Ton logiciel de recrutement a reçu une mise à jour. Dedans, un module de « matching » qui classe les candidatures par pertinence. Personne ne t'a demandé ton avis, et ton équipe RH l'utilise déjà parce qu'il fait gagner deux heures par poste ouvert. Le problème : ce module est exactement le type d'outil que l'AI Act range parmi les usages à haut risque, et le recrutement est une des thématiques prioritaires de contrôle de la CNIL pour 2026.
La réponse courte, état du droit au 12 octobre 2026 : oui, tu peux recruter avec l'IA. Une pratique est déjà interdite, l'analyse des émotions d'un candidat. Le rejet de candidature décidé par la seule machine est déjà encadré par le RGPD. Les obligations propres aux outils qui trient ou notent des candidats arrivent le 2 décembre 2027. Et c'est maintenant qu'il faut s'y mettre, parce qu'une mise en conformité d'outil RH prend des mois.
Ce qui est déjà interdit depuis février 2025
Lire les émotions d'un candidat ou d'un salarié. L'article 5 du règlement (UE) 2024/1689, en application depuis le 2 février 2025, interdit l'usage de systèmes d'IA qui déduisent les émotions d'une personne sur le lieu de travail, sauf raison médicale ou de sécurité. Concrètement, un outil d'entretien vidéo qui prétend mesurer la motivation ou la sincérité d'un candidat à partir de son visage ou de sa voix tombe dedans.
C'est la catégorie des pratiques interdites, avec les amendes les plus lourdes du texte : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial. Si un éditeur te vend encore ce genre de fonction, la conversation est courte.
Ce qui est contrôlé dès maintenant, sans attendre l'AI Act
Le RGPD s'applique déjà à chaque CV qui entre dans ton outil. Son article 22 donne à toute personne le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé qui l'affecte de manière significative. Un refus de candidature envoyé sans qu'un humain ait réellement regardé le dossier, c'est exactement ça.
Et la CNIL a annoncé la couleur. Dans sa liste des contrôles prioritaires 2026 (publiée le 3 avril 2026), le recrutement figure parmi les trois thématiques retenues. Les contrôles visent en priorité les grandes entreprises et les cabinets de recrutement, et portent sur les grands thèmes de son guide de janvier 2023, à commencer par la décision automatisée et l'information des candidats. La CNIL précise que cette thématique préfigure son futur rôle d'autorité de surveillance de l'IA dans le champ du travail.
Dernier point déjà en vigueur : si ton site carrière a un chatbot qui répond aux candidats, il doit dire qu'il est une IA. C'est l'article 50 de l'AI Act, applicable depuis le 2 août 2026. L'obligation pèse sur le fournisseur de l'outil. Si tu l'as fait développer pour toi, le fournisseur, c'est toi.
2 décembre 2027 : ce que l'AI Act exige des outils qui trient ou notent
L'annexe III de l'AI Act classe à haut risque les systèmes d'IA destinés au recrutement ou à la sélection, y compris ceux qui filtrent les candidatures ou évaluent les candidats. Ces obligations devaient s'appliquer le 2 août 2026. Le règlement omnibus (UE) 2026/1744, entré en vigueur le 27 juillet 2026 selon la Commission européenne, les a repoussées au 2 décembre 2027. On a détaillé ce report dans AI Act reporté ou pas.
Ton entreprise est alors « déployeur » de l'outil, et l'article 26 lui fixe des obligations qui se lisent en langage courant :
- utiliser l'outil selon la notice du fournisseur, sans le détourner : un outil de présélection ne devient pas l'outil de la décision finale ;
- confier la supervision à une personne formée, qui a l'autorité réelle de dire non à la machine (un clic de validation automatique ne compte pas) ;
- informer les représentants du personnel et les salariés concernés avant la mise en service, pas après ;
- prévenir les candidats qu'une IA participe à la décision qui les concerne ;
- conserver les journaux de l'outil au moins six mois et signaler tout incident grave.
Côté droit français, l'introduction d'une nouvelle technologie fait déjà partie des sujets sur lesquels le CSE est consulté dans les entreprises d'au moins 50 salariés (article L2312-8 du Code du travail). Les deux calendriers se rejoignent.
Pourquoi ne pas attendre fin 2027
Parce que rien de tout ça ne se règle en une semaine. Il faut renégocier le contrat fournisseur pour savoir qui porte quoi, former les recruteurs qui supervisent l'outil, passer par le CSE et documenter le tout. Et parce que le RGPD n'a pas de calendrier reporté : les contrôles 2026 de la CNIL regardent déjà l'information des candidats et la décision automatisée.
Le piège, c'est l'outil sensible que personne n'a décidé : une fonction ajoutée par l'éditeur dans un logiciel qu'on payait déjà. C'est pour ça qu'un inventaire commence par la liste des logiciels, pas par la liste des projets IA. Exemple déjà raconté dans notre article sur l'AI Act : chez un groupe industriel, trente minutes d'inventaire avec la DRH ont suffi pour trouver un outil de pré-screening de CV qui relevait du haut risque. Personne ne le savait.
On a fait l'exercice sur nous-mêmes dans notre livre blanc sur l'AI Act : nos outils Story Studio et Micro Drama ne trient aucun candidat et n'évaluent aucun salarié. C'est un choix de conception. Cartographier ses usages sert aussi à savoir où on refuse d'aller.
Le geste à poser cette semaine : quatre questions écrites à ton éditeur
Pas besoin d'un cabinet pour démarrer. Prends ton logiciel de recrutement et envoie ces quatre questions par écrit à l'éditeur :
- Votre outil note-t-il ou classe-t-il des candidats, et cette fonction est-elle activée chez nous ?
- Le classez-vous à haut risque au sens de l'annexe III de l'AI Act ?
- Qui est responsable de quoi entre nous, et quelle notice d'utilisation nous fournissez-vous ?
- Où sont conservés les journaux de fonctionnement, et comment y accédons-nous ?
Garde les réponses dans un registre. Un tableur suffit. Un éditeur qui ne répond pas, c'est déjà une information.
Ensuite, ce sont les recruteurs qu'il faut former : l'article 4 de l'AI Act, en application depuis février 2025 et assoupli par l'omnibus, demande déjà aux entreprises de prendre des mesures pour développer la maîtrise de l'IA de leurs équipes, et la supervision humaine de 2027 ne vaut que si la personne qui supervise sait ce que fait l'outil. On a mis le mode d'emploi côté plan de formation sur la page formation IA obligatoire et AI Act. L'IA, elle, ne fera pas ce travail à ta place.
Tu veux savoir quels outils RH de ton entreprise relèvent du haut risque, et ce que ça change pour ton équipe recrutement ? On fait l'inventaire avec toi lors d'un audit IA, ou on commence par un échange de 20 minutes.
Prendre contact →Questions fréquentes
A-t-on le droit de trier automatiquement les CV avec l'IA ?
Oui, pour aider au tri, pas pour décider seul. Le RGPD (article 22) encadre strictement la décision fondée exclusivement sur un traitement automatisé : en pratique, un humain doit réellement examiner le dossier avant un refus. À partir du 2 décembre 2027, un outil qui filtre ou classe des candidatures est aussi un système à haut risque au sens de l'AI Act, avec supervision humaine et information des candidats.
Faut-il former les recruteurs qui utilisent un outil d'IA ?
Oui. L'article 4 de l'AI Act, en application depuis février 2025 et assoupli par l'omnibus de 2026, demande aux entreprises de prendre des mesures pour développer la maîtrise de l'IA de leurs équipes. Pour un outil de recrutement à haut risque, la supervision exigée à partir de décembre 2027 doit être confiée à des personnes formées, qui ont l'autorité de contredire l'outil.
