Trier des CV par algorithme oblige à informer expressément le candidat, à informer le CSE et à pouvoir justifier chaque écart. L’opacité du modèle se retourne contre l’employeur.
Le code du travail impose d’informer expressément le candidat, avant leur mise en œuvre, des méthodes et techniques d’aide au recrutement utilisées : un tri algorithmique non annoncé est irrégulier. Le comité social et économique doit être informé de ces méthodes, mais il n’est consulté que sur les dispositifs de contrôle de l’activité. Le vrai risque n’est pas la discrimination volontaire, c’est la discrimination indirecte produite par des variables de substitution comme le lieu de résidence ou la continuité du parcours. Et devant le juge, c’est à l’employeur de prouver que sa décision repose sur des éléments objectifs.
Une candidature envoyée à 23 h 08. Un accusé de réception à 23 h 09. Un refus à 23 h 12. Personne n’a lu le dossier, et le message ne dit pas un mot du dispositif qui a décidé. C’est ce silence, plus que l’automatisation elle-même, qui pose un problème de droit.
Le tri automatisé de candidatures n’a rien de nouveau : les logiciels de gestion des candidatures classent par mots-clés depuis vingt ans. Ce qui change, c’est la finesse apparente du classement et la difficulté d’expliquer pourquoi un dossier est passé devant un autre. Un score compris entre 0 et 100 a l’air objectif. Il est le produit d’un apprentissage sur des décisions humaines passées, avec tout ce qu’elles contenaient.
Le droit français ne s’intéresse pas à la technologie employée. Il pose trois questions : le candidat le savait-il, le critère a-t-il un lien direct avec le poste, et l’employeur peut-il le démontrer.
La confusion la plus fréquente consiste à ranger tous ces outils sous l’étiquette « assistant conversationnel ». Le tri de candidatures relève d’abord de l’IA classique, celle qui classe et prédit plutôt que celle qui rédige : un modèle reçoit un CV converti en vecteurs numériques et produit un score de correspondance avec une offre.
Ce score s’obtient par apprentissage supervisé : on montre au système des milliers de couples candidature et décision, et il ajuste ses paramètres pour reproduire ces décisions. La conséquence est directe. Un modèle entraîné sur l’historique d’une entreprise n’apprend pas à identifier les meilleurs profils, il apprend à identifier les profils que cette entreprise a recrutés. Si le service comptait 90 % d’hommes de moins de 40 ans, le système considère cette configuration comme le signal du succès.
Les modèles de langage entrent tout de même dans la chaîne, mais plus tard : rédaction de l’offre, résumé d’un entretien, comparaison de deux dossiers, préparation de questions. Ces usages relèvent d’une logique différente, avec un risque différent, celui des inventions plausibles quand le modèle résume un parcours et lui ajoute un diplôme qu’il n’a pas.
Le code du travail, le RGPD et le règlement européen sur l’IA superposent des obligations qui ne se remplacent pas. Les confondre est la cause la plus banale d’irrégularité.
| Qui doit être informé | Sur quoi | Quand | Forme |
|---|---|---|---|
| Le candidat | Les méthodes et techniques d’aide au recrutement utilisées | Préalablement à leur mise en œuvre | Information expresse, donc visible et écrite, pas une ligne perdue en pied de page |
| Le candidat, au titre du RGPD | Finalités, base légale, destinataires, durée de conservation, droits, existence d’une décision automatisée | Au moment de la collecte | Mention d’information accessible depuis le formulaire |
| Le comité social et économique | Les méthodes ou techniques d’aide au recrutement et leurs modifications | Préalablement à leur utilisation | Information, sans obligation de recueillir un avis |
| Les représentants des travailleurs et les travailleurs concernés | La mise en service d’un système à haut risque sur le lieu de travail | Avant la mise en service, à compter du 2 août 2026 | Information au titre du règlement européen sur l’IA |
La troisième ligne mérite qu’on s’y arrête, car elle est souvent durcie à tort. Sur les méthodes de recrutement, le CSE est informé. Sur les moyens ou techniques permettant un contrôle de l’activité des salariés, il est informé et consulté, ce qui suppose un avis rendu dans un délai. Un même outil peut relever des deux régimes s’il sert aussi à mesurer la performance des recruteurs. Le détail de ce partage et la manière de l’écrire figurent dans notre article sur la charte d’usage de l’IA en entreprise.
Une quatrième obligation, moins connue, interdit de collecter une information concernant personnellement un candidat par un dispositif qui ne lui a pas été préalablement porté à connaissance. Elle vise les vérifications discrètes : recherche automatisée sur les réseaux sociaux, agrégation de traces publiques, croisement avec une base externe.
Personne ne programme un critère de sexe ou d’origine. Le risque réel est ailleurs : dans les variables de substitution, ces données anodines qui portent l’information interdite.
Le droit français protège plus d’une vingtaine de critères. Certains sont propres à la France et surprennent les outils conçus ailleurs : le lieu de résidence, le nom de famille, l’apparence physique, la domiciliation bancaire, la particulière vulnérabilité résultant de la situation économique, la capacité à s’exprimer dans une langue autre que le français. Or ce sont précisément les variables qu’un modèle reconstitue sans effort.
La discrimination indirecte est définie par la loi comme une disposition apparemment neutre qui entraîne un désavantage particulier pour des personnes en raison d’un critère protégé, sauf justification objective par un but légitime et des moyens nécessaires et appropriés. Un filtre sur l’absence d’interruption de carrière est neutre en apparence. Il écarte mécaniquement les parcours marqués par un congé parental ou une maladie longue.
C’est le point que les directions comprennent le plus tard. En matière de discrimination, la charge de la preuve est aménagée : le candidat présente des éléments de fait laissant supposer l’existence d’une discrimination directe ou indirecte, et il revient alors à l’employeur de prouver que sa décision est justifiée par des éléments objectifs étrangers à toute discrimination.
Un recruteur humain justifie sa décision avec une grille d’entretien, des notes, une comparaison de compétences. Un employeur qui a délégué le premier tri à un système dont il ne connaît ni les variables, ni les poids, ni les données d’entraînement, se retrouve dans l’incapacité de produire cette preuve. L’argument « c’est l’algorithme du prestataire » ne fonctionne pas : le responsable de traitement et le décideur restent l’entreprise qui recrute.
La parade est documentaire, pas technique. Elle suppose de conserver, pour chaque campagne, la description des critères et leur lien avec la fiche de poste, les seuils appliqués, le volume de candidatures à chaque étape, les taux de sélection agrégés, et la trace de l’examen humain des dossiers écartés à la limite du seuil. Ce sont ces éléments qui se produisent devant un juge, pas le modèle.
Le RGPD pose un principe : une personne a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques la concernant ou l’affectant de manière significative. Un rejet de candidature entre dans cette catégorie.
L’exception la plus mobilisée est l’exécution d’un contrat, difficile à soutenir avant toute embauche. Reste donc l’intervention humaine. Encore faut-il qu’elle soit réelle : une personne qui valide en bloc une liste de 300 refus sans ouvrir les dossiers ne constitue pas une intervention humaine au sens du texte. Le critère retenu est la capacité effective de la personne à modifier le résultat, avec l’autorité et l’information nécessaires pour le faire.
En pratique, cela signifie trois choses : le système classe mais ne rejette pas, le seuil de bascule est documenté, et une partie des dossiers situés juste sous le seuil est relue manuellement. L’articulation générale entre protection des données et systèmes d’IA est traitée dans notre article sur le RGPD appliqué à l’intelligence artificielle.
L’entretien vidéo différé, où le candidat répond seul à des questions affichées à l’écran, n’est pas illicite en soi. Le candidat sait qu’il est filmé, il choisit de participer, et l’enregistrement sert à l’évaluation des réponses.
Ce qui bascule, c’est l’analyse automatique du non-verbal. Déduire d’un regard, d’un débit de parole ou d’une micro-expression une motivation, un stress ou une sincérité revient à collecter une information sans lien direct et nécessaire avec l’aptitude professionnelle, ce que le code du travail interdit. Le règlement européen va plus loin : la reconnaissance des émotions sur le lieu de travail figure parmi les pratiques d’IA interdites depuis février 2025, hors raisons médicales ou de sécurité, et l’interdiction ne se lève pas par consentement.
S’ajoute une difficulté de fond : rien n’établit qu’un état émotionnel se lise de façon fiable sur un visage, encore moins à travers les cultures, les âges et les situations de handicap. Un outil qui pénalise l’absence de contact visuel désavantage mécaniquement une personne autiste ou malvoyante, ce qui touche un critère protégé.
Le règlement européen sur l’IA range dans son annexe consacrée à l’emploi trois usages : la diffusion ciblée d’offres d’emploi, l’analyse et le filtrage des candidatures, l’évaluation des candidats. Ils sont classés à haut risque, catégorie dont les obligations deviennent applicables le 2 août 2026.
Pour l’entreprise qui utilise l’outil sans l’avoir conçu, le rôle est celui de déployeur. Les obligations sont concrètes : utiliser le système conformément à la notice, confier la surveillance humaine à des personnes compétentes et disposant de l’autorité nécessaire, veiller à la pertinence des données d’entrée, conserver les journaux, informer les représentants des travailleurs avant la mise en service, et suspendre l’usage en cas de risque identifié. Le détail de la répartition entre fournisseur et déployeur figure dans notre article sur les obligations attachées aux systèmes à haut risque, et l’enchaînement des échéances dans celui consacré au calendrier du règlement européen.
Un point intéresse directement les candidats : le règlement ouvre, pour les décisions prises sur la base d’un système à haut risque et produisant des effets juridiques ou significatifs, un droit à obtenir des explications claires sur le rôle du système dans la décision et sur les principaux éléments qui l’ont motivée.
Du côté des recruteurs, le gain le plus immédiat ne vient pas de l’outil de tri mais de l’amont : une fiche de poste dont chaque exigence est reliée à une tâche réelle réduit mécaniquement le nombre de critères contestables. Écrire cette grille avec un assistant est légitime, à condition de partir d’un gabarit stable, comme celui que produit notre constructeur de consigne, et de relire chaque critère en se demandant ce qu’il exclut.
La question utile n’est pas « cet outil est-il biaisé ». Tous le sont à un degré ou à un autre. La question est : suis-je capable, dans six mois, de reconstituer pourquoi ce dossier précis est passé et pourquoi celui-là ne l’est pas, avec des éléments qu’un tiers peut vérifier ?
Si la réponse est non, l’outil ne fait pas gagner du temps, il transfère un risque. Et ce risque revient toujours à l’employeur, jamais au fournisseur. La même logique de traçabilité vaut pour tout ce que l’entreprise fait produire à un modèle, y compris les comptes rendus automatiques de réunion qui servent parfois de base à une décision.
Oui, à quatre conditions cumulatives. Le candidat doit avoir été expressément informé du recours à cette méthode avant son utilisation. Les critères doivent présenter un lien direct et nécessaire avec le poste proposé. Le refus final ne doit pas résulter du seul traitement automatisé. Et l’employeur doit pouvoir justifier après coup, critère par critère, que le classement ne reproduit aucun des critères protégés par la loi. La difficulté tient rarement à la première condition, presque toujours à la quatrième.
Il peut demander l’accès aux données le concernant et, lorsque la décision est automatisée, des informations utiles sur la logique sous-jacente ainsi que les conséquences prévues du traitement. L’organisme dispose d’un mois pour répondre, prolongeable de deux mois pour une demande complexe. Cette demande relève de l’exercice ordinaire de vos droits sur vos données personnelles. En revanche, aucun texte n’impose de motiver un refus d’embauche en tant que tel.
La CNIL retient une durée de deux ans à compter du dernier contact avec le candidat, à condition que celui-ci en ait été informé et puisse s’y opposer. Au-delà, les données doivent être supprimées, y compris dans la base de la plateforme de recrutement et dans les sauvegardes selon leur cycle de rotation. Une candidature spontanée conservée cinq ans dans un vivier, sans information ni possibilité d’effacement, constitue un manquement autonome, indépendant de toute question de discrimination.
L’enregistrement lui-même est possible si le candidat en est informé et si l’analyse porte sur le contenu des réponses. Ce qui pose problème, c’est l’analyse automatique du visage, du regard, de la voix ou du débit pour en déduire un état émotionnel, une motivation ou une sincérité. Ce type d’inférence ne présente aucun lien direct et nécessaire avec l’aptitude professionnelle, et la reconnaissance des émotions est par ailleurs interdite sur le lieu de travail par le règlement européen depuis février 2025.
Non, et le détecter est de toute façon peu fiable. Les outils censés reconnaître un texte produit par un modèle donnent des taux de fausses accusations élevés, particulièrement sur des candidats qui écrivent dans une langue apprise ou dans un style très formaté. Écarter quelqu’un sur ce fondement revient à créer un nouveau critère arbitraire, sans lien avec le poste. La parade n’est pas la détection : c’est une mise en situation concrète, dont le résultat s’observe directement.
Les liens ci-dessus renvoient vers les textes et les organismes cités. Les dates de consultation sont celles de la dernière relecture, le 13 septembre 2026.
Dans ce thème
Dans la rubrique
Modèles de langage, IA générative, deepfakes et règlement européen sur l’IA, expliqués sans hype ni panique.