Trier des CV avec l'IA en 2026 : ce que la CNIL contrôle et comment rester conforme

L'usage progresse vite. Selon l'APEC (mai 2026), 13 % des entreprises de taille moyenne et grande ont utilisé l'IA pour recruter des cadres en 2025, contre 6 % en 2024, surtout pour rédiger les offres. Côté candidats, 31 % des cadres ayant récemment cherché un emploi se sont servis de l'IA, contre 15 % fin 2024, et 2 entreprises sur 10 valorisent déjà les compétences en IA dans leur sélection. Pour le contexte RH plus large, voir notre guide IA et ressources humaines.

Chaque année, la CNIL choisit quelques thèmes de contrôle prioritaires. Ceux de 2026, publiés le 3 avril, sont le recrutement, le répertoire électoral unique et les fédérations sportives. Selon la CNIL, environ 20 % de ses contrôles annuels relèvent de ces thèmes.

Pour le recrutement, la page annonce trois points de vérification :

• les systèmes de prise de décision automatisée : un outil qui écarte des candidats sans intervention humaine réelle ;
• l'information des candidats : ce qui leur est dit, quand, et sur quel outil ;
• les durées de conservation : CV gardés après la fin du processus, viviers jamais purgés.

Les contrôles visent prioritairement les grandes entreprises et les cabinets de recrutement, parce qu'ils reçoivent et trient le plus de candidatures. La CNIL précise que ce thème préfigure son futur rôle d'autorité de surveillance du marché pour l'IA dans le domaine du travail. Une PME n'est pas exemptée pour autant : la CNIL peut contrôler tout organisme, et elle agit aussi sur plainte.

Le guide du recrutement de la CNIL, publié le 30 janvier 2023, compte 19 fiches. La fiche 13 porte sur les logiciels de tri, de classement et d'évaluation des candidatures (pages 69 à 74 du PDF). C'est le texte que les contrôleurs ont en main en 2026, et les articles d'actualité le citent sans le détailler.

Le classement peut être une décision automatisée

Une décision fondée uniquement sur un traitement automatisé est en principe interdite par le RGPD. La CNIL précise qu'un outil de classement entre dans ce cas lorsque le recruteur ne consulte que les profils placés en tête. L'outil ne rejette personne formellement, mais les candidats du bas de liste ne sont jamais lus : la décision est prise par l'algorithme.

Les exceptions sont étroites

• Consentement : il ne peut que très rarement justifier une telle décision, selon la CNIL.
• Loi : aucun texte français n'autorise ce type de décision en recrutement.
• Nécessité pour conclure un contrat : le CEPD la limite aux cas où le nombre de candidatures est exceptionnellement élevé.

Les deux exemples du guide

La liste de contrôle de la fiche

• inscrire le traitement au registre ;
• éviter les variables qui servent de substitut à des données discriminatoires ;
• s'appuyer sur une exception de l'article 22 si la décision est automatisée ;
• réaliser une analyse d'impact (AIPD) ;
• donner une information spécifique aux candidats ;
• organiser le réexamen humain ;
• associer le délégué à la protection des données.

Pour un algorithme qui apprend en continu, le recruteur doit vérifier qu'il reste pertinent, y compris la façon dont il a été entraîné. Un éditeur qui refuse d'expliquer ses données d'entraînement vous met en difficulté sur ce point.

L'article 22 du RGPD pose le principe : une personne a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé qui produit des effets juridiques ou l'affecte de manière significative. Écarter une candidature en fait partie. Les trois exceptions (consentement explicite, contrat, loi) s'accompagnent de garanties : intervention humaine, droit d'exprimer son point de vue et de contester la décision.

L'AIPD est quasi systématique. La liste des traitements pour lesquels la CNIL exige une analyse d'impact (délibération n° 2018-327 du 11 octobre 2018) vise les traitements qui établissent des profils de personnes à des fins de gestion des ressources humaines. L'exemple donné est un traitement qui facilite le recrutement grâce à un algorithme de sélection. Un outil de scoring ou de matching de CV entre dans cette description.

L'AIPD doit être faite avant la mise en service. Elle décrit les données traitées, la logique de l'outil, les risques (discrimination, erreur, fuite) et les mesures prises. Les garde-fous techniques côté agent IA (accès, journaux, cloisonnement des données) sont détaillés dans notre guide sécurité des agents IA.

La CNIL a publié le 2 avril 2026, puis mis à jour le 20 mai 2026, un référentiel des durées de conservation en gestion des ressources humaines. Sa partie recrutement donne des durées précises, qui sont celles que les contrôles de 2026 vont comparer à vos bases.

Deux conséquences pratiques. D'abord, l'archive de 5 ans sert de preuve : elle se range à part de la base active, et les candidats non retenus n'ont pas à réapparaître dans les recherches des recruteurs. Ensuite, un outil d'IA qui garde les CV pour « améliorer le matching » doit respecter les mêmes échéances : vérifiez dans le contrat ce que l'éditeur conserve et pendant combien de temps.

EXTIA, 300 000 €. Par une décision du 21 juillet 2026, publiée le 9 septembre 2026, la CNIL a sanctionné cette société de conseil en ingénierie et informatique. En 2024, elle avait reçu 265 demandes d'effacement, surtout de candidats. Plus des trois quarts n'ont pas été traitées ou l'ont été mal : 12 jamais traitées, 166 personnes jamais informées de la suite donnée, 27 informées en retard. Les manquements retenus portent sur les articles 12 et 17 du RGPD, et l'entreprise avait déjà reçu deux rappels à ses obligations. Au 15 septembre 2026, c'est la sanction la plus récente de la CNIL qui concerne des candidats.

Mise en demeure du 25 avril 2024. La CNIL a mis en demeure une entreprise qui demandait aux candidats leur lieu de naissance, leur nationalité, leur situation familiale et leur salaire précédent. La procédure a été close après mise en conformité.

Pour situer l'échelle : en 2025, la CNIL a pris 259 décisions, dont 83 sanctions, pour un total de 486 839 500 € d'amendes (bilan publié le 9 février 2026). Aucune de ces sanctions ne visait spécifiquement le recrutement. Un outil de tri qui stocke des milliers de CV doit donc aussi savoir les effacer sur demande, dans le délai d'un mois prévu par le RGPD.

Le cas du CSE est souvent mal présenté : pour les méthodes de recrutement, le texte parle d'information préalable. La double obligation « informé et consulté » vise les moyens de contrôle de l'activité des salariés. Un outil qui trie les candidatures externes et note aussi les performances internes relève des deux.

L'annexe III, point 4(a), du règlement (UE) 2024/1689 classe à haut risque les systèmes d'IA destinés au recrutement ou à la sélection de personnes, notamment pour publier des offres ciblées, analyser et filtrer les candidatures et évaluer les candidats. Un ATS qui score ou classe les CV est directement concerné.

La date a changé. Le Digital Omnibus sur l'IA, règlement (UE) 2026/1744, est entré en vigueur le 27 juillet 2026. Il reporte les obligations du haut risque de l'annexe III au 2 décembre 2027. Des contenus publiés depuis, dont un blog d'ATS français daté du 30 juillet 2026, présentent encore ces règles comme applicables depuis août 2026. Le calendrier complet est dans notre guide de l'IA Act pour les entreprises.

Les obligations de l'employeur utilisateur (article 26)

L'entreprise qui utilise l'outil est un « déployeur ». L'article 26, dans sa version de 2024 affichée par le Service Desk de la Commission, lui impose de :

• utiliser le système conformément à la notice de l'éditeur ;
• confier le contrôle humain à des personnes compétentes, formées et disposant de l'autorité nécessaire ;
• veiller à ce que les données d'entrée qu'il maîtrise soient pertinentes et suffisamment représentatives ;
• surveiller le fonctionnement et signaler les risques et incidents à l'éditeur ;
• conserver les journaux générés automatiquement pendant au moins 6 mois (26(6)) ;
• informer les représentants des travailleurs et les travailleurs concernés avant la mise en service sur le lieu de travail (26(7)) ;
• utiliser les informations fournies par l'éditeur pour réaliser l'AIPD (26(9)) ;
• informer les personnes qui font l'objet de décisions prises ou aidées par le système (26(11)).

Vérifiez la version consolidée après l'Omnibus avant de figer vos procédures : la page du Service Desk n'avait pas été mise à jour au 15 septembre 2026.

Ce qui s'applique déjà

• Analyse des émotions interdite : l'article 5(1)(f) interdit depuis le 2 février 2025 les systèmes qui déduisent les émotions d'une personne sur le lieu de travail, hors raisons médicales ou de sécurité. Un outil d'entretien vidéo qui note l'« enthousiasme » ou le « stress » d'un candidat est à écarter.
• Chatbot de préqualification : depuis le 2 août 2026, l'article 50 impose de dire au candidat qu'il échange avec une IA. Voir l'obligation de transparence des agents IA.
• Maîtrise de l'IA (article 4) : en vigueur depuis le 2 février 2025, cette obligation a été simplifiée par l'Omnibus, la Commission et les États membres prenant un rôle plus important. Former les recruteurs qui utilisent l'outil reste une bonne pratique, et l'article 26 exige de toute façon des personnes compétentes pour le contrôle humain.

L'Omnibus autorise aussi le traitement de données sensibles pour détecter et corriger des biais, dans des conditions encadrées. Cela intéresse directement les tests de biais décrits plus bas.

Le risque décrit par la CNIL et le Défenseur des droits a été mesuré. Deux cas servent de référence.

Ces résultats portent sur des modèles et des marchés précis ; ils ne prouvent pas qu'un outil donné est biaisé. Ils montrent qu'un modèle de langage appliqué à des CV reproduit des écarts sans qu'on le lui demande, et qu'un test avant mise en service est la seule façon de le savoir. Le Défenseur des droits a publié avec la CNIL un rapport sur l'automatisation des discriminations (31 mai 2020) et une fiche « Lutter contre les discriminations produites par les algorithmes et l'IA », mise à jour le 1er février 2024. Sa décision n° 2025-182 du 10 octobre 2025 porte sur le ciblage des offres d'emploi sur Facebook, un usage que vise aussi l'annexe III.

Les éditeurs d'ATS présents en France publient des informations très inégales sur la conformité. Le tableau reprend leurs propres déclarations, sans jugement sur les produits.

Retenez la position de SmartRecruiters : l'éditeur écrit noir sur blanc que le contrôle humain est à la charge du client. Côté RGPD comme côté IA Act, c'est l'employeur qui répond de la décision. Et un classement sans exclusion formelle peut quand même devenir une décision automatisée si personne ne lit le bas de la liste. Pour comparer les prestataires qui intègrent ces outils, voir notre comparatif des agences IA pour le recrutement et les RH.

1. Fixer les critères du poste avant de publier. Compétences, diplômes exigés, expérience : des critères écrits, liés au poste (L1221-6), qui serviront au scoring et à justifier chaque décision.
2. Construire un formulaire structuré. Des questions fermées sur ces critères plutôt que l'analyse libre du CV. Aucune question sur l'âge, la situation familiale, la nationalité ou le lieu de naissance.
3. Informer avant l'usage. Sur l'offre et le formulaire : l'outil utilisé, ce qu'il fait, la place de l'humain, le droit de demander un réexamen et comment l'exercer (L1221-8, RGPD articles 13 et 22). Si un chatbot pose les questions, il se présente comme une IA.
4. Laisser l'IA suggérer, sans rejeter. L'outil propose un ordre et une justification par critère. Aucun candidat n'est écarté automatiquement, et le recruteur a accès à toutes les candidatures.
5. Faire décider un recruteur, avec une fenêtre de réexamen. Chaque refus est validé par une personne qui a ouvert le dossier. Le candidat dispose d'un délai annoncé pour demander un réexamen humain, comme dans l'exemple de bonne pratique de la CNIL.
6. Journaliser. Scores, suggestions, décision finale et auteur, conservés au moins 6 mois. Ce sera une obligation au 2 décembre 2027 (article 26(6)) ; c'est dès maintenant votre preuve de décision humaine en cas de contrôle.
7. Réaliser l'AIPD avant la mise en service, avec le DPO, et inscrire le traitement au registre.
8. Informer le CSE avant le déploiement et à chaque changement notable de l'outil (L2312-38).
9. Programmer la purge. Base active jusqu'à la fin du processus, archive séparée de 5 ans après le poste pourvu, vivier limité à 2 ans après le dernier contact. Traiter les demandes d'effacement en moins d'un mois.
10. Tester les biais. Avant la mise en service puis à intervalles réguliers : mêmes CV avec des noms, âges ou adresses modifiés, et comparaison des taux de sélection par groupe.

Ce processus peut être construit dans un ATS existant ou sous forme d'un agent IA sur mesure branché sur vos outils. La même logique de traçabilité s'applique ensuite à l'arrivée du candidat retenu, décrite dans notre page sur l'agent d'onboarding.

Si vous hésitez entre plusieurs configurations d'outil, un accompagnement conseil en IA permet de cartographier les traitements avant d'acheter ou de développer.

Lumyniq est une agence d'automatisation IA basée à Paris. Elle conçoit des agents IA, des intégrations Claude, des workflows n8n et des CRM Twenty pour les PME, notamment dans l'immobilier, le juridique, la santé et les ressources humaines. Chaque projet commence par un audit du processus existant, avant tout devis.