IA et recrutement : ce que la CNIL va réellement contrôler en 2026

Le 3 avril 2026, la CNIL a inscrit le recrutement parmi ses thématiques prioritaires de contrôle pour l'année. Ce n'est pas une annonce isolée. Elle intervient au moment où l'usage de l'IA dans les tâches RH progresse vite. Selon les chiffres cités par plusieurs études RH 2025-2026, 43 % des organisations utilisaient déjà l'IA pour au moins une tâche RH en 2026, contre 26 % un an plus tôt.

Deux textes qui s'appliquent en même temps

Le sujet ne se limite pas au RGPD. Le règlement européen sur l'intelligence artificielle (l'IA Act) classe, dans son annexe III, les systèmes destinés à publier des offres d'emploi ciblées, analyser des candidatures, ou évaluer des candidats, comme des systèmes à haut risque. Cette qualification s'applique par défaut, qu'il s'agisse d'un outil de tri automatique de CV ou d'un test d'évaluation assisté par IA. Les obligations renforcées qui en découlent (documentation, supervision humaine, transparence) sont applicables depuis le 2 août 2026.

Le RGPD ne disparaît pas pour autant. La CNIL le rappelle explicitement : les deux textes se complètent. Un outil de scoring automatique de candidatures peut ainsi relever à la fois du RGPD (article 22, sur les décisions individuelles automatisées) et de l'IA Act.

Ce que dit précisément l'article 22 du RGPD

Si une candidature est écartée sur la seule base d'un score calculé automatiquement, sans intervention humaine réelle dans la décision, le candidat dispose d'un droit : demander une intervention humaine et obtenir une explication du résultat. Un outil qui score des CV pour aider un recruteur à prioriser sa lecture n'a pas le même statut qu'un outil qui écarte automatiquement, sans qu'un humain ne revoie la décision.

Ce que les contrôles CNIL regardent concrètement

• L'information donnée aux candidats sur l'usage d'un outil automatisé dans le processus.
• La possibilité réelle d'obtenir une intervention humaine en cas de décision automatisée.
• Les durées de conservation des données candidats, encadrées par un référentiel CNIL publié en avril 2026.
• L'analyse d'impact (AIPD), obligatoire pour les traitements à risque élevé.

Les contrôles cibleront en priorité les grandes entreprises et les cabinets de recrutement, en raison du volume de candidatures traitées. Mais le référentiel sur les durées de conservation, lui, s'applique à toute organisation qui recrute, quelle que soit sa taille.

Une IA qui aide à décider n'est pas une IA qui décide

C'est tout l'enjeu de cette réglementation, et c'est aussi le principe sur lequel repose le Copilote de RH Pilot. Il répond à des questions à partir des données réelles de l'organisation, propose des priorités, explique pourquoi une situation mérite attention. Il ne décide jamais à la place de quelqu'un, et ne score aucun candidat. La distinction que la CNIL et l'IA Act cherchent à faire respecter n'est pas une contrainte extérieure au produit, c'est une manière de penser l'IA en RH qui, en pratique, tient déjà.