modèles Chinese (DeepSeek, Qwen sans DPA EU).
- Orchestration : n8n auto-hébergé sur VPS Hostinger France (ou autre hébergeur EU). Pas de n8n cloud (US) pour données candidats.
- Stockage : ATS conforme (Recruitee, Teamtailor, Lever - tous ont DPA EU). Postgres EU pour audit logs.
- Audit trail : log structuré (timestamp, user_id, candidat_id, model, prompt_hash, score, decision_finale, raison). Stockage 24 mois.
- Interface candidat : page dédiée "Vous avez postulé chez X. Notre processus utilise une assistance IA pour le tri initial. Vos droits : [...]"
Workflow de tri CV conforme - exemple détaillé
- Réception CV (J). Le candidat postule via formulaire dédié. Page de confirmation mentionne explicitement l'usage IA + lien politique de confidentialité + droits.
- Pré-traitement (J+0, automatisé). n8n reçoit le CV (PDF), extrait le texte (Mindee API), structure les données (nom, formation, expérience, compétences, langues). Stockage Postgres EU.
- Anonymisation (J+0, automatisée). Avant envoi au LLM : suppression nom, adresse, photo, âge, genre, origine, état civil. Conservation : titre poste actuel, formations, expériences, compétences, langues, certifications. Cela limite les biais sur critères sensibles.
- Scoring IA (J+0, automatisé). Mistral compare le CV au brief poste sur 8-12 critères explicites (prédéfinis pour la mission). Score 0-100 + justification écrite par critère. Pas de critère implicite.
- Audit log (J+0, automatisé). Trace complète enregistrée : candidat_id, model_version, critères, scores, justifications, timestamp.
- Revue consultant (J+1, humain). Le consultant voit la liste triée par score, mais surtout la JUSTIFICATION par critère. Il valide ou rejette chaque score. 30-60 secondes par CV.
- Décision finale (humaine). Le consultant prend la décision : retenir / rejeter / à revoir. Il peut overrider l'IA. Toute décision est tracée avec sa raison.
- Notification candidat (J+5 à J+10). Si rejeté : email avec mention "Après analyse de votre candidature (assistée par un système IA, validée par notre équipe), nous ne donnons pas suite à ce moment. Vous avez le droit de demander une revue de cette décision en répondant à cet email."
Cas pratique cabinet 8 consultants
Cabinet recrutement 8 consultants - tri CV avant/après
| Indicateur | Avant | Après |
|---|---|---|
| CV reçus / mois | ~3 500 | ~3 500 |
| Temps tri / 100 CV | 3-5h | 25-45 min |
| Taux rappel candidats intéressants | 68% | 82% |
| Time-to-first-call (J réception → 1er appel) | 7-14j | 2-4j |
| Coût conformité (DPIA + audit biais) | 0€ | 12k€ initial + 6k€/an |
Le gain net annuel : 1 250-1 800 heures de tri CV économisées, soit 80-110k€ de capacité consultant retrouvée. Coût conformité + outils : 25-35k€/an. ROI net : 60-75k€/an pour un cabinet 8 consultants.
Comment auditer les biais : protocole concret
L'audit de biais est l'obligation la plus technique. Voici un protocole pragmatique applicable :
- Étape 1 - Constituer un dataset test. 30-50 CV synthétiques par "version", représentatifs des candidatures attendues. Faire varier UN critère à la fois (genre, âge, origine du nom, handicap mentionné, etc.) en gardant tout le reste identique.
- Étape 2 - Faire scorer chaque version. Le système IA score chaque CV. Compiler les scores par version.
- Étape 3 - Calculer l'écart. Pour chaque critère protégé, calculer la différence de score moyen. Acceptable : écart < 3 points. Critique : écart > 5 points.
- Étape 4 - Documenter et corriger. Si biais détecté : ajuster le prompt, ajouter de l'anonymisation, retirer des critères problématiques. Refaire le test.
- Étape 5 - Re-auditer trimestriel. Les modèles évoluent (mises à jour Mistral, Claude). Les biais peuvent ré-apparaître. Audit trimestriel = 1 jour de travail.
Erreurs fréquentes à éviter
- Erreur 1 : utiliser ChatGPT free pour le scoring. Pas de DPA, pas conformité. Sanction CNIL + AI Act cumulables.
- Erreur 2 : laisser l'IA rejeter SEULE les candidats. Décision automatisée individuelle = article 22 RGPD = interdit.
- Erreur 3 : ne pas faire de DPIA. Première infraction signalée = sanction immédiate.
- Erreur 4 : oublier l'audit trail. En cas de plainte candidat (CNIL ou AI Act office), pas de défense possible.
- Erreur 5 : ne pas informer les candidats. Mention obligatoire dans l'offre d'emploi + page de candidature.
- Erreur 6 : faire scorer le CV non anonymisé. Augmente le risque de biais et la vulnérabilité légale.
En synthèse
Le tri automatisé de CV est accessible aux cabinets RH sous réserve de respecter les 6 obligations AI Act + RGPD. Le surcoût conformité (5-15k€ initial, 6-15k€/an) est largement compensé par les gains de productivité (60-110k€/an pour cabinet 5-10 consultants).
Les cabinets qui ne se mettent pas en conformité avant 2027 prennent un double risque : sanctions (jusqu'à 7% CA mondial) et perte de crédibilité face aux candidats sérieux qui exigent transparence et éthique IA.
On audite ensemble votre processus de tri actuel ? Diagnostic conformité IA recrutement gratuit.
Lire aussi : conformité RGPD + AI Act recrutement et guide AI Act 2026 PME.