Recruter avec l'IA : ce que le droit autorise, ce qu'il interdit.

Il faut commencer par le droit, et non par les outils, pour une raison simple : le recrutement est le seul usage d'IA en PME que le législateur européen a nommé explicitement, et il l'a nommé pour l'encadrer. Une PME qui découvre ce cadre après avoir installé un logiciel de scoring de candidatures a un problème coûteux. Une PME qui le connaît d'abord a un avantage : la méthode conforme est aussi la méthode qui recrute mieux.

Le cadre juridique, d'abord

Ce que dit l'AI Act

Le règlement (UE) 2024/1689 classe certains usages de l'IA à haut risque, et il les liste à son annexe III. Le point 4 est consacré à l'emploi. Le point 4 (a) de l'annexe III vise les systèmes d'IA « destinés à être utilisés pour le recrutement ou la sélection de personnes physiques, en particulier pour diffuser des offres d'emploi ciblées, analyser et filtrer les candidatures et évaluer les candidats ». Le point 4 (b), lui, vise les décisions affectant les conditions de travail, la promotion, la rupture du contrat, l'attribution des tâches et le suivi de la performance, c'est le terrain de l'entretien annuel, que nous traitons à part.

Ce classement n'est pas une interdiction : c'est un régime d'obligations pour celui qui fournit ou déploie un tel système, gestion des risques, qualité des données, journalisation, information, supervision humaine. Pour les systèmes de l'annexe III, ces obligations s'appliquent au 2 décembre 2027, et non au 2 août 2026 comme l'annonçait le calendrier initial : le règlement (UE) 2026/1744, dit Digital Omnibus on AI, publié au Journal officiel de l'Union européenne le 24 juillet 2026 et en vigueur depuis le 27 juillet 2026, a déplacé cette échéance. Nous avons repris le calendrier de l'AI Act échéance par échéance, en séparant ce qui a été reporté de ce qui s'applique déjà.

Il faut désamorcer tout de suite le contresens que ce report provoque immanquablement : il ne dispense de rien aujourd'hui. Ce qui encadre le tri de candidatures en 2026, ce n'est pas l'AI Act, c'est l'article 22 du RGPD : applicable pleinement depuis le 25 mai 2018, sans échéance à attendre. Le report déplace le calendrier de la documentation technique du haut risque, pas la licéité de la décision. Ce qu'il change réellement, c'est qu'une PME a désormais le temps de mettre son processus de recrutement au propre sans précipitation, plutôt que de le découvrir sous contrainte.

Le point de discernement, pour une PME de 40 salariés, est celui-ci : un assistant généraliste à qui vous demandez de reformuler une fiche de poste n'est pas un système de recrutement à haut risque ; un logiciel qui note et classe vos candidats l'est. Si vous achetez le second, demandez au fournisseur sa documentation de conformité, c'est son obligation, pas la vôtre, mais c'est vous qui déploierez le système. Rappelons au passage que le même règlement impose depuis le 2 février 2025, par son article 4, un niveau suffisant de maîtrise de l'IA au personnel qui l'utilise ; nous en détaillons la portée réelle dans notre article sur l'obligation de formation introduite par l'AI Act.

Deux distinctions décident donc de tout, et il vaut mieux les avoir en tête avant d'ouvrir un contrat. La première sépare ce qui prépare une décision de ce qui la prend : rédiger une offre d'emploi ne relève pas de l'annexe III, trier des candidatures oui. La seconde sépare les rôles : une PME qui utilise un outil du marché est déployeur, et porte six obligations, pas la conformité complète du système, qui incombe à son fournisseur. Nous avons mis ces deux distinctions à l'épreuve des huit domaines de l'annexe III dans un autodiagnostic à faire une fois, usage par usage : l'emploi n'est que l'un des huit, et beaucoup de PME découvrent qu'elles sont concernées par un point auquel elles n'avaient pas pensé.

Ce que dit l'article 22 du RGPD

Le second texte est plus ancien et plus tranchant. L'article 22 du RGPD pose que la personne concernée « a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l'affectant de manière significative de façon similaire ». Un rejet de candidature affecte significativement une personne : il entre dans ce champ.

Le même article prévoit, dans les cas où un traitement automatisé est admis, des garanties minimales : le droit d'obtenir une intervention humaine du responsable du traitement, d'exprimer son point de vue et de contester la décision. Traduit en pratique de recrutement : le mot important est « exclusivement ». Un score qui hiérarchise l'ordre de lecture d'une pile de candidatures, suivi d'une lecture humaine effective de chaque dossier, n'est pas une décision exclusivement automatisée. Un filtre qui met 60 dossiers à la corbeille avant qu'aucun humain ne les ouvre en est une.

Cette nuance paraît fine. Elle est en réalité la charnière de tout l'article, et elle a une conséquence opérationnelle immédiate : l'intervention humaine doit être réelle, pas nominale. Un recruteur qui valide 200 rejets en quatre minutes n'exerce pas une intervention humaine ; il signe une décision automatisée. C'est pour cela que nous recommandons de dimensionner la grille de critères de façon à garder un volume de lecture humainement tenable, quitte à resserrer le sourcing en amont.

Ce que la CNIL va contrôler en 2026

Le sujet n'est pas théorique. La CNIL a annoncé que le recrutement figure parmi ses thèmes de contrôle prioritaires pour 2026, et elle a précisé les angles : « les systèmes de prise de décision automatisée, l'information des candidats ainsi que les durées de conservation ». Les contrôles viseront d'abord « les grandes entreprises et les cabinets de recrutement », mais la doctrine qui en sortira s'appliquera à tous. La CNIL indique par ailleurs que cette campagne préfigure son futur rôle d'autorité de surveillance du marché dans le champ « travail » au titre du règlement sur l'IA : les deux textes convergent vers le même guichet.

Ce que vous devez dire au candidat

C'est le point le moins connu et le plus facile à traiter. Dans sa fiche destinée aux TPE et PME, la CNIL rappelle que l'employeur doit informer les candidats de l'identité du responsable du traitement, de la finalité, de la base légale, de la durée de conservation et de leurs droits, et que l'utilisation d'algorithmes de tri doit être signalée aux candidats dans cette information initiale. Deux autres règles de la même fiche méritent d'être affichées au mur du service RH : seules les informations permettant d'évaluer les compétences et aptitudes professionnelles peuvent être utilisées, et la durée de conservation d'un CV en vivier n'excède en principe pas deux ans après le dernier contact.

Le guide du recrutement de la CNIL, publié en janvier 2023, va plus loin en dix-neuf fiches : la fiche 13 traite spécifiquement des logiciels de tri et d'évaluation automatisés, et la fiche 11 exige des outils d'évaluation de la personnalité un lien « objectif, direct et nécessaire » avec l'aptitude au poste. Ces documents sont gratuits, courts, et ils règlent 90 % des questions qu'une PME se pose. Le reste de vos réflexes de protection des données est détaillé dans notre article sur les données personnelles confiées à un outil d'IA.

Autorisé, encadré, interdit : le tableau

Voici la synthèse que nous donnons aux équipes RH en formation. Elle tient sur une page et elle se relit avant chaque nouveau recrutement.

Synthèse établie en juillet 2026 à partir de l'annexe III du règlement (UE) 2024/1689, de l'article 22 du RGPD et des publications de la CNIL citées en sources. Elle n'a pas valeur de conseil juridique.

Étape 1 · La fiche de poste, corrigée au lieu d'être rédigée

Le point de départ tient en cinq lignes : intitulé, mission principale, trois compétences indispensables, fourchette de rémunération, particularités du poste (horaires, déplacements, environnement). L'IA en tire une fiche complète et structurée, que le recruteur corrige plutôt que d'écrire. Le gain n'est pas seulement du temps : en partant d'une trame systématique, on oublie moins de choses, les conditions réelles du poste, les perspectives, le déroulé du processus de recrutement annoncé au candidat.

Le geste qui fait la différence : donnez à l'IA deux ou trois de vos meilleures fiches passées comme référence de ton. Une annonce qui sonne comme votre entreprise attire mieux que le jargon RH interchangeable. Cette logique de socle réutilisable, c'est celle du second cerveau : quelques fichiers texte où vit le contexte de l'entreprise, et la structure de la demande elle-même est détaillée dans notre guide pour formuler un prompt qui donne le bon résultat du premier coup.

Tu es responsable du recrutement dans une PME française.
But : rédiger une annonce à partir du brief ci-dessous.
Ton : celui des deux annonces que je te donne en exemple, pas du jargon RH.
Structure : le poste en une phrase · missions concrètes · ce qu'on demande
vraiment (distingue indispensable et souhaitable) · conditions réelles
(horaires, déplacements, environnement) · rémunération · déroulé du
processus de recrutement avec les délais.
Interdits : « esprit start-up », « ninja », « défi passionnant », et toute
formulation qui pourrait écarter un candidat pour un motif étranger
aux compétences (âge, sexe, origine, situation familiale, santé).

Brief : [5 lignes]
Exemples de ton : [2 annonces maison]

Étape 2 · La diffusion déclinée par canal

Une même offre ne se présente pas de la même façon sur un site d'emploi, sur un réseau professionnel et en cooptation interne. Le premier veut une annonce complète et exhaustive ; le deuxième veut trois phrases qui donnent envie de cliquer ; la troisième veut un message qu'un salarié peut transférer sans avoir honte. L'IA produit les trois déclinaisons à partir de la fiche validée, en quelques minutes.

Un point d'attention souvent négligé : la déclinaison réseau social est un exercice d'écriture publique, avec les mêmes règles que le reste de votre communication. Si vous voulez que ce canal produise des candidatures plutôt que du bruit, notre article sur la production de contenu assistée par l'IA donne le cadre, notamment le principe qu'un texte publié sous le nom de l'entreprise se relit comme un engagement.

Étape 3 · La lecture assistée, pas le tri automatique

C'est l'étape sensible, et le vocabulaire compte. Nous ne parlons pas de « tri de CV par IA » mais de lecture assistée, parce que la différence entre les deux est exactement celle que le droit sanctionne. Voici le protocole, dans l'ordre.

• Écrivez la grille avant d'ouvrir les dossiers, cinq à huit critères observables : type de mission déjà exercée, maîtrise d'un outil précis, contrainte de mobilité, diplôme si le poste l'exige réellement. Pas de « bon état d'esprit » à ce stade : ce n'est pas observable dans un dossier.
• Demandez la preuve, pas la note : pour chaque critère, l'IA cite le passage du dossier qui l'atteste, ou écrit « rien dans le dossier ». C'est ce format qui rend la lecture vérifiable, et c'est lui qui vous protège.
• Lisez tous les dossiers : le score sert à choisir l'ordre, pas à réduire le volume. Si le volume est ingérable, le problème est en amont, dans le sourcing ou dans la clarté de l'annonce.
• Comparez vos décisions à la grille le premier mois : quand votre lecture s'écarte de la grille, l'une des deux est mauvaise. C'est l'occasion de corriger la grille, et parfois de découvrir un critère implicite que vous appliquiez sans l'avoir écrit.
• Ne demandez jamais un classement de personnes : la question « qui te semble le meilleur profil ? » sort du cadre autorisé et produit une réponse que personne ne peut expliquer.

Tu es assistant de lecture de candidatures. Tu ne décides rien et tu ne
classes personne.
But : pour la candidature ci-dessous, indiquer critère par critère où se
trouve la preuve dans le dossier.
Grille (écrite avant lecture) :
1. [critère observable]  2. [critère observable]  … jusqu'à 8.
Forme de sortie, un tableau : critère | preuve citée dans le dossier |
« rien dans le dossier » si absent.
Interdits : attribuer une note globale, comparer à d'autres candidats,
recommander de retenir ou d'écarter, commenter la personne, déduire
un âge, une origine, une situation familiale ou un état de santé.
Termine par : « Points à vérifier en entretien » (3 maximum).

Candidature : [coller]

Un mot sur ce que la recherche mesure de ce type d'assistance, parce que cela éclaire à qui elle sert le plus. L'étude publiée au Quarterly Journal of Economics par Brynjolfsson, Li et Raymond a mesuré +14 % de productivité en moyenne avec un assistant IA, et un effet nettement plus fort (de l'ordre de 34 %) chez les personnes les moins expérimentées, l'effet étant minime chez les plus aguerries. Autrement dit : l'IA n'apporte pas grand-chose à un cabinet de recrutement spécialisé, et beaucoup à une PME où le recrutement est une casquette parmi cinq.

Les entreprises qui recrutent en continu méritent une mention à part, parce que c'est là que la tentation du tri automatique est la plus forte : une société de propreté, de sécurité ou de maintenance qui embauche chaque mois reçoit des piles que personne ne peut lire intégralement. La réponse n'est pas d'automatiser le rejet, elle est de resserrer l'annonce et de regarder où se trouve réellement le goulot d'étranglement, qui est presque toujours au siège et non sur le terrain. Les sept postes de travail écrit d'une PME de services à équipes de terrain placent d'ailleurs la gestion du personnel parmi les gisements les plus rentables, à côté des plannings et des comptes rendus d'intervention.

Étape 4 · La préparation d'entretiens structurés

Pour chaque candidat reçu, l'IA prépare un guide : questions ciblées sur les zones d'ombre du dossier, mises en situation liées au poste réel, points à vérifier auprès des références. L'entretien structuré (les mêmes questions de fond pour tous les candidats d'un même poste, dans le même ordre) est ce qui rend une comparaison défendable, et c'est aussi ce qu'une PME sans service recrutement dédié n'a jamais le temps de préparer. C'est exactement le genre de travail que l'assistance rend abordable.

Deux garde-fous. Le premier : le guide sert au recruteur, pas au candidat, et il ne se lit pas mécaniquement, un entretien où l'on suit un script sans écouter ne vaut pas mieux qu'un tri automatique. Le second : ce qui se dit dans l'entretien ne rentre pas dans un outil d'IA. Nous avons expliqué pourquoi dans notre article sur les réunions qu'on n'enregistre pas ; l'entretien de recrutement en fait partie, au même titre que l'entretien disciplinaire.

Étape 5 · Les réponses aux candidats, refus compris

Le point noir du recrutement en PME n'est pas le tri, c'est le silence. Les candidatures sans réponse abîment la marque employeur bien plus durablement qu'une annonce mal écrite, et elles ferment une porte que vous rouvrirez peut-être dans dix-huit mois. Une trame personnalisée par l'IA (prénom, poste, un élément spécifique du dossier) rend possible de répondre à tout le monde en quelques minutes par semaine.

La règle : le motif est celui que vous avez réellement retenu. L'IA met en forme, elle ne motive pas. Un refus qui invoque un motif inventé par la machine est un risque juridique et une malhonnêteté. Un refus court, exact et respectueux, en revanche, laisse un candidat qui reste un ambassadeur, et parfois un client. Sur la mécanique d'envoi et de suivi, les gestes sont les mêmes que ceux décrits dans notre article pour reprendre du temps sur la boîte mail.

La question des biais, sans détour

On entend deux discours opposés et tous les deux faux : « l'IA est objective, elle supprime les biais » et « l'IA est biaisée, elle ne doit pas approcher un recrutement ». La réalité dépend d'une seule variable : la grille.

Une IA à qui l'on demande d'appliquer huit critères observables, écrits avant d'avoir vu les dossiers, identiques pour tous les candidats, rend vos critères explicites et donc discutables. C'est un progrès net sur la lecture d'humeur d'un vendredi soir, où le biais existe aussi mais où personne ne peut le nommer. À l'inverse, une IA à qui l'on demande « qui te semble le meilleur profil ? » reproduit les régularités statistiques de ses données d'entraînement, et personne (pas même son fournisseur) ne peut dire lesquelles ont joué. Le premier usage est défendable devant un candidat, un juge ou un contrôle. Le second ne l'est pas.

Deux précautions concrètes complètent la grille. D'abord, retirez du dossier ce qui n'a rien à voir avec l'aptitude au poste avant de le confier à l'outil : photo, date de naissance, adresse précise, situation familiale. Ensuite, gardez une trace : quelle grille, quelle version, qui a lu, quelle décision. Cette traçabilité est ce que demandera un contrôle, et c'est aussi ce qui rend possible de progresser d'un recrutement au suivant. Écrire ces règles une fois pour toutes dans une politique IA d'une page évite d'avoir à les redécouvrir à chaque poste ouvert, et désigner un référent IA interne donne un endroit où poser les questions.

Une formalité s'ajoute quand l'entreprise a un comité social et économique, et elle se place avant le premier dossier lu. Outiller le recrutement modifie l'organisation du travail et les méthodes d'appréciation des personnes : l'instance doit être informée et consultée avant la mise en œuvre, avec un délai d'un mois à compter de la remise des informations écrites. Ce que risque un déploiement d'IA mené sans consulter le CSE n'est pas une amende mais une suspension ordonnée par le juge, sous astreinte, jusqu'au terme de la consultation, c'est-à-dire au pire moment, quand le processus tourne déjà.

Une dernière remarque de terrain : si vos équipes utilisent déjà des outils d'IA sur des candidatures sans que vous l'ayez décidé, vous n'avez pas un problème de conformité future, vous avez un problème présent. Ce n'est pas une hypothèse : d'après le Work Trend Index 2024 de Microsoft, mené auprès de 31 000 personnes dans 31 pays, 78 % de celles qui utilisent l'IA au travail apportent leurs propres outils, et 80 % dans les petites et moyennes entreprises. C'est le phénomène du shadow AI, et la seule réponse qui fonctionne est de fournir un outil validé plutôt que d'interdire un usage qui répond à un vrai besoin.

Ce qu'on ne délègue jamais

La décision d'écarter ou de retenir. La conduite de l'entretien. La prise de références. La négociation salariale. L'annonce du refus quand elle intervient après un entretien en face à face. L'IA fait la préparation et la mise en forme ; le jugement sur une personne reste une affaire de personnes. Ce n'est pas une position morale ajoutée par prudence : c'est la ligne que trace l'article 22 du RGPD, et c'est aussi la ligne au-delà de laquelle un recrutement cesse d'être défendable.

La recherche donne à cette règle un fondement qui n'a rien de moral. Les travaux de Dell'Acqua et de ses coauteurs, conduits avec le Boston Consulting Group sur 758 consultants et publiés dans Organization Science, mesurent l'effet d'un assistant IA de part et d'autre de ce qu'ils appellent la frontière technologique dentelée. Sur les tâches situées dans le périmètre du modèle : +12,2 % de tâches achevées, 25,1 % plus vite, qualité en hausse de 33,9 %. Sur les tâches situées en dehors : 19 points de solutions correctes en moins. Le point crucial est que le modèle ne signale pas de quel côté de la frontière il se trouve. Juger une personne (un parcours atypique, une reconversion, un trou dans un CV qui a une explication) est exactement le genre de tâche qui tombe du mauvais côté. D'où la règle : l'humain décide.

Cette règle, appliquée sérieusement, a un effet secondaire intéressant : elle améliore le recrutement lui-même. Une grille de critères écrite à l'avance vaut mieux qu'une intuition. Un entretien structuré vaut mieux qu'une conversation à bâtons rompus. Une réponse à tous les candidats vaut mieux que le silence. La conformité, ici, n'est pas un frein, c'est la description d'un processus mieux fait.

Le recrutement n'est qu'un des quatre chantiers du pôle : notre guide de l'IA pour les ressources humaines les replace tous, de l'administration du personnel à l'intégration des nouveaux arrivants. Les questions que vos équipes vous poseront sur l'emploi et l'automatisation trouvent des réponses documentées dans notre article sur ce que les études disent de l'IA et de l'emploi, et le vocabulaire utile (décision automatisée, haut risque, profilage) est défini dans notre lexique IA du dirigeant. L'ensemble de la démarche, elle, est cadrée dans notre guide de l'IA en PME.

Ces cinq étapes constituent le premier module du parcours Ressources humaines de 8 Academy, travaillé sur vos propres annonces et vos propres grilles. Et si l'équipe RH est réticente à l'idée même d'utiliser un tel outil sur des candidatures, c'est souvent le signe qu'elle a compris le risque avant vous : notre article sur les équipes réticentes explique comment transformer cette prudence en méthode plutôt qu'en blocage.

Questions fréquentes