Les processus de recrutement à l’heure de l’intelligence artificielle

L’efficacité et la qualité du recrutement sont un enjeu essentiel dans les métiers du tourisme : besoin de compétences ; disponibilité ; adaptabilité ; saisonnalité ; qualité de la relation client et fidélisation … autant de spécificités que les opérateurs du secteur doivent prendre en compte.

Le recrutement est, en droit français, une étape très encadrée : l’employeur doit informer clairement les candidats sur les méthodes utilisées, respecter leur vie privée, ne collecter que des informations pertinentes pour le poste et bannir toute discrimination, etc.

L’usage de l’intelligence artificielle et d’algorithmes puissants peut aider l’employeur à recruter. En revanche, ces outils peuvent facilement présenter un danger, notamment du fait d’une trop grande automatisation des procédures, ou d’un défaut de maîtrise.

Avec l’essor des solutions ‘intelligentes’ de recrutement (logiciels de tri de CV, outils de scoring, chatbots de présélection, plateformes d’évaluation automatisée) les obligations classiques du recruteur doivent s’articuler avec celles très récentes, issues du règlement européen sur l’Intelligence artificielle (AI Act^[1]),  celles, plus connues, du droit des données personnelles (RGPD^[2]), comme enfin avec celles relatives à la cybersécurité des données (CRA et NIS2^[3], sous le contrôle de l’ANSSI).

En 2026, au vu des risques de discrimination et du manque de transparence, la CNIL^[4] a décidé, avec l’appui de la DGCCRF et de l’ANSSI^[5], que ses contrôles inopinés porteraient en priorité sur les algorithmes et outils IA utilisés dans le cadre du recrutement ! Il est donc plus que temps de se mettre en conformité !

Dans cet article, nous rappellerons :

• les précautions à prendre en cas d’utilisation d’une IA (1)
• les règles de base qui encadrent tout recrutement en droit français (2)
• les précautions supplémentaires à prendre au regard du RGPD (3)

Ces aspects doivent être pris en compte, que ce soit pour un recrutement direct ou via un prestataire extérieur, dont il conviendra de s’assurer qu’il respecte lui aussi ses propres obligations dans le processus.  

1. Quelles sont vos obligations en cas de recours à des solutions IA ? Quelles bonnes pratiques ?

L’entreprise qui recourt à l’IA dans les processus de recrutement, en particulier si elle ne gère pas ou ne maîtrise pas le sujet, court des risques multiples : mauvais choix de solution, manipulation des sources d’entrainement, fuite de données, décisions biaisées, discrimination, contrôle humain négligé, etc. A défaut de contrôle, l’employeur peut sans le vouloir violer ses obligations les plus élémentaires.

Afin de minimiser ces risques et protéger les personnes contre les usages inappropriés d’ outils IA, le législateur européen, en 2024, a donc édicté une règle commune contraignante : l’AI ACT.

Ce règlement européen, qui s’articule évidemment avec le code du travail et le RGPD, définit donc des responsabilités et obligations nouvelles des entreprises, lorsqu’elles développent, commercialisent ou, en l’occurrence, utilisent un outil d’intelligence artificielle.

L’AI Act est entré en application par étape depuis début 2025. Les entreprises sont donc déjà concernées par l’essentiel de ses dispositions, tant celles déjà en vigueur (notamment les systèmes d’IA interdits) que celles qui le seront à compter du 2 août 2026 (telle l’obligation de transparence). En revanche, celles concernant les systèmes d’IA dits « à haut risque » viennent d’être repoussées à fin 2027 et à août 2028.

Un outil IA servant au recrutement n’est pas considéré comme neutre en raison des risques susvisés, et notamment des risques d’atteinte aux droits des personnes. Il est donc fondamental de déterminer s’il tombe dans la catégorie des ‘modèles d’IA à usage général’ – moins strictement réglementés, dans celle des outils interdits ou dans celle des systèmes d’IA à haut risque qui font peser des obligations très lourdes sur les entreprises. Cette dernière qualification peut être assez rapidement retenue pour nombre d’outils de recrutement qui manipulent des données sensibles et impactent fortement les personnes concernées : systèmes d’analyse automatisée de personnalité, systèmes incitant à des prises de décision automatisées, etc.).

Il appartient donc dès maintenant aux employeurs, surtout s’ils ne maîtrisent pas les usages de l’IA dans leur entreprise, de se mettre en conformité avec l’AI Act, c’est-à-dire notamment :

• de cartographier leurs outils IA de recrutement ;
• de déterminer leur propre statut au regard de l’AI Act (fournisseur, déployeur, etc.) ;
• de déterminer la qualification juridique de leurs outils IA, qui déterminera les règles applicables et leur évitera d’acquérir un outil interdit ou à risque ;
• de vérifier si les contrats passés avec leurs fournisseurs de solutions IA sont conformes au règlement.
• Et surtout, comme toujours en matière de « compliance », de prendre toutes les mesures organisationnelles (ex. formations du personnel, implication du CSE), techniques (ex. mise à niveau du S.I.) et juridiques (ex. information, révision des contrats, charte IA interne…) pour être réellement conforme à l’AI Act, en fonction des étapes d’entrée en application.

Compte tenu de l’entrée en application progressive de l’AI Act et des reports récents de certaines étapes, compte tenu des risques de requalification d’un outil IA simple en système « à haut risque », compte tenu des différences de traitement entre les contrats antérieurs et postérieurs à l’AI Act, les employeurs doivent absolument vérifier avec précaution quels contrats sont concernés et quelles sont leurs obligations en fonction du calendrier, de leur statut et de la qualification de l’outil IA.

Ces vérifications effectuées, l’employeur devra ensuite veiller à respecter deux principes forts de l’AI Act :

• informer clairement les candidats de l’usage d’outils d’IA dans le processus de recrutement et de leurs finalités,
• s’assurer que l’outil IA utilisé, en particulier s’il devait être qualifié de ‘système d’IA à haut risque’ au sens du règlement, ne conduit pas, en pratique, à des décisions biaisées ou discriminatoires, en maintenant un contrôle humain réel sur les choix opérés, en disposant d’une documentation technique adéquate et en assurant la traçabilité du processus décisionnel, essentielle en cas de contrôle ou de litige.

En corollaire, des droits sont également et bien évidemment garantis aux personnes ciblées par ces usages de l’IA (ici les candidats), afin de leur permettre de s’assurer du respect de leur vie privée et de la conformité des décisions dont ils font l’objet.

Rappelons enfin que la conformité au AI ACT est contrôlée par plusieurs autorités, dont la DGCCRF et la CNIL. Sa violation est donc passible de sanctions administratives et d’amendes importantes (jusqu’à 7% du chiffre d’affaires), sans parler des risques judiciaires et réputationnels.

Face à ces risques, les entreprises qui recrutent sont seules responsables de leur mise en conformité. Elles doivent ainsi obtenir les mêmes garanties et preuves de conformité de leurs fournisseurs et de leurs partenaires.

Ce point est à examiner avec vos conseils en droit du travail, en droit des contrats et en droit des données et du numérique.

1. En droit du travail, quelles sont les principales obligations juridiques applicables à tout recrutement ?

Le Code du travail impose également un principe de transparence dès le début du processus de recrutement. L’employeur doit informer expressément et préalablement chaque candidat des méthodes et techniques d’aide au recrutement utilisées à son égard (tests, questionnaires, outils numériques, etc.). Il est recommandé de procéder à cette information par écrit. En outre, dans ce cadre, la convention collective des Hôtels Cafés Restaurants (HCR), dans sa dernière version en date du 21 mai 2025, s’impose à tous les acteurs.

Aucune information personnelle ne peut être collectée par un dispositif qui n’a pas été porté à la connaissance du candidat. Cette obligation vise aussi les outils numériques et tests de personnalité : ils ne peuvent être imposés « par surprise » ni réalisés à l’insu des candidats.

Lorsque l’entreprise est dotée d’un CSE, celui‑ci doit également être informé préalablement de l’utilisation des méthodes ou techniques d’aide au recrutement et de leurs modifications.

La collecte des informations doit répondre à une double exigence de finalité et de pertinence : Les informations demandées au candidat ne peuvent avoir pour finalité que d’apprécier sa capacité à occuper l’emploi proposé ou ses aptitudes professionnelles et doivent présenter un lien direct et nécessaire avec l’emploi ou l’évaluation des aptitudes.

Cette exigence s’applique à tous les dispositifs, y compris aux algorithmes et IA de recrutement : un traitement qui exploiterait par exemple des éléments sur la vie privée, les opinions, les loisirs, sans lien avec le poste, serait illicite.

Dès lors, le recruteur ne peut pas mener d’investigations portant sur des éléments protégés par les règles de non‑discrimination, notamment : l’état de santé ou le handicap, les convictions politiques, religieuses ou syndicales, les origines, l’appartenance à une ethnie ou une religion ; l’état de grossesse.

Il ne peut pas davantage exploiter des données ayant trait à la vie privée comme, par exemple, des informations relatives aux membres de la famille du candidat, le lieu de naissance du candidat, le montant détaillé des salaires passés (sauf si le candidat choisit de l’indiquer pour justifier ses prétentions salariales).

Enfin et surtout, la prohibition de toute discrimination à l’embauche interdit de fonder la décision de recruter (ou non) en raison de son origine, de son sexe, de ses mœurs, de son orientation sexuelle, de son identité de genre, de son âge, de sa situation de famille ou de sa grossesse, de ses caractéristiques génétiques, de la particulière vulnérabilité résultant de sa situation économique, de son appartenance ou de sa non-appartenance à une ethnie, une nation ou une prétendue race, de ses opinions politiques, de ses activités syndicales ou mutualistes, de son exercice d’un mandat électif, de ses convictions religieuses, de son apparence physique, de son nom de famille, de son lieu de résidence, de sa qualité de lanceur d’alerte etc.

En cas de discrimination avérée, la société s’expose :

• au civil : à devoir verser des dommages et intérêts ; au risque de nullité de la décision d’embauche ou de refus d’embauche,
• au pénal : aux risques de condamnation (pour les personnes physiques : jusqu’à 45 000 € d’amende et 3 ans d’emprisonnement ; pour les personnes morales : jusqu’à 225 000 € d’amende et prononcé d’une interdiction éventuelle d’exercer l’activité concernée).

1. N’oubliez pas vos obligations spécifiques résultant du RGPD (données personnelles), essentielles dans l’usage d’outils IA !

 Le processus de recrutement implique évidemment le traitement de nombreuses données personnelles, et relève donc du RGPD : collecte de CV, évaluation, conservation, tri, communication, suppression, voire communication à d’autres entités.

Le RGPD converge, en la matière, avec les obligations du Code du Travail et avec les nouvelles dispositions de l’AI Act, et prévaut d’ailleurs en cas de doute.

L’employeur est responsable principal du traitement de données personnelles des candidats et salariés et doit respecter les principes forts de transparence (information préalable), de licéité, de minimisation des données, de limitation de la durée de conservation, de sécurité des données, etc.  Il doit donc aussi s’assurer que ses sous-traitants et prestataires, qui auraient accès à ces données, lui offre les mêmes garanties de conformité, selon leur niveau de dépendance (responsables autonomes, coresponsables ou sous-traitants). Cette conformité globale doit être reflétée dans le contrat passé avec eux.

La CNIL a publié, en 2023, un guide du recrutement et des outils (synthèse pour TPE/PME, questionnaire d’autoévaluation) pour aider les recruteurs à respecter le RGPD. Ce guide se base notamment sur un Référentielobligatoire de la CNIL, relatif à la gestion des ressources humaines.

Rappelons aussi que, bien avant l’AI Act, le RGPD interdisait déjà la prise de décisions automatisées, lorsque celles-ci produisent des effets juridiques sur les personnes (ex : candidats) dont les données auraient été ainsi traitées.

Enfin, les candidats disposent notamment d’un droit à l’information, d’un droit d’accès, voire d’effacement dans certains cas, de leurs données, et d’un droit de réclamation auprès de la CNIL, droit que beaucoup de salariés ont déjà largement exercé auprès de très nombreux employeurs, parfois désarçonnés par cette procédure mal maîtrisée.

Ce point est à examiner avec vos conseils en droit des données personnelles.

En conclusion, l’utilisation d’outils IA dans le cadre d’opérations de recrutement, déclenche l’application de nombreuses règles contraignantes, dans un droit a fortiori très évolutif. Celles évoquées dans cet article n’ont pas vocation à dresser un tableau exhaustif et individualisé. Pour éviter responsabilités et procédures inutiles, et conséquences fâcheuses, en particulier dans un secteur où la réputation et la relation client sont essentielles, il convient donc d’anticiper et de faire analyser les situations auxquelles vous êtes confronté par vos conseils et de vous tenir régulièrement informé des évolutions de ces règles et des bonnes pratiques.

[1] Règlement UE 2024/1690 du 13 juin 2024 (« AI Act »)

[2] Règlement UE 2016/679 du 27 avril 2016 (« RGPD »)

[3] Cyberresilience Act (Règlement CRA) et Directive NIS2 (sécurité des réseaux et des systèmes d’Information)

[4] Commission Nationale Informatique & Libertés, en charge de la protection des données personnelles et des libertés indviduelles.

[5] Agence Nationale de Sécurité des Systèmes d’Information