IA en recrutement et RGPD : les règles à respecter

Les données de candidats sont parmi les plus sensibles qu’une entreprise manipule : identité, parcours, parfois situation personnelle. Introduire de l’IA dans le recrutement n’est pas interdit, mais le cadre est exigeant. Voici les repères pour utiliser l’IA en recrutement dans le respect du RGPD.

Ce guide donne des repères généraux et ne constitue pas un conseil juridique. Pour votre situation précise, consultez un juriste ou votre délégué à la protection des données.

1. Une finalité claire et une base légale

Vous devez pouvoir dire pourquoi vous traitez les données (gérer une candidature, constituer un vivier de candidats) et sur quel fondement. Une constitution de vivier pour des missions futures nécessite en général d’informer les candidats, voire de recueillir leur accord selon les cas.

2. Informer les candidats

Une candidature doit s’accompagner d’une information claire : qui traite les données, pourquoi, combien de temps, quels droits. Si une IA intervient dans le tri, la lecture ou la recherche, il convient de le mentionner.

3. Limiter la durée de conservation

Les données ne doivent pas être gardées indéfiniment. La CNIL propose des repères sur les durées pour les candidatures non retenues : en pratique, une durée de l’ordre de deux ans après le dernier contact est souvent citée comme référence, à confirmer pour votre cas. Une base de candidats interrogeable doit donc purger ou anonymiser automatiquement.

4. Ne pas laisser la machine décider seule

Le RGPD protège contre les décisions fondées exclusivement sur un traitement automatisé lorsqu’elles ont un effet significatif sur la personne. Écarter un candidat en est un exemple. Notre principe : l’IA prépare (résumé, extraction, rapprochement avec une mission), le recruteur décide.

Par ailleurs, le règlement européen sur l’IA classe les systèmes utilisés pour le recrutement parmi les usages à haut risque, soumis à des exigences particulières. Informez-vous sur les obligations applicables à votre cas.

5. Éviter les biais

Un modèle peut reproduire des biais présents dans les données ou la formulation. Il faut :

• ne pas lui donner d’éléments inutiles et sensibles (âge, origine, situation familiale) ;
• contrôler régulièrement ses résultats ;
• garder la possibilité d’expliquer une proposition.

6. Encadrer les fournisseurs

Les outils d’IA et d’automatisation sont des sous-traitants. Il faut un contrat, des garanties sur le lieu de traitement et l’absence de réutilisation des données pour entraîner des modèles. Voir IA conforme au RGPD en entreprise.

7. Sécuriser

Accès restreints, journalisation, hébergement adapté : plus la donnée est sensible, plus les précautions s’imposent. Le choix de l’hébergement peut orienter vers une solution auto-hébergée, comme avec n8n.

Ce que nous faisons

Nos automatisations pour cabinets sont conçues autour de ces principes : accès limités, durées de conservation définies avec vous, humain décisionnaire. Voir notre page recrutement, et demandez l’audit gratuit pour étudier votre cas.