Tri de CV par l’IA : les autorités européennes vont venir vérifier

Le 10 novembre 2026, le Comité européen de la protection des données (CEPD), qui réunit les CNIL européennes, a retenu le thème de sa sixième action coordonnée : les décisions automatisées, avec en premier lieu les outils de recrutement fondés sur l’IA. La CNIL l’a relayé le 12 novembre. Les autorités nationales qui le souhaitent rejoindront l’action dans les semaines qui viennent, pour des contrôles qui démarreront en 2027.

Ce qui sera regardé

Deux droits sont au centre de l’exercice. Le premier : ne pas faire l’objet d’une décision fondée uniquement sur un traitement automatisé lorsqu’elle produit des effets importants, ce qui est le cas d’un refus de candidature. Le second : le droit d’accès, c’est-à-dire la possibilité pour un candidat de savoir quelles données le concernent et comment elles ont été utilisées.

Ce que cela change pour une TPE qui recrute

Beaucoup de plateformes d’annonces et de logiciels RH proposent désormais un tri automatique des candidatures. Les utiliser n’est pas interdit, mais trois précautions évitent les ennuis :

1. Gardez une personne dans la boucle. Un humain doit pouvoir revoir un classement et décider réellement, pas seulement valider en un clic.
2. Informez les candidats. Indiquez dans l’annonce ou l’accusé de réception qu’un outil aide au tri, et à qui écrire pour obtenir une explication.
3. Documentez l’outil. Demandez à l’éditeur ce que son logiciel analyse, où sont hébergées les données et combien de temps elles sont conservées. Gardez sa réponse.

Le calendrier européen bouge aussi

Le règlement européen sur l’IA a été ajusté en juillet 2026 par un « omnibus numérique » (règlement 2026/1744). Selon l’analyse publiée par Law & Technology, il reporte au 2 décembre 2027 certaines obligations des systèmes à haut risque, catégorie dont relèvent les outils de recrutement, et fixe au 2 décembre 2026 l’échéance de marquage des contenus générés par IA pour les systèmes déjà sur le marché. Le report ne dispense pas du RGPD, qui s’applique déjà : c’est précisément ce que le CEPD vient contrôler.