La plupart des demandes d'IA pour les ressources humaines qui arrivent chez nous commencent par le choix d'un outil : quel éditeur, quel modèle, quel abonnement. Sur les projets que nous cadrons, le déploiement se bloque presque toujours ailleurs, sur un point de droit du travail ou de protection des données que personne n'avait instruit au moment de signer.
Le contexte a bougé cet été, et la plupart des contenus publiés depuis ne l'ont pas intégré. Les obligations « haut risque » du règlement européen sur l'IA, celles qui visent nommément le recrutement et la gestion des travailleurs, devaient s'appliquer le 2 août 2026. Elles ont été repoussées au 2 décembre 2027. Pendant le même temps, la CNIL a inscrit le recrutement parmi ses trois priorités de contrôle pour 2026. L'échéance qui compte pour une direction des ressources humaines française cette année vient donc de Paris.
Nous faisons ici le tri entre les usages qui tiennent la route, les trois textes français qui verrouillent le reste, et l'ordre dans lequel monter un projet pour qu'il survive à un contrôle.
L'IA en RH aujourd'hui : beaucoup de rédaction, peu de décision
En RH, l'IA produit aujourd'hui du texte et extrait des données, elle ne tranche presque jamais au sujet d'une personne. L'adoption globale, elle, progresse vite. D'après l'enquête TIC de l'Insee publiée le 21 juillet 2026, 18 % des entreprises françaises de 10 salariés ou plus déclarent utiliser au moins une technologie d'IA en 2025, contre 10 % en 2024 et 6 % en 2023. Le taux atteint 58 % chez les entreprises de 250 salariés ou plus, pour une moyenne de 20 % dans l'Union européenne.
La fonction RH, elle, est mal mesurée. Eurostat a publié un indicateur dédié à l'usage de l'IA pour la gestion des ressources humaines ou le recrutement, puis l'a laissé tomber : la dernière valeur disponible remonte à l'enquête 2021 et plaçait la France à 5,15 % des entreprises qui utilisaient déjà l'IA. Cet indicateur n'apparaît plus dans les millésimes suivants de la série Eurostat sur l'IA en entreprise. Personne ne sait donc, chiffres officiels en main, quelle part des entreprises françaises fait aujourd'hui tourner de l'IA sur des dossiers de salariés.
Ce que nous observons sur le terrain se range en deux familles. La première regroupe la production de texte et l'extraction de données, sur des tâches qui ne tranchent rien au sujet d'une personne :
- rédiger une offre d'emploi à partir d'une fiche de poste et de l'historique des annonces de l'entreprise ;
- répondre aux questions internes récurrentes (solde de congés, mutuelle, note de frais) à partir des documents RH de l'entreprise ;
- sortir des données structurées de contrats, d'avenants et de bulletins ;
- préparer une trame d'entretien annuel à partir des objectifs de l'année précédente.
Ces usages passent sans difficulté réglementaire, et ils ressemblent beaucoup à ce que l'on retrouve du côté de l'IA appliquée à la comptabilité : de la saisie, du rapprochement, de la mise en forme. La seconde famille couvre le tri, le classement et l'évaluation de personnes. L'outil y produit un jugement, et ce jugement devra être expliqué. C'est le périmètre que nous détaillons dans notre tour d'horizon des usages de l'IA côté recrutement, et celui qui demande le plus de précautions. Un modèle qui rédige une annonce fait gagner une heure à un chargé de recrutement. Un modèle qui classe 400 candidatures engage l'entreprise sur les 400 décisions qui suivent.
Le calendrier européen a changé cet été, celui de la CNIL non
Les obligations européennes qui visent l'IA de recrutement ont été décalées de seize mois, celles de la CNIL sont actives depuis avril 2026. Le règlement européen sur l'IA de 2024 range les systèmes destinés au recrutement, à la sélection de candidats et à la gestion des travailleurs parmi les usages à haut risque de son annexe III, ce qui déclenche un régime lourd : gestion des risques, qualité des données d'entraînement, documentation technique, journalisation, contrôle humain, évaluation de conformité avant mise sur le marché.
Ce régime devait entrer en application le 2 août 2026. Le texte de simplification consacré à l'IA, l'omnibus numérique, est entré en vigueur le 27 juillet 2026 et a décalé cette échéance au 2 décembre 2027 pour les systèmes autonomes de l'annexe III. La page officielle de la Commission européenne sur le cadre réglementaire de l'IA porte désormais cette date. Trois échéances coexistent donc.
| Date | Ce qui s'applique |
|---|---|
| 2 février 2025 | Interdictions de l'article 5, dont la reconnaissance des émotions sur le lieu de travail, et obligation de formation des équipes à l'IA |
| 2 août 2026 | Règles de transparence, et supervision par les autorités nationales |
| 2 décembre 2027 | Obligations « haut risque » de l'annexe III, dont l'emploi et la gestion des travailleurs |
La CNIL n'a pas attendu ce calendrier. Le 3 avril 2026, elle a annoncé que le recrutement figurait parmi ses trois thématiques prioritaires de contrôle pour 2026, avec le répertoire électoral unique et les fédérations sportives. Environ 20 % de ses contrôles annuels relèvent de ces priorités. Elle indique viser d'abord les grandes entreprises et les cabinets de recrutement, avec trois angles annoncés : les systèmes de prise de décision automatisée, l'information des candidats et les durées de conservation.
Nous conseillons de traiter le report de décembre 2027 comme du temps de préparation plutôt que comme une dispense. Le RGPD n'a jamais été suspendu, et les trois angles annoncés par la CNIL sont exactement ceux sur lesquels un projet RH monté vite se fait prendre. Pour le cadre complet des deux réglementations qui se superposent, nous l'avons détaillé côté gouvernance de l'IA en entreprise.
Trier des candidatures : ce que le RGPD interdit en principe
Laisser un algorithme écarter seul une candidature est en principe interdit par le RGPD, et la validation d'un recruteur ne suffit pas toujours à sortir de cette interdiction. La CNIL a publié le 30 janvier 2023 un guide du recrutement en 19 fiches, dont la fiche 13, consacrée aux logiciels de tri, de classement et d'évaluation, pose le principe sans détour. Ces solutions peuvent conduire à une « décision fondée exclusivement sur un traitement automatisé » au sens du RGPD, et « de tels procédés sont en principe interdits par le RGPD ». Leur utilisation n'est admise que dans des conditions exceptionnelles, assorties de garanties destinées à protéger les droits des candidats.
La phrase qui fait le plus de dégâts dans les projets réels se trouve un peu plus loin dans la même fiche : « Lorsque le responsable de traitement n'est pas en mesure d'expliciter les motifs de la décision proposée par l'algorithme et acceptée ensuite par un être humain, la décision peut être regardée comme ayant été prise sans intervention humaine. » Un recruteur qui valide un classement qu'il ne sait pas expliquer ne protège donc rien. La signature humaine ne suffit jamais à elle seule, l'explicabilité du critère compte autant.
La CNIL donne ensuite un exemple qui décrit exactement ce qui se passe en pratique. Plus le nombre de candidatures reçues est important, plus il est probable que le recruteur ne consulte qu'une faible partie des profils, en privilégiant ceux que l'outil a le mieux pré-classés. Les autres se retrouvent écartés « en raison du seul fonctionnement du logiciel de tri », donc par une décision entièrement automatisée produisant un effet significatif sur eux.
Le code du travail ajoute son exigence propre. L'article L1221-8 prévoit que « le candidat à un emploi est expressément informé, préalablement à leur mise en oeuvre, des méthodes et techniques d'aide au recrutement utilisées à son égard », que les résultats obtenus sont confidentiels, et que ces méthodes « doivent être pertinentes au regard de la finalité poursuivie ». Un score de compatibilité global, opaque et non documenté, résiste mal à ce critère de pertinence.
Sur ce périmètre, notre recommandation est tranchée : abandonner le score unique et le remplacer par des critères séparés, vérifiables et rattachés à la fiche de poste. Nombre d'années d'expérience sur une technologie donnée, présence d'une certification exigée par le client final, zone de mobilité déclarée. Chacun se justifie devant un candidat comme devant un contrôleur. Un « 87 % de compatibilité » ne se justifie devant personne, et il concentre en un seul chiffre tous les biais du corpus qui a servi à le calculer.
Conservation et suivi d'activité : ce que la décision Amazon a tranché
Le Conseil d'État a jugé fin 2025, dans l'affaire Amazon France Logistique, que des indicateurs de suivi très fins pouvaient être licites, et que ce sont la durée de conservation, l'information des personnes et la sécurité des accès qui font tomber un dispositif. Le dossier vient d'un entrepôt, sa lecture vaut pour tout suivi d'activité. Le 27 décembre 2023, la CNIL avait infligé à Amazon France Logistique une amende de 32 000 000 euros pour un système de suivi de l'activité et des performances jugé excessivement intrusif. La société a contesté. Par une décision du 23 décembre 2025, le Conseil d'État a ramené l'amende à 15 000 000 euros, et le détail de son raisonnement vaut bien plus que le montant.
Le juge a validé des indicateurs que beaucoup d'employeurs auraient crus perdus d'avance : la mesure des intervalles inférieurs à 1,25 seconde entre deux lectures de codes-barres, destinée à repérer les erreurs de rangement, et l'enregistrement des périodes d'inactivité du scanner supérieures à 10 minutes. Il a en revanche confirmé trois manquements. La conservation indifférenciée de l'ensemble des indicateurs pendant 31 jours, sans justification de cette durée. Le défaut d'information des travailleurs intérimaires. L'insuffisance des mesures de sécurité protégeant l'accès aux images de vidéosurveillance.
La leçon se transpose directement à un tableau de bord RH nourri par de l'IA. L'indicateur peut être parfaitement licite et le traitement quand même sanctionné, sur la durée de conservation, sur les personnes qu'on a oublié d'informer et sur les accès qu'on n'a pas verrouillés. Ces trois points sont ceux qu'un projet livré dans l'urgence remet systématiquement à plus tard, parce qu'aucun ne se voit dans une démonstration.
Sur les candidatures, la CNIL donne un repère chiffré dans son guide du recrutement. Conserver les CV et lettres de motivation de candidats écartés pendant cinq ans pour alimenter un vivier est « en principe excessive », et cette durée « n'excède en principe pas deux ans à compter du dernier contact avec la personne ». Beaucoup de logiciels de gestion des candidatures sont configurés bien au-delà par défaut, et ce réglage n'est presque jamais relu après l'installation. C'est une vérification de dix minutes qui tombe pile sur l'un des trois angles de contrôle annoncés par la CNIL.
Le CSE et les candidats passent avant la mise en service
Un outil d'IA RH passe devant le comité social et économique avant d'être mis en service, et devant le candidat avant d'être appliqué à son dossier. L'article L2312-38 du code du travail est court et sans ambiguïté. Le comité social et économique « est informé, préalablement à leur utilisation, sur les méthodes ou techniques d'aide au recrutement des candidats à un emploi ainsi que sur toute modification de celles-ci ». Il « est aussi informé, préalablement à leur introduction dans l'entreprise, sur les traitements automatisés de gestion du personnel ». Et il « est informé et consulté, préalablement à la décision de mise en œuvre dans l'entreprise, sur les moyens ou les techniques permettant un contrôle de l'activité des salariés ».
Trois régimes, donc, avec une gradation nette. Un outil qui aide à recruter demande une information préalable. Un traitement automatisé de gestion du personnel, un assistant qui rédige des documents à partir des dossiers salariés par exemple, demande lui aussi une information préalable. Un dispositif qui permet de contrôler l'activité des salariés demande une information et une consultation, et cela avant la décision de mise en œuvre, pas avant le déploiement technique. La différence de vocabulaire n'est pas cosmétique : une consultation implique un avis du comité, donc un délai et un procès-verbal.
Cette nuance a une conséquence directe sur le planning. À défaut d'accord, l'article L2315-28 prévoit une réunion au moins une fois par mois dans les entreprises d'au moins trois cents salariés, et au moins une fois tous les deux mois en dessous. Sur les projets que nous accompagnons, ce calendrier constitue régulièrement le vrai chemin critique : la partie technique tient en quelques semaines, l'ordre du jour du comité en ajoute plusieurs quand personne n'y a pensé au cadrage. Nous inscrivons donc la date de passage en CSE dans le rétroplanning dès le premier atelier, au même titre qu'une dépendance technique.
Pour les candidats, l'information préalable prévue par l'article L1221-8 se traduit par une mention explicite dans l'offre et dans l'espace de candidature. Une ligne enfouie dans une politique de confidentialité générique ne remplit pas cette obligation, qui porte sur les méthodes employées et sur leur finalité.
Par où commencer un projet d'IA RH qui tienne
Commencez par les tâches qui ne décident rien au sujet d'une personne : génération d'offres, réponses aux questions internes, extraction de données depuis des contrats, préparation de trames d'entretien. Notre séquence de travail tient en quatre étapes, et cette première déçoit souvent les directions pressées d'automatiser le recrutement.
Ces usages produisent un gain mesurable en quelques semaines sans ouvrir le dossier des décisions automatisées, et ils servent de terrain d'apprentissage aux équipes RH. Ce dernier point rejoint l'obligation de formation à l'IA en application depuis le 2 février 2025, que beaucoup d'entreprises n'ont encore traduite par aucune action concrète.
La deuxième étape porte sur la reprise des sources, et elle absorbe la plus grosse part du temps de projet. Les informations RH d'une PME vivent dans un logiciel de gestion des candidatures, un SIRH, un espace de stockage partagé et deux ou trois tableurs, avec des doublons et des versions concurrentes. Aucun modèle ne compense une base documentaire mal tenue, et ce travail de rapprochement représente presque toujours plus de charge que la partie IA proprement dite. C'est aussi le moment où l'on identifie ce qui ne doit pas sortir de l'entreprise.
La troisième étape est la trace. Nous journalisons ce que l'outil a proposé et ce que l'humain a décidé, avec les critères affichés au moment de la décision. Ce registre répond à la seule question qui compte en cas de réclamation ou de contrôle : pourquoi cette personne a-t-elle été écartée. Sans lui, la réponse dépend de la mémoire d'un chargé de recrutement six mois plus tard, et cette mémoire ne vaut rien devant la CNIL.
La quatrième étape concerne l'hébergement et la sous-traitance. Un dossier RH contient des données personnelles nombreuses, parfois des données de santé au sens du RGPD quand il touche à la médecine du travail ou aux arrêts. L'endroit où tourne le modèle et le périmètre de ce qui transite par un fournisseur tiers se décident au cadrage, pas après la démonstration. Nous détaillons les arbitrages possibles dans notre article sur l'assistant IA hébergé en France.
Nous ne publions pas de grille tarifaire pour ce type de chantier, le périmètre variant trop entre un assistant de réponse aux questions internes et une refonte de processus de recrutement. Le cadrage se fait avec notre agence spécialisée en agents IA, et il va plus vite si vous arrivez avec la liste de vos outils RH actuels et le volume de candidatures traité par an. Vous pouvez aussi contacter Noxcod en décrivant votre cas.
Questions fréquentes
Peut-on écarter automatiquement une candidature avec un algorithme ?
En principe non. La CNIL rappelle qu'une décision fondée exclusivement sur un traitement automatisé est interdite par le RGPD, sauf exceptions encadrées. Le point de vigilance porte sur le classement : si le recruteur ne consulte que le haut de la pile produite par l'outil, les candidats du bas sont écartés par le seul fonctionnement du logiciel, ce qui constitue une décision entièrement automatisée même si un humain figure au bout de la chaîne.
Combien de temps peut-on conserver un CV de candidat écarté ?
La CNIL retient, dans son guide destiné aux recruteurs, deux ans à compter du dernier contact avec la personne pour l'alimentation d'un vivier de candidats, et considère une conservation de cinq ans comme en principe excessive pour cette finalité. La durée doit rester proportionnée au type de poste. Vérifiez le réglage par défaut de votre logiciel de gestion des candidatures : il dépasse souvent ce repère sans que personne ne l'ait décidé.
Faut-il informer ou consulter le CSE avant de déployer un outil d'IA RH ?
Les deux existent, selon l'outil. L'article L2312-38 impose une information préalable pour les méthodes d'aide au recrutement et pour les traitements automatisés de gestion du personnel. Il impose une information et une consultation pour les moyens permettant un contrôle de l'activité des salariés, avant la décision de mise en œuvre. Un outil qui mesure des temps de traitement ou des volumes par salarié relève du second régime.
L'AI Act s'applique-t-il déjà à nos outils RH ?
Les obligations haut risque qui visent l'emploi et la gestion des travailleurs s'appliqueront le 2 décembre 2027, après le report entré en vigueur le 27 juillet 2026. Trois éléments valent dès maintenant : les interdictions de l'article 5, dont la reconnaissance des émotions sur le lieu de travail, l'obligation de former les équipes à l'IA, et les règles de transparence entrées en application en août 2026. Le RGPD, lui, s'applique sans interruption.
Un assistant interne qui répond aux questions RH pose-t-il un problème ?
C'est l'usage le plus simple à mettre en conformité, à trois conditions. L'assistant répond à partir des documents officiels de l'entreprise et cite sa source. Il ne conserve pas les échanges au-delà de ce qui est nécessaire. Il renvoie vers un interlocuteur humain dès qu'une question porte sur une situation individuelle, un arrêt de travail ou un litige, sujets sur lesquels une réponse générée n'a aucune valeur.
