En bref :
- Dès qu’un outil d’IA traite une donnée RH identifiable (CV, évaluation, pointage), le RGPD s’applique intégralement, que l’outil soit validé en interne ou utilisé librement par un salarié.
- Sanction maximale : 20 millions d’euros ou 4 % du chiffre d’affaires mondial (article 83 du RGPD), le montant le plus élevé étant retenu.
- Le CSE doit être consulté avant le déploiement d’un outil RH utilisant l’IA (article L.2312-8 du Code du travail).
- Trier des candidatures avec l’IA n’est pas interdit, déléguer la décision finale à l’outil peut l’être, en vertu de l’article 22 du RGPD sur les décisions automatisées.
Trier des candidatures, repérer un risque de départ, croiser des résultats d’évaluation : ces trois usages de l’IA en RH traitent des données personnelles au sens du RGPD. Un DRH qui déploie ce type d’outil doit l’encadrer avant de le mettre en place, pas après un contrôle.
Pourquoi le RGPD s’applique à tout usage de l’IA en RH
Toute information se rapportant à une personne identifiée ou identifiable relève du RGPD, qu’elle soit traitée par un logiciel validé par la DSI ou collée dans un outil grand public par un salarié. L’entreprise reste responsable du traitement dans les deux cas, car c’est elle qui détermine les finalités du traitement (article 4 du RGPD).
Un CV, un résultat d’entretien, une donnée de pointage ou un commentaire d’évaluation sont des données personnelles dès qu’ils sont rattachables à une personne. Aucune déclaration préalable à la CNIL n’est exigée, mais les principes du règlement s’appliquent dès la première collecte.
La CNIL identifie cinq manquements récurrents chez les entreprises qui déploient de l’IA sans cadrage :
- absence de base légale, ou finalité du traitement non définie ;
- collecte de données plus large que nécessaire, sans pseudonymisation ni anonymisation préalable ;
- données saisies dans un outil grand public, susceptibles d’être réutilisées par l’éditeur pour entraîner son propre modèle ;
- candidats ou salariés non informés qu’un algorithme intervient dans une décision qui les concerne ;
- droits d’accès, de rectification ou d’effacement impossibles à exercer une fois la donnée absorbée par le modèle.
Chacun peut, à lui seul, déclencher une sanction.
Quelle base légale pour traiter des données RH avec l’IA
Le RGPD impose qu’un traitement repose sur l’une de ses bases légales (article 6). En ressources humaines, quatre bases reviennent le plus souvent, avec des usages et des limites différents.
L’intérêt légitime de l’employeur
L’intérêt légitime peut justifier un usage de l’IA pour, par exemple, détecter des anomalies de pointage ou présélectionner des candidatures. Cette base reste fragile : elle exige une mise en balance documentée entre l’intérêt de l’entreprise et les droits de la personne concernée, surtout pour des données sensibles.
L’exécution du contrat de travail
Certains traitements découlent directement du contrat de travail, comme le calcul de la paie ou le suivi du temps de travail. Cette base ne couvre pas tout : un outil de scoring comportemental, par exemple, dépasse généralement ce qui est nécessaire à l’exécution du contrat.
L’obligation légale
Certains traitements RH, comme la déclaration sociale nominative, reposent sur une obligation légale et non sur un choix de l’employeur. Cette base est la plus solide juridiquement, mais elle ne s’applique qu’aux cas explicitement prévus par la loi.
Le consentement du salarié ou du candidat
Le consentement est rarement une base valable dans la relation de travail. Le lien de subordination fausse le caractère libre du consentement, ce que la CNIL rappelle systématiquement dans ses contrôles RH.
L’obligation d’information des salariés et candidats, et la consultation du CSE
Les articles 13 et 14 du RGPD imposent d’informer les personnes concernées dès lors qu’un outil d’IA intervient dans un processus qui les affecte. Un candidat doit savoir qu’un algorithme participe à l’analyse de sa candidature, et dans quel but.
En droit français, cette obligation se double d’une exigence propre au dialogue social. L’article L.2312-8 du Code du travail impose la consultation préalable du CSE avant l’introduction de toute nouvelle technologie susceptible d’affecter les conditions de travail, et un outil d’IA RH entre dans ce périmètre.
La jurisprudence récente confirme ce point avec fermeté. Le tribunal judiciaire de Nanterre, le 14 février 2025, puis celui de Créteil, le 15 juillet 2025, ont tous deux suspendu le déploiement d’un outil d’IA faute de consultation préalable du CSE. Une entreprise qui déploie un outil sans cette étape s’expose donc à un blocage judiciaire, indépendamment du risque RGPD.
Décisions automatisées : ce que dit l’article 22 du RGPD
L’article 22 du RGPD pose un principe simple. Une personne peut refuser d’être soumise à une décision fondée exclusivement sur un traitement automatisé dès lors que cette décision produit un effet juridique ou l’affecte de manière significative.
Le rejet automatique d’une candidature, selon la CNIL, relève typiquement de cet article. Trier des candidatures avec l’IA n’est pas interdit. Déléguer la décision finale à l’outil peut l’être. La qualification s’apprécie au cas par cas selon le fonctionnement réel du dispositif.
L’article 22 prévoit trois exceptions : la décision nécessaire à l’exécution d’un contrat, une autorisation légale encadrée, ou le consentement explicite de la personne. Dans les deux premiers cas, l’employeur doit garantir une intervention humaine réelle, permettre à la personne d’exprimer son point de vue et de contester la décision.
Cette intervention humaine doit être effective pour compter. Valider un résultat produit par un algorithme sans l’examiner n’offre aucune garantie réelle. Un recruteur qui lit la candidature, exerce son jugement et documente sa décision répond, lui, aux exigences de l’article 22.
Encadrer les fournisseurs et sous-traitants d’intelligence artificielle
Le choix d’un fournisseur d’IA conditionne le niveau de responsabilité de l’entreprise. Lorsque le fournisseur traite les données pour le compte de l’entreprise, il relève du régime du sous-traitant (article 28 du RGPD) et doit être encadré par un contrat précis.
Ce contrat doit couvrir les instructions données au fournisseur, les mesures de sécurité, les conditions de suppression des données en fin de prestation, et la capacité à démontrer la conformité en cas d’audit. Un point est souvent négligé : certains outils grand public réutilisent les données saisies pour améliorer leur modèle, ce qui doit être vérifié avant tout usage professionnel.
C’est précisément ce que la politique IA de Bizneo HR encadre pour ses propres systèmes : une surveillance humaine appropriée sur les décisions pertinentes, une information claire sur le fonctionnement des systèmes d’IA, et une traçabilité des actions soutenues par l’IA, conformément au Règlement européen sur l’intelligence artificielle.
RGPD et règlement européen sur l’IA : deux textes qui se superposent
Le règlement européen sur l’IA (AI Act) ne remplace pas le RGPD, il s’y ajoute. Les obligations du RGPD s’appliquent dès aujourd’hui à tout traitement de données personnelles, y compris via un outil d’IA, indépendamment du calendrier propre à l’AI Act.
L’AI Act classe les outils de recrutement, de présélection et d’évaluation des candidatures parmi les systèmes à haut risque de son annexe III. Le règlement « Digital Omnibus », entré en vigueur le 27 juillet 2026, a reporté au 2 décembre 2027 l’application des obligations spécifiques à ces systèmes, sans suspendre le RGPD qui continue de régir dès maintenant les données traitées par ces outils.
Pour un décideur RH, retenir une règle simple suffit : le RGPD s’applique immédiatement, l’AI Act ajoutera une couche d’exigences supplémentaires à partir de fin 2027 pour les usages à haut risque. Notre article sur le règlement européen sur l’intelligence artificielle détaille ce second texte.
| Texte | Manquement | Sanction maximale |
|---|---|---|
| RGPD | Principes fondamentaux, droits des personnes, transferts hors UE | 20 M€ ou 4 % du CA mondial |
| AI Act | Pratiques interdites (risque inacceptable) | 35 M€ ou 7 % du CA mondial |
| AI Act | Systèmes à haut risque non conformes | 15 M€ ou 3 % du CA mondial |
Comment un outil RH conçu pour la conformité réduit le risque
Un outil RH construit pour la conformité ne se limite pas au recrutement. Les agents IA de Bizneo HR interviennent dans plusieurs domaines RH, chacun avec un principe de supervision humaine intégré plutôt qu’une automatisation de bout en bout.
- Recrutement : les agents trient les candidatures, mènent des entretiens par chat ou par voix, et classent les candidats par compatibilité, le recruteur restant celui qui décide et documente la décision finale, conformément à l’article 22 du RGPD.
- Évaluations : les agents croisent compétences, commentaires et objectifs pour signaler un risque avant l’entretien, laissant le manager prendre la décision en entretien, pas l’algorithme à sa place.
Cette approche s’appuie sur des certifications vérifiables plutôt que sur une promesse marketing. Bizneo HR est certifié ISO 27001, ISO 9001 et ISO/IEC 42001, cette dernière validant spécifiquement un système de management de l’intelligence artificielle responsable, avec des données hébergées dans des instances situées au sein de l’UE.
