Les 3 cadres juridiques qui se cumulent
Le recrutement assisté par IA en France est encadré par 3 textes superposés. Aucun ne remplace les autres - ils s'appliquent simultanément.
1. RGPD (Règlement UE 2016/679)
Articles clés : article 6 (base légale), article 9 (données sensibles), article 13/14 (information), article 22 (décision automatisée individuelle), article 35 (DPIA pour traitement à risque).
Application au recrutement : tout traitement de CV, scoring, contact = traitement de données personnelles. Nécessite : base légale (intérêt légitime ou consentement), information complète, droit d'opposition, DPIA si scoring automatisé, supervision humaine obligatoire pour décisions ayant impact significatif.
2. AI Act (Règlement UE 2024/1689)
Application progressive : interdictions immédiates (février 2025), obligations modèles GPAI (août 2025), transparence Article 50 (2 août 2026), haut risque Annexe III (2 décembre 2027, reporté par le Digital Omnibus on AI), pleine application Annexe I (2 août 2028).
Le recrutement est explicitement listé Annex III, point 4 : usage IA pour publication ciblée, tri candidatures, évaluation candidats = haut risque. Obligations : DPIA renforcée, audit biais, supervision humaine, transparence, audit trail, droit de recours.
3. Code du travail français
Articles clés :
- L1132-1 : non-discrimination (genre, âge, origine, handicap, religion, orientation, etc.).
- L1221-6 : information du candidat sur les méthodes et techniques d'aide au recrutement.
- L1221-9 : aucune information collectée ne peut porter sur la vie personnelle.
- L1132-2 : protection contre les représailles en cas de signalement de discrimination.
L'article L1221-6 est crucial : il oblige à informer le candidat des "méthodes et techniques d'aide au recrutement utilisées". L'usage d'IA y est inclus selon la jurisprudence récente (Cass. soc. 2023).
Les 6 piliers d'une conformité opérationnelle
- 1. Information complète du candidat (multi-niveau). Niveau 1 : mention explicite dans l'offre d'emploi ("Notre processus utilise une assistance IA pour l'analyse des candidatures"). Niveau 2 : page dédiée accessible depuis le formulaire ("Comment l'IA est utilisée chez X"). Niveau 3 : politique de confidentialité détaillée.
- 2. Base légale documentée. Pour cabinet RH : intérêt légitime (article 6.1.f) avec balance test documenté. Pour candidature spontanée : consentement explicite (article 6.1.a).
- 3. DPIA + audit biais. DPIA validée par DPO ou conseil. Audit biais sur 5+ critères protégées (genre, âge, origine, handicap, etc.). Documentation conservée 5 ans minimum.
- 4. Supervision humaine effective. Pas de décision purement automatisée. Le consultant doit pouvoir comprendre, contester et annuler chaque décision IA. Formation spécifique nécessaire.
- 5. Audit trail complet. Chaque scoring, chaque décision, chaque accès aux données est loggé (timestamp, user, action, données impactées). Conservation 24 mois recommandée.
- 6. Droit de recours documenté. Procédure écrite : comment le candidat peut demander une revue humaine, délai 30 jours, escalade au DPO si nécessaire.
Outils autorisés et interdits
AUTORISÉS (avec configuration adéquate)
- Mistral Le Chat Pro / Mistral (souverain France, RGPD natif, DPA standard) - PRÉFÉRÉ
- Claude Pro / Claude Team (Anthropic US, DPA conforme, hébergement EU disponible)
- OpenAI Pro / Team (OpenAI US, DPA conforme via Microsoft Azure EU)
- Llama (open-source self-hosted) (open source, hébergement contrôlé - coût setup élevé)
- n8n self-hosted Hostinger France (orchestration souveraine)
- ATS conformes : Recruitee, Teamtailor, Lever, Greenhouse (avec DPA EU)
INTERDITS (en l'état)
- ChatGPT version gratuite : pas de DPA conforme, données servent à l'entraînement
- Gemini version gratuite : pas de DPA conforme
- DeepSeek, Qwen et autres modèles Chinese sans DPA EU
- Outils de scraping LinkedIn (PhantomBuster sur LI, Apollo, etc.) : violation CGU + RGPD
- HireVue analyse vidéo sans audit biais publié : risque trop élevé sur le marché français
- Outils 'IA recruteur autonome' sans intervention humaine : violation article 22 RGPD
Checklist conformité : 15 points
Checklist légale recrutement + IA
- L'offre d'emploi mentionne explicitement l'usage IA dans le processus ?
- Une page dédiée explique comment l'IA est utilisée ?
- Le formulaire de candidature inclut une mention sur l'usage IA + droits ?
- Le DPIA est réalisé et validé par DPO ou conseil ?
- L'audit biais est réalisé et documenté (5+ critères protégées) ?
- Les outils utilisés sont conformes (DPA, hébergement EU) ?
- Aucun outil interdit n'est utilisé (ChatGPT free, scraping LinkedIn, etc.) ?
- Le scoring IA est anonymisé (pas de nom, âge, photo, origine envoyés au modèle) ?
- Toute décision IA est validée par un humain (pas de rejet automatique) ?
- L'audit trail est complet et conservé 24 mois ?
- La procédure de droit de recours est documentée et accessible ?
- Les consultants sont formés à l'usage conforme ?
- Une procédure d'incident est définie ?
- Le délai de conservation des données est respecté (24 mois max) ?
- Une revue annuelle de la conformité est planifiée ?
Si moins de 12/15 sont cochés : arrêter l'usage IA et finaliser la mise en conformité.
Cas de litige - jurisprudence récente
Les premiers cas de litige sur l'IA en recrutement commencent à apparaître en France :
- 2023 : Délibération CNIL sur le scoring CV automatisé - rappel des obligations RGPD.
- 2024 : Conseil Prud'hommes Paris - candidat conteste un rejet basé sur scoring IA, cabinet condamné pour absence d'information article L1221-6.
- 2025 : CNIL - sanction 200k€ contre cabinet RH (~80 collaborateurs) pour absence de DPIA + audit biais sur outil de tri CV.
- 2026 (prédit) : première sanction IA Act Annex III contre acteur RH (probable T3-T4).
La tendance est claire : les autorités montent en puissance. Les cabinets non conformes en 2026 prennent un risque croissant.
En synthèse
La conformité IA recrutement est complexe mais faisable. Les obligations sont claires (les 6 piliers), les outils existent (Mistral Le Chat Pro, Claude Pro), le surcoût est mesuré (15-30k€ initial, 8-15k€/an). Le frein est culturel et méthodologique - pas technique.
Recommandation : prendre 8-12 semaines pour mettre en place le cadre conforme avant de déployer largement. Ensuite, monter en charge progressivement avec audits trimestriels.
Vous voulez qu'on regarde la conformité IA de votre recrutement ? Audit gratuit 45 min.
Lire aussi : automatiser le tri de CV conforme AI Act et checklist DPA fournisseurs IA.
