Pourquoi le tri de CV est classe 'haut risque'
L'AI Act europeen (Reglement UE 2024/1689) classe les systemes IA selon 4 niveaux de risque. L'Annex III liste les usages "haut risque" - ceux qui ont un impact significatif sur les personnes. Le recrutement y figure explicitement :
AI Act, Annex III, point 4 - Emploi, gestion des travailleurs et acces au travail independant :
"Systemes IA destines a etre utilises pour le recrutement ou la selection de personnes physiques, notamment pour : (a) la publication d'offres d'emploi ciblees, (b) l'analyse et le filtrage de candidatures, (c) l'evaluation des candidats."
Concretement : tout outil qui aide a trier, scorer, classer ou rejeter des CV est concerne. Cela inclut un workflow n8n + IA, un module ATS qui propose un score, un script Python qui filtre par mots-cles, un assistant LLM qui resume des CV. Pas seulement les "grands" systemes type HireVue.
Les 6 obligations concretes pour les cabinets RH
- 1. DPIA (Data Protection Impact Assessment) prealable. Avant deploiement, evaluer les risques pour les candidats : risque de biais, risque de discrimination, impact sur l'emploi. Document ecrit, valide par DPO ou conseil. Cout typique : 3-7k€ avec un cabinet specialise.
- 2. Audit de biais documente. Le systeme doit etre teste pour les biais sur les criteres protegees (genre, age, origine, handicap, religion, orientation, etc.). Methode : tester avec CV identiques sauf un critere sensible, mesurer l'ecart de score. Si biais > 5%, calibrer avant deploiement.
- 3. Supervision humaine effective (article 14 AI Act). Un humain doit pouvoir comprendre, contester et annuler chaque decision IA. Pas juste "valider" en aveugle. Cela implique formation, interface adaptee, temps reel disponible.
- 4. Transparence candidat (article 13 AI Act + article 13/14 RGPD). Le candidat doit etre informe : 1) qu'un systeme IA est utilise, 2) sur quels criteres, 3) qu'il a un droit d'opposition, 4) qu'il peut demander une revue humaine.
- 5. Audit trail complet (article 12 AI Act). Chaque decision doit etre tracee : qui (consultant + systeme IA), quand, sur quel CV, quel score, quelle justification, quelle decision finale. Conservation 6 mois minimum, recommandation 24 mois.
- 6. Droit de recours (article 50 AI Act). Le candidat doit pouvoir demander : revue de la decision par un humain, explication detaillee, rectification ou suppression. Procedure documentee, delai de reponse 30 jours max.
Stack technique conforme
Une stack qui respecte les 6 obligations :
- LLM : Mistral Large (souverain France, RGPD natif) ou Claude Pro/Team (DPA conforme, US mais avec garanties). EVITER : ChatGPT free, Gemini free, modeles Chinese (DeepSeek, Qwen sans DPA EU).
- Orchestration : n8n auto-heberge sur VPS Hostinger France (ou autre hebergeur EU). Pas de n8n cloud (US) pour donnees candidats.
- Stockage : ATS conforme (Recruitee, Teamtailor, Lever - tous ont DPA EU). Postgres EU pour audit logs.
- Audit trail : log structure (timestamp, user_id, candidat_id, model, prompt_hash, score, decision_finale, raison). Stockage 24 mois.
- Interface candidat : page dediee "Vous avez postule chez X. Notre processus utilise une assistance IA pour le tri initial. Vos droits : [...]"
Workflow de tri CV conforme - exemple detaille
- Reception CV (J). Le candidat postule via formulaire dedie. Page de confirmation mentionne explicitement l'usage IA + lien politique de confidentialite + droits.
- Pre-traitement (J+0, automatise). n8n recoit le CV (PDF), extrait le texte (Mindee API), structure les donnees (nom, formation, experience, competences, langues). Stockage Postgres EU.
- Anonymisation (J+0, automatise). Avant envoi au LLM : suppression nom, adresse, photo, age, genre, origine, etat civil. Conservation : titre poste actuel, formations, experiences, competences, langues, certifications. Cela limite les biais sur criteres sensibles.
- Scoring IA (J+0, automatise). Mistral Large compare le CV au brief poste sur 8-12 criteres explicites (predefinis pour la mission). Score 0-100 + justification ecrite par critere. Pas de critere implicite.
- Audit log (J+0, automatise). Trace complete enregistree : candidat_id, model_version, criteres, scores, justifications, timestamp.
- Revue consultant (J+1, humain). Le consultant voit la liste triee par score, mais surtout la JUSTIFICATION par critere. Il valide ou rejette chaque score. 30-60 secondes par CV.
- Decision finale (humaine). Le consultant prend la decision : retenir / rejeter / a revoir. Il peut overrider l'IA. Toute decision est tracee avec sa raison.
- Notification candidat (J+5 a J+10). Si rejete : email avec mention "Apres analyse de votre candidature (assistee par un systeme IA, validee par notre equipe), nous ne donnons pas suite a ce moment. Vous avez le droit de demander une revue de cette decision en repondant a cet email."
Cas pratique cabinet 8 consultants
Cabinet recrutement 8 consultants - tri CV avant/apres
| Indicateur | Avant | Apres |
|---|---|---|
| CV recus / mois | ~3 500 | ~3 500 |
| Temps tri / 100 CV | 3-5h | 25-45 min |
| Taux rappel candidats interessants | 68% | 82% |
| Time-to-first-call (J reception → 1er appel) | 7-14j | 2-4j |
| Cout conformite (DPIA + audit biais) | 0€ | 12k€ initial + 6k€/an |
Le gain net annuel : 1 250-1 800 heures de tri CV economisees, soit 80-110k€ de capacite consultant retrouvee. Cout conformite + outils : 25-35k€/an. ROI net : 60-75k€/an pour un cabinet 8 consultants.
Comment auditer les biais : protocole concret
L'audit de biais est l'obligation la plus technique. Voici un protocole pragmatique applicable :
- Etape 1 - Constituer un dataset test. 30-50 CV synthetiques par "version", representatifs des candidatures attendues. Faire varier UN critere a la fois (genre, age, origine du nom, handicap mentionne, etc.) en gardant tout le reste identique.
- Etape 2 - Faire scorer chaque version. Le systeme IA score chaque CV. Compiler les scores par version.
- Etape 3 - Calculer l'ecart. Pour chaque critere protege, calculer la difference de score moyen. Acceptable : ecart < 3 points. Critique : ecart > 5 points.
- Etape 4 - Documenter et corriger. Si biais detecte : ajuster le prompt, ajouter de l'anonymisation, retirer des criteres problematiques. Refaire le test.
- Etape 5 - Re-auditer trimestriel. Les modeles evoluent (mises a jour Mistral, Claude). Les biais peuvent re-apparaitre. Audit trimestriel = 1 jour de travail.
Erreurs frequentes a eviter
- Erreur 1 : utiliser ChatGPT free pour le scoring. Pas de DPA, pas conformite. Sanction CNIL + AI Act cumulables.
- Erreur 2 : laisser l'IA rejeter SEULE les candidats. Decision automatisee individuelle = article 22 RGPD = interdit.
- Erreur 3 : ne pas faire de DPIA. Premiere infraction signalee = sanction immediate.
- Erreur 4 : oublier l'audit trail. En cas de plainte candidat (CNIL ou AI Act office), pas de defense possible.
- Erreur 5 : ne pas informer les candidats. Mention obligatoire dans l'offre d'emploi + page de candidature.
- Erreur 6 : faire scorer le CV non anonymise. Augmente le risque de biais et la vulnerabilite legale.
En synthese
Le tri automatise de CV est accessible aux cabinets RH sous reserve de respecter les 6 obligations AI Act + RGPD. Le surcout conformite (5-15k€ initial, 6-15k€/an) est largement compense par les gains de productivite (60-110k€/an pour cabinet 5-10 consultants).
Les cabinets qui ne se mettent pas en conformite avant 2027 prennent un double risque : sanctions (jusqu'a 7% CA mondial) et perte de credibilite face aux candidats serieux qui exigent transparence et ethique IA.
On audite ensemble ton processus de tri actuel ? Diagnostic conformite IA recrutement gratuit.
Lire aussi : conformite RGPD + AI Act recrutement et guide AI Act 2026 PME.