IA recrutement légal certification : guide 2026 pour la conformité haute risque

1. Comprendre la classification haute risque dans le recrutement

L'article 6 de l'EU AI Act, modifié par le règlement d'exécution (UE) 2025/2100, classe systématiquement comme haute risque tout système d'IA utilisé pour le recrutement, la sélection ou l'évaluation des candidats. Sont concernés : les outils de tri de CV, les chatbots d'évaluation, les analyseurs de vidéo-entretiens, et les systèmes de scoring prédictif.

« La présomption de haute risque est irréfragable pour les outils de recrutement depuis le 1er janvier 2026. Même un système simple de classement par mots-clés entre dans le champ si son résultat influence une décision d'embauche. » — Me Sophie Delattre, avocate au barreau de Paris, spécialiste droit du numérique

Critères cumulatifs de la classification

Pour être qualifié haute risque, le système doit répondre à deux conditions : (1) être utilisé dans le domaine de l'emploi (article 6(2) a), et (2) avoir un impact significatif sur la carrière professionnelle des personnes. La Commission a publié des lignes directrices le 15 janvier 2026 précisant que tout outil générant un score ou un classement utilisé par un recruteur humain est inclus.

Exemptions limitées

Les systèmes purement administratifs (ex : vérification automatisée des diplômes sans évaluation) sont exclus, à condition qu'ils n'effectuent aucun jugement de valeur. La charge de la preuve incombe au déployeur. Depuis l'arrêt CJUE du 12 décembre 2025, toute exemption doit être notifiée à la CNIL via un formulaire dédié.

2. Les étapes clés de la certification EU AI Act

La certification d'un système d'IA recrutement légal certification suit un processus en quatre phases obligatoires, défini par le règlement (UE) 2025/2100 et la norme harmonisée EN 2026-IAHR.

Phase 1 : Évaluation de conformité interne (article 43)

Le fournisseur doit établir une documentation technique complète (annexe IV) et mettre en place un système de gestion des risques. Pour les outils de recrutement, l'évaluation doit inclure des tests de biais algorithmiques (genre, origine, âge) avec des jeux de données représentatifs. Un rapport d'évaluation doit être signé par un responsable juridique.

« L'auto-évaluation n'est plus suffisante depuis 2026. Tout système haute risque doit passer par un organisme notifié pour la partie 'biais et équité'. Les seuls systèmes exemptés sont ceux déjà certifiés par un schéma de certification approuvé par la CNIL. » — Me Antoine Lefèvre, expert en conformité IA, cabinet Lefèvre & Associés

Phase 2 : Intervention d'un organisme notifié

Depuis le 1er janvier 2026, l'organisme notifié (ex : AFNOR Certification, Bureau Veritas) vérifie la conformité de la documentation, des processus de test et de la gestion des risques. Il effectue un audit sur site. Le coût moyen pour un outil de recrutement est estimé entre 15 000 € et 40 000 € selon la complexité.

Phase 3 : Marquage CE et déclaration de conformité

Une fois l'audit réussi, le fournisseur appose le marquage CE et rédige une déclaration de conformité UE. Celle-ci doit être mise à disposition du public sur le site du fournisseur. La CNIL recommande d'y inclure un résumé des performances en matière de non-discrimination.

Phase 4 : Enregistrement dans la base de données EU

Le système doit être enregistré dans la base de données européenne gérée par la Commission (article 60). Depuis mars 2026, un numéro d'enregistrement unique est exigé pour toute utilisation commerciale. Le défaut d'enregistrement est passible d'une amende administrative.

3. Articulation RGPD – EU AI Act : l'AIPD renforcée

L'IA recrutement légal certification impose une analyse d'impact relative à la protection des données (AIPD) renforcée, conformément à l'article 35 du RGPD et à l'article 27 de l'EU AI Act. La CNIL a publié une version révisée de son guide AIPD en janvier 2026, spécifique aux IA haute risque.

Contenu obligatoire de l'AIPD pour le recrutement

L'AIPD doit désormais inclure : (1) une cartographie des flux de données incluant les catégories particulières (origine, opinions politiques, etc.) si l'outil les traite indirectement ; (2) une évaluation des risques de discrimination systémique ; (3) les mesures de minimisation des biais ; (4) l'avis du DPO obligatoire.

« L'AIPD n'est pas un simple document administratif. Dans le cadre du contentieux, c'est la pièce maîtresse pour démontrer la conformité. L'arrêt CJUE C-487/24 a jugé qu'une AIPD incomplète équivaut à une absence de conformité, même si le système est certifié par ailleurs. » — Me Claire Fontaine, DPO externalisé et avocate en droit numérique

Licéité du traitement : base légale adaptée

Pour les outils de recrutement, la base légale ne peut plus être uniquement l'intérêt légitime (article 6(1)(f)) depuis la décision CNIL 2026-001. L'exécution de mesures précontractuelles (article 6(1)(b)) est privilégiée, mais nécessite une information explicite du candidat sur l'utilisation de l'IA. Le consentement n'est valable que s'il est libre et spécifique, ce qui est rarement le cas en contexte de recrutement.

4. Transparence et droits des candidats : les nouvelles exigences 2026

La transparence est au cœur de la certification. L'article 13 de l'EU AI Act, complété par les lignes directrices de l'EDPB du 20 janvier 2026, impose une information claire et accessible aux candidats.

Information préalable obligatoire

Avant l'utilisation de l'outil, le candidat doit être informé : (a) de l'existence d'un système d'IA, (b) de son fonctionnement essentiel (critères de scoring), (c) de la possibilité de demander une intervention humaine, (d) du droit d'obtenir une explication individualisée. Cette information doit être fournie dans un format compréhensible, de préférence en langage clair.

Droit d'explication et de contestation

Depuis l'arrêt CJUE C-487/24, tout candidat peut exiger une explication détaillée de la décision individuelle. L'explication doit inclure les principaux facteurs ayant influencé le score, leur pondération relative, et la logique globale du système. Un refus d'explication est considéré comme un traitement illicite.

« Le droit d'explication ne se limite pas à une description technique. Il doit permettre au candidat de comprendre pourquoi il n'a pas été retenu. Les fournisseurs doivent développer des interfaces d'explication intelligibles, faute de quoi la certification peut être suspendue. » — Me Julien Mercier, avocat spécialisé en contentieux RGPD

5. Supervision humaine : le cadre de la décision CNIL 2026-001

La décision CNIL 2026-001, publiée le 10 janvier 2026, précise les modalités de la supervision humaine obligatoire pour les systèmes de recrutement haute risque (article 14 EU AI Act).

Qui peut être superviseur ?

Le superviseur doit être une personne physique disposant de l'autorité et des compétences nécessaires pour modifier ou annuler la décision du système. Il ne peut pas être le concepteur de l'outil ni avoir un conflit d'intérêts. La CNIL exige une formation certifiée d'au moins 14 heures sur les biais algorithmiques et le cadre légal.

Obligations de supervision active

Le superviseur doit : (1) examiner un échantillon d'au moins 10 % des décisions automatisées par mois, (2) documenter toute intervention, (3) pouvoir désactiver le système en cas de dérive avérée. Un rapport de supervision trimestriel doit être transmis au DPO et conservé pendant 5 ans.

« La supervision humaine ne doit pas être une simple case à cocher. La CNIL a déjà sanctionné une entreprise pour avoir nommé un superviseur qui n'avait jamais reçu de formation et qui se contentait de valider automatiquement les scores. La supervision doit être effective et documentée. » — Me Sophie Delattre

6. Jurisprudence récente : l'arrêt CJUE du 12 décembre 2025

L'arrêt C-487/24 (Syndicat des recruteurs c. Commission) a fixé des précédents majeurs pour l'IA recrutement légal certification. La Cour a jugé que :

• La classification haute risque s'applique même si l'outil est utilisé en interne sans commercialisation (principe d'effet utile).
• La certification ne dispense pas de respecter le principe de non-discrimination (article 21 Charte des droits fondamentaux). Un système certifié peut être interdit d'utilisation s'il produit des biais systémiques.
• Le droit d'explication s'applique rétroactivement aux décisions prises avant la certification si le système était déjà utilisé.

« Cet arrêt a considérablement renforcé la responsabilité des déployeurs. Même avec une certification en bonne et due forme, l'employeur doit démontrer en continu l'absence de discrimination. La certification n'est pas un bouclier absolu. » — Me Antoine Lefèvre

Conséquences pratiques

Depuis cet arrêt, les audits de certification incluent systématiquement une analyse des biais sur des données réelles de l'entreprise. Les fournisseurs doivent prévoir des mises à jour régulières de leur système pour intégrer les retours des superviseurs.

7. Checklist documentaire pour l'audit de certification

Voici les 12 documents indispensables pour réussir l'audit de votre IA recrutement légal certification :

1. Documentation technique complète (architecture, algorithmes, jeux de données d'entraînement).
2. Rapport d'évaluation des risques incluant les risques de discrimination et les mesures d'atténuation.
3. Rapport de test de biais sur au moins trois jeux de données (genre, origine, âge).
4. AIPD renforcée signée par le DPO et validée par le délégué à la protection des données.
5. Registre des activités de traitement mis à jour avec la mention du système haute risque.
6. Procédure de supervision humaine et justificatifs de formation des superviseurs.
7. Modèle d'information destiné aux candidats (conforme à l'article 13).
8. Procédure de gestion des demandes d'explication et de contestation.
9. Politique de mise à jour du système (gestion des versions).
10. Contrat avec l'organisme notifié et rapport d'audit préliminaire.
11. Déclaration de conformité UE signée.
12. Preuve d'enregistrement dans la base de données européenne.

« L'absence d'un seul de ces documents peut bloquer l'audit. Nous recommandons de constituer un dossier de certification au moins 6 mois avant la mise en service. Les délais d'obtention sont actuellement de 4 à 8 mois. » — Me Claire Fontaine

8. Sanctions et contentieux : comment se préparer

Depuis 2026, les sanctions pour défaut de certification sont dissuasives. La CNIL peut prononcer : (1) une amende administrative jusqu'à 20 millions d'euros ou 4 % du CA mondial, (2) une interdiction temporaire d'utilisation, (3) une injonction de mise en conformité sous astreinte.

Contentieux type

Les principales actions en justice concernent : la discrimination algorithmique (art. 225-1 du Code pénal), le défaut d'information (art. 226-16 du Code pénal), et la violation du RGPD. Les candidats peuvent saisir la CNIL ou les tribunaux civils. En 2025, 12 décisions de justice ont condamné des entreprises pour utilisation d'IA non certifiée.

« La tendance est à la responsabilisation individuelle des dirigeants. En cas de manquement grave, le DPO ou le responsable juridique peut être poursuivi personnellement. La certification est la meilleure protection contre ce risque. » — Me Julien Mercier