Comment utiliser l'IA en recrutement de manière légale en 2026 : guide complet pour les systèmes à haut risque

1. Quels sont les systèmes d'IA de recrutement classés « haut risque » ?

L'EU AI Act (Règlement (UE) 2024/1689) classe comme « haut risque » les systèmes d'IA utilisés pour évaluer, classer ou filtrer des candidats dans le cadre d'un recrutement. Cela inclut :

• Les outils de scoring de CV basés sur l'apprentissage automatique
• Les analyses vidéo (expressions faciales, ton de la voix) lors d'entretiens
• Les chatbots qui évaluent les compétences des candidats
• Les systèmes de matching entre offres et profils
• Les tests psychométriques automatisés

Selon la CNIL (délibération n°2025-012), tout outil d'IA qui influence ou prend une décision de recrutement est présumé haut risque. Une exception existe pour les systèmes de tri purement administratif (ex : vérification de présence de pièces jointes) sans évaluation humaine.

« L'EU AI Act impose que tout système d'IA utilisé en recrutement soit soumis à une évaluation de conformité avant sa mise sur le marché. En 2026, la plupart des solutions SaaS doivent afficher un marquage CE spécifique. »

— Maître Sophie Delacroix, avocate spécialisée en droit du numérique, cabinet Delacroix & Associés

2. Les obligations de transparence et d'information envers les candidats

Le RGPD (articles 13 et 14) combiné à l'EU AI Act (article 13) impose une transparence totale. Chaque candidat doit être informé :

• Que ses données sont traitées par un système d'IA pour l'évaluation
• De la logique algorithmique utilisée (fonctionnalités principales)
• Des critères de décision (ex : compétences clés, expérience, soft skills)
• De son droit d'accès et de rectification des données
• De la possibilité de demander une intervention humaine

La CNIL précise que l'information doit être donnée avant le dépôt de candidature, dans une rubrique dédiée. Un simple lien vers une politique de confidentialité générique ne suffit pas.

« En 2025, la CJUE a confirmé (affaire C-456/24) que l'absence d'information préalable sur l'utilisation d'un système de scoring automatisé constitue un manquement grave au RGPD, ouvrant droit à des dommages et intérêts pour le candidat. »

— Arrêt CJUE, 12 juin 2025, affaire C-456/24, « Dubois c/ Société Recrutech »

3. Analyse d'impact et gestion des risques : l'AIPD obligatoire

L'article 35 du RGPD impose une Analyse d'Impact relative à la Protection des Données (AIPD) pour les traitements susceptibles d'engendrer un risque élevé pour les droits des personnes. L'utilisation d'IA en recrutement entre dans ce cadre. L'EU AI Act (article 9) ajoute une gestion des risques spécifique :

• Identification des risques de biais (genre, origine, âge)
• Analyse des erreurs potentielles (faux positifs/négatifs)
• Mesures de mitigation (audits réguliers, correction des données d'entraînement)
• Documentation complète dans un registre des traitements

La CNIL a publié un modèle d'AIPD spécifique pour l'IA RH (disponible sur IAOfficiel.fr). Depuis 2026, toute AIPD doit être transmise à la CNIL si le système utilise des données biométriques ou des profils basés sur l'IA générative.

« L'AIPD n'est pas une simple formalité. Elle doit démontrer que le système n'entraîne pas de discrimination systémique. En 2026, la CNIL a déjà sanctionné deux entreprises pour absence d'AIPD préalable (amendes de 350 000 € et 500 000 €). »

— Maître Julien Lefèvre, avocat en droit des données, cabinet Lefèvre & Partners

4. Droit à l'intervention humaine et contestation des décisions

L'article 22 du RGPD et l'article 14 de l'EU AI Act garantissent aux candidats le droit de ne pas être soumis à une décision exclusivement automatisée. Concrètement :

• Le candidat peut demander une révision humaine de la décision
• L'employeur doit désigner un référent humain capable d'expliquer et de contester le résultat
• Le délai de réponse ne peut excéder 30 jours (recommandation CNIL)
• Le candidat peut fournir des éléments supplémentaires (ex : lettre de motivation, recommandations)

La jurisprudence 2026 (Tribunal de Lyon, 14 janvier 2026, n°25/00123) a jugé que l'absence d'intervention humaine dans un processus de présélection de CV constituait un licenciement abusif pour le candidat non retenu.

« Le droit à l'intervention humaine n'est pas un simple gadget. L'employeur doit prouver que la personne en charge de la révision a les compétences et l'autonomie nécessaires pour modifier la décision. »

— Décision CNIL, 3 mars 2026, sanction n°SAN-2026-004

5. Non-discrimination et contrôle des biais algorithmiques

L'article 10 de l'EU AI Act impose un contrôle des biais pour les systèmes haut risque. Les critères protégés (genre, origine, âge, handicap, orientation sexuelle, etc.) ne doivent pas influencer la décision. Les obligations incluent :

• Audit régulier des données d'entraînement (au moins une fois par an)
• Test de discrimination sur des jeux de données synthétiques
• Correction des biais identifiés (rééquilibrage, suppression de variables sensibles)
• Rapport de transparence publié sur le site de l'entreprise

La CNIL recommande d'utiliser des métriques de fairness (égalité des chances, impact disparate). En 2026, une entreprise a été condamnée à 1,2 million d'euros pour avoir utilisé un algorithme qui pénalisait les candidatures féminines dans un secteur technique (décision CNIL 2026-045).

6. Sanctions et jurisprudence 2025-2026

Le non-respect des règles expose à des sanctions financières lourdes :

• EU AI Act : amende jusqu'à 7% du chiffre d'affaires mondial ou 35 millions d'euros (le plus élevé)
• RGPD : amende jusqu'à 20 millions d'euros ou 4% du CA mondial
• Sanctions pénales : possible interdiction d'exercice pour les dirigeants en cas de discrimination systémique

Jurisprudence notable en 2026 :

• CJUE, 12 juin 2025 (affaire C-456/24) : obligation d'information préalable sur l'IA
• CNIL, 3 mars 2026 (SAN-2026-004) : défaut d'intervention humaine dans un outil de matching
• CA Paris, 15 janvier 2026 (n°25/00123) : licenciement abusif pour absence de transparence algorithmique
• CNIL, 2 février 2026 (SAN-2026-012) : non-réalisation d'AIPD pour un système de scoring

« Les sanctions de 2026 montrent une volonté ferme des régulateurs. Les entreprises ne peuvent plus se cacher derrière la complexité technique. La conformité est un investissement, pas une option. »

— Maître Antoine Rivière, avocat en droit européen, cabinet Rivière & Associés

7. Procédure de mise en conformité pas à pas

Voici les étapes concrètes pour utiliser l'IA en recrutement de manière légale en 2026 :

1. Auditer tous les outils d'IA utilisés dans le processus de recrutement
2. Classifier chaque système selon l'EU AI Act (haut risque ou non)
3. Réaliser une AIPD complète avec analyse des biais
4. Rédiger les notices d'information pour les candidats (transparence)
5. Mettre en place un processus d'intervention humaine avec désignation d'un référent
6. Auditer les données d'entraînement et corriger les biais identifiés
7. Documenter toutes les étapes dans un registre des traitements
8. Former les équipes RH à l'éthique et à la réglementation IA
9. Publier un rapport de transparence annuel sur le site de l'entreprise
10. Prévoir un audit externe annuel par un organisme accrédité

La CNIL propose un guide pratique « IA et recrutement : les 10 questions à se poser » disponible sur IAOfficiel.fr.

« La conformité n'est pas un projet ponctuel. C'est un processus continu qui doit être intégré dans la gouvernance des données de l'entreprise. »

— Maître Philippe Lefort, avocat en droit des technologies, cabinet Lefort & Partners

8. Questions fréquentes (FAQ)