La réglementation va-t-elle bloquer le recrutement par IA ?

Une IA qui lit vos CV et lettres de motivation puis vous convoque, un robot qui vous fait passer des tests et vous reçoit en entretien… Si cela relève en partie de la science-fiction, la diffusion depuis 2023 de l’intelligence artificielle générative et conversationnelle s’est introduite dans de nombreuses pratiques des ressources humaines.

Or son fonctionnement est relativement autonome, basé sur des données d’entraînement et celles qu’elle continue de traiter. Elle donne des réponses selon une logique « probabiliste », c’est-à-dire statistiquement plausibles, et non directement issues d’une base de connaissance. Par conséquent, personne ne peut dire avec exactitude le cheminement précis qui la conduit à rendre telle ou telle réponse. D’où un risque de manque de fiabilité et de discrimination, notamment si les données d’entraînement sont biaisées.

Un exemple célèbre est un recrutement d’Amazon en 2014 où une IA évaluait les CV des candidats. Ceux des femmes étaient systématiquement moins bien notés pour les postes informatiques, car comme elles y sont moins nombreuses, l’IA avait vu en entraînement une majorité de CV masculins et conclu que c’était une caractéristique à privilégier. La firme états-unienne avait suspendu la procédure et abandonné l’outil.

Des obligations déjà fortes dans la législation existante

Face à ces enjeux, l’Union Européenne a voté en 2024 l’AI Act, ou règlement IA, partiellement entré en application le 2 août dernier. Les premières mesures imposent notamment de prévenir les personnes lorsqu’elles sont en communication avec une IA (chat, communication audio, mails), implanter un dispositif de traçage dans tout contenu IA permettant de l’identifier comme tel, et pour les éditeurs, rendre les grands modèles d’IA généraliste mieux contrôlable par l’Union Européenne.

Mais si de nouvelles réglementations peuvent faire frémir des DRH déjà surchargés, aux yeux des professionnels interrogés, ce nouveau règlement est loin d’être une révolution. En effet, l’usage de l’intelligence artificielle générative est déjà réglementé, parfois sans même être nommé, dans le droit européen et français.

Revenons aux fondamentaux : le Code du Travail dispose que les candidats doivent être prévenus de tout dispositif utilisé durant la procédure de recrutement (articles L1221-8 et L1221-9) et que toutes les informations demandées doivent être nécessaires pour évaluer la candidature (article L1221-6) et rester confidentielles. Même si cette règle est déjà loin d’être unanimement respectée, IA ou pas. Il interdit évidemment la discrimination dans le recrutement.

De son côté, le règlement général sur la protection des données (RGPD), au niveau européen, encadre depuis 2018 la protection des données personnelles. Dès que l’IA traite des données personnelles (fréquent lors d’un recrutement), il faut donc s’assurer que son usage respecte le RGPD (données collectées sur une base légale, information des personnes dont les données sont collectées, accès à leurs données, registre des traitements…).

Le RGPD interdit, sauf exceptions (article 22), les décisions entièrement automatisées si elles ont des conséquences juridiques sur les personnes concernées. Par exemple, classer automatiquement un grand volume de candidatures reçues et prendre une décision uniquement sur la base de ce classement, où un humain ne regarderait que les profils les mieux classés. Des candidats dont la candidature ne coche pas tous les mots-clés, ou qui présentent un profil atypique mais pertinent pour le poste, risqueraient d’être écartés sans qu’un humain n’ait ne serait-ce que vu leur profil.

En revanche, un rejet automatique d’un candidat qui a envoyé une candidature spontanée à une entreprise et qu’aucun poste n’y correspond n’est pas illégal, puisque le résultat aurait été strictement identique avec une procédure manuelle. « Le RGPD n’interdit pas totalement les décisions automatisées, il autorise celles qui n’ont pas d’impact important », nuance l’auteur en droit du numérique et juriste Fabrice Mattatia.

Pour la chercheuse en ressources humaines à l’Ieseg Hayley Moore, l’IA peut effectuer un premier tri quand il s’agit de critères extrêmement simples, « vérifier que les candidats ont les diplômes ou les qualifications spécifiques requis », éventuellement présenter des synthèses des profils des candidats, ou effectuer des tâches non liées à de la décision, comme envoyer des mails automatiques suite à la réception d’une candidature, une synthèse de l’entretien, ou expliquer les raisons d’un refus.

Avec ce corpus existant, « des juridictions ont déjà eu à se prononcer sur l’intégration d’outils IA, au nom par exemple de principes fondamentaux », explique l’avocat au barreau de Paris Alexandre Lazarègue. En février 2025, le tribunal judiciaire de Nanterre a ainsi mis un terme au déploiement d’un outil IA de recrutement parce que le comité social et économique de l’entreprise n’avait pas été consulté, alors que le CSE doit être consulté sur les questions d’organisation du travail et l’introduction de nouvelles technologies (article L2312-8).

Une jurisprudence déjà existante

Les experts recommandent, si ce n’est déjà fait, de commencer par une cartographie des usages de l’IA dans l’entreprise (officiels et « shadow IA » utilisés sans autorisation), des données traitées et des risques potentiels, pour ensuite mettre en place les procédures garantissant l’obligation de transparence, ainsi que les chartes et formations.

Alexandre Lazarègue recommande de « tracer les événements pour, s’il y a des plaintes, savoir précisément comment la procédure a fonctionné, démontrer la supervision humaine ». La DGSI (Direction générale de la sécurité intérieure) ou la Cnil (Commission nationale de l’informatique et des libertés) fournissent sur leur site des recommandations aux entreprises avant de mettre en place une IA dans l’entreprise.

Des ajustements peuvent être nécessaires pour adapter le respect des réglementations déjà en vigueur à la mise en place de l’IA. Fabrice Mattatia explique a par exemple adapté ses analyses d’impact sur la protection des données, rendue obligatoire par le RGPD quand le traitement des données fait courir un risque aux droits ou aux libertés des personnes concernées, en ajoutant des champs liés spécifiquement à l’IA, « pour prendre en compte le risque de discrimination, biais, hallucinations, régurgitations, qui ont un impact sur le droit des personnes ».

Des obligations plus fortes à venir pour le recrutement

D’autres obligations du règlement IA ont, elles, été repoussées à décembre 2027 et seront plus conséquentes, aussi bien pour les fournisseurs que pour les organisations utilisatrices (nommées « déployeurs »). D’autant que le texte classe les différents usages de l’IA selon différents niveaux de risque. Certains usages sont classés interdits car considérés comme dangereux, comme évaluer les émotions d’un candidat.

L’usage de l’IA dans le recrutement est, lui, considéré comme un usage à haut risque (abordées dans les articles 16 à 49 du règlement). Les entreprises devront notamment prendre des mesures techniques, d’organisation et de formation, surveiller l’utilisation et dans certains cas tenir un registre.

Comme tout déployeur d’IA à haut risque, les recruteurs devront notamment réaliser une analyse d’impact des droits fondamentaux (AIDF), c’est-à-dire documenter les risques sur les droits fondamentaux que fait encourir l’usage de l’IA dans leur structure et les mesures mises en œuvre pour les réduire.

Sauf que, explique Fabrice Mattatia, pour l’instant il n’est pas précisé en quoi cette analyse différerait de l’analyse d’impact de protection des données. « Les deux obligations ne se superposeront pas, elles vont vraiment s’additionner. L’ennui, c’est qu’aujourd’hui, on ne sait pas exactement ce qu’il faut mettre dans une AIDF. On manque de modèles, aussi bien au niveau européen qu’au niveau de la Cnil ».

Le texte prévoit aussi une obligation d’informer les personnes affectées par une prise de décision assistée par IA, avec notamment l’obligation de pouvoir expliquer clairement le rôle qu’a joué l’IA et la façon précise dont la décision a été prise. Dans le cas du recrutement, cela confirme les obligations du Code du Travail… et les renforce même.

Caroline Diard, chercheuse en management et droit des affaires à TBS Business School prévient également que « l’IA Act impose de documenter les données utilisées pour entraîner le système. Ce qui peut poser des problèmes car il y a probablement une opacité dans les process quand vous faites appel à un prestataire », qui devra être éclaircie, pour savoir par exemple si les données traitées sont des données personnelles, si le consentement a été obtenu… Les fournisseurs vont donc devoir faire preuve de plus de transparence envers leurs clients.

Des poursuites compliquées en pratique ?

Le texte prévoit des sanctions importantes : des amendes pouvant aller jusqu’à 35 millions d’euros ou 7% du chiffre d’affaires mondial. De son côté, la Cnil, l’une des autorités compétentes en la matière, avertit qu’après plusieurs mois de pédagogie sur l’encadrement de l’intelligence artificielle dans les ressources humaines, elle va passer à des sanctions.

Si plusieurs intervenants doutent que les contrôles spontanés soient nombreux, faute de moyens, « Les employeurs ne sont pas à l’abri d’une saisie de leurs salariés ou de candidats auprès de la Cnil, prévient Caroline Diard. Les candidats peuvent saisir un médiateur, l’entreprise, la Cnil, qui mène des enquêtes », sauf à imaginer « une vague de signalements » qui ralentirait les procédures.

« A mon avis, les candidats vont être très exigeants par rapport au respect de ces règles, parce que c’est quelque chose qui relève de l’intime, estime Alexandre Lazarègue. Le fait d’avoir été l’objet d’un choix, positif ou négatif, automatisé, sans l’appréciation d’un humain, peut être ressenti comme une très grande violence ». Même si les professionnels du droit interrogés s’accordent à dire que les procédures seront compliquées pour les plaignants, qui devront apporter des éléments de preuve que l’entreprise a bien utilisé un outil d’IA sans les prévenir, ou a basé sa réponse sur une décision entièrement automatisé, par exemple.

Caroline Diard estime que « quand il y a une annonce de ce genre, il y a une espèce de vent de panique. En réalité, les entreprises déjà conformes vont compléter leurs procédures, mais ce n’est pas non plus la révolution ». Pour elle, comme souvent, « dans les grandes entreprises avec une direction juridique et un délégué à la protection des données, cela ne va pas être un souci. Ma crainte dans cette situation, ce sont les petites structures qui n’ont pas forcément les informations ni la capacité financière de mettre cela en place ». Dans tous les cas, la ligne de conduite doit rester la même, résume Hayley Moore : « La décision finale doit toujours revenir à l’humain, pas à l’IA ».