Tri de CV par IA : le guide DRH pour rester légal

Oui, vous pouvez trier des CV avec une IA sans enfreindre la loi, à condition de traiter cet usage comme un système à haut risque : un humain garde la décision, les candidats sont informés, et vous testez régulièrement l'absence de discrimination. C'est cette combinaison, et non l'interdiction de l'outil, qui vous met à l'abri. Beaucoup de directions RH oscillent entre deux réflexes également risqués : brancher un outil de tri sans se poser de question, ou l'interdire par peur du droit. Cet article vous donne la méthode intermédiaire, celle qui laisse l'IA vous faire gagner du temps tout en restant défendable devant un candidat, un juge ou la CNIL.

Le problème : un outil de productivité qui est aussi un système à haut risque

Un logiciel qui classe, note ou présélectionne des candidatures fait exactement ce que le règlement européen sur l'IA surveille de plus près : il oriente une décision qui touche l'accès d'une personne à l'emploi. Le recrutement figure explicitement parmi les usages classés « haut risque ». Cela ne veut pas dire que l'outil est interdit, mais qu'il déclenche un socle d'obligations précises que la plupart des DRH découvrent une fois l'outil déjà en production.

Le scénario que je vois revenir : une équipe RH adopte un module de scoring de CV livré avec l'ATS, séduite par le gain de temps, sans savoir sur quels critères il note ni comment il a été entraîné. Six mois plus tard, un candidat écarté demande sur quelle base il a été refusé, et personne ne sait répondre. C'est à ce moment précis que le gain de productivité se transforme en risque juridique et réputationnel.

La difficulté tient à ce que trois cadres se superposent sur ce seul usage : le règlement sur l'IA (parce que le recrutement est à haut risque), le RGPD (parce que vous traitez des données personnelles de candidats), et le droit du travail (parce que la non-discrimination à l'embauche est une obligation ancienne et sévèrement sanctionnée). La bonne nouvelle, c'est qu'une seule méthode permet de tenir les trois en même temps.

La méthode en 4 étapes pour un tri de CV défendable

Appliquez ces quatre étapes dans l'ordre, avant de généraliser l'outil à tous vos recrutements. Chacune ferme une des portes par lesquelles une sanction ou un litige peut entrer.

Étape 1 : qualifier l'usage et cartographier l'outil

Commencez par nommer ce que fait réellement votre outil. Se contente-t-il de lire et d'extraire des informations, ou attribue-t-il un score, un classement, une recommandation de rejet ? Dès qu'il influence la sélection, vous êtes sur un usage à haut risque et vous devez le documenter. Listez aussi les outils que vos équipes utilisent sans validation officielle, un assistant génératif pour rédiger une synthèse de CV compte déjà. On ne sécurise pas ce que l'on ne voit pas. Pour situer précisément cet usage dans les niveaux de risque du règlement, appuyez-vous sur la méthode de classement des IA à haut risque.

À ce stade, notez également votre rôle : si vous achetez une solution du marché, vous êtes déployeur et vos obligations portent surtout sur l'usage et la supervision. Si vous développez ou rebaptisez votre propre outil, vous devenez fournisseur, avec des obligations bien plus lourdes.

Étape 2 : garder un humain décideur

C'est le garde-fou le plus important, et le plus simple à énoncer : une IA ne doit jamais écarter seule une candidature. Le RGPD encadre les décisions entièrement automatisées produisant des effets sur une personne, et un refus de recrutement en fait partie. Concrètement, l'IA peut trier, ordonner, signaler, mais un recruteur doit examiner les dossiers avant tout rejet et pouvoir aller à l'encontre de la machine.

Cette supervision ne vaut que si elle est réelle. Un recruteur qui valide en bloc, en trois secondes, une liste déjà classée par l'IA n'exerce pas de contrôle véritable. Donnez à vos équipes le temps, les critères et l'autorité de contredire l'outil, et tracez ces revues.

Une IA qui présélectionne n'est un problème que le jour où plus personne ne relit ses choix. Le tri automatique n'est pas interdit ; la décision automatique sur une personne, elle, l'est.

Étape 3 : informer les candidats et documenter

Les candidats ont le droit de savoir qu'une IA intervient dans le traitement de leur candidature, sur quelles catégories de données elle s'appuie et selon quelle logique générale. Cette information se place dans votre politique de confidentialité candidats et, idéalement, dès l'offre d'emploi. En parallèle, constituez le dossier qui prouvera votre bonne foi en cas de contrôle : finalité de l'outil, critères utilisés, mesures de supervision, base légale du traitement.

Documenter n'est pas un exercice bureaucratique. C'est ce qui vous permet, le jour où un candidat ou un régulateur pose une question, de répondre avec des faits plutôt qu'avec un silence. Un tri dont vous ne pouvez pas expliquer les critères est un tri que vous ne pouvez pas défendre.

Étape 4 : tester et corriger les biais

Une IA de recrutement apprend sur vos données passées. Si vos recrutements historiques favorisaient un profil, le modèle reproduira et amplifiera ce biais, en toute discrétion. Le danger est d'autant plus grand que la discrimination peut être indirecte : un critère apparemment neutre, comme la distance domicile-travail ou un trou dans un parcours, peut désavantager systématiquement un groupe protégé.

Mettez en place un test de biais avant le déploiement, puis à intervalles réguliers : comparez les taux de sélection selon le sexe, l'âge ou l'origine supposée, à compétences égales, et corrigez les écarts significatifs. Exigez de votre fournisseur qu'il documente les données d'entraînement et les mesures anti-biais. Ce protocole rejoint la logique d'un audit de sécurité d'une application IA, appliquée cette fois à l'équité des sorties.

Ce que vous risquez en cas de tri non maîtrisé

Les sanctions se cumulent parce que les cadres se cumulent. Voici les trois portes d'entrée d'un contentieux, et ce qui les referme :

Au-delà de l'amende, le vrai coût d'un tri qui discrimine est réputationnel : une candidature écartée pour une mauvaise raison, rendue publique, abîme durablement votre marque employeur. Pour mesurer précisément l'exposition financière au titre du règlement, je détaille le barème dans mon article sur le montant des sanctions de l'AI Act.

Questions fréquentes

L'IA peut-elle rejeter automatiquement une candidature ?

Non, pas de façon entièrement automatique. Elle peut trier et classer, mais un recruteur doit examiner les dossiers avant toute décision de rejet et pouvoir s'écarter de la recommandation de la machine. Une présélection totalement automatique produisant l'écartement d'un candidat est précisément ce que le RGPD encadre le plus strictement.

Dois-je prévenir les candidats que j'utilise une IA ?

Oui. Les candidats doivent être informés du recours à un outil d'IA, des catégories de données traitées et de la logique générale du tri. Cette information se place dans votre politique de confidentialité candidats et, idéalement, dès l'annonce. La transparence n'est pas seulement une obligation, c'est aussi un gage de sérieux vis-à-vis des talents que vous cherchez à attirer.

Comment savoir si mon outil de tri discrimine ?

En le testant. Comparez les taux de sélection entre groupes, à compétences équivalentes, et surveillez les critères indirects qui peuvent désavantager un profil sans le dire. Demandez à votre fournisseur la documentation des données d'entraînement et des mesures anti-biais. Un outil qui ne peut pas être audité est un outil que vous ne devriez pas déployer sur des décisions humaines.

Suis-je responsable si l'outil vient d'un éditeur ?

Oui, pour l'usage que vous en faites. En tant que déployeur, vous répondez de la supervision, de l'information des candidats et du choix de l'outil. L'éditeur porte ses propres obligations de fournisseur, mais cela ne vous décharge pas des vôtres. D'où l'importance de contractualiser la transparence sur les données et les tests de biais.

Par où commencer si l'outil est déjà en production ?

Par la qualification et la cartographie (étape 1), puis par un état des lieux de la supervision et des biais existants. En une à deux semaines, vous savez où vous êtes exposé et dans quel ordre traiter les écarts. C'est précisément l'objet d'un audit Sécurité et Conformité IA.

Plutôt que de deviner, vous pouvez situer votre exposition lors d'un premier échange : on regarde votre outil de tri réel, vos processus de supervision et vos risques majeurs, sans engagement.

Cet article a une visée pédagogique et ne constitue pas un conseil juridique. Chaque situation mérite une analyse au cas par cas.