Informer les candidats sur l'IA : modèle de notice
Informer les candidats de l'IA en recrutement : quand le faire, quelles mentions RGPD inclure et quel modèle de notice adapter à votre processus.
Faut-il informer les candidats de l'usage de l'IA en recrutement ?
Oui : l'employeur doit informer les candidats du traitement de leurs données personnelles, et cette information doit refléter l'usage réel d'un outil qui analyse, résume, classe, note ou filtre les candidatures. Une mention vague comme « vos données peuvent être traitées par nos outils » ne permet pas de comprendre le rôle de l'IA ni son effet sur la sélection.
Les articles 13 et 14 du RGPD fixent le socle d'information, selon que les données sont obtenues auprès du candidat ou d'une autre source. La CNIL consacre son guide du recrutement aux finalités, bases légales, droits, durées et logiciels de tri. L'obligation ne naît donc pas du mot « IA » : elle existe parce que des données de candidat sont collectées et utilisées.
Le niveau de détail augmente toutefois avec l'effet du système. Un outil qui extrait des compétences et prépare une synthèse n'est pas équivalent à un moteur qui rejette automatiquement les profils sous un seuil. Avant de rédiger la notice, classez le fonctionnement réel :
| Fonctionnement réel | Rôle de l'humain | Information à privilégier |
|---|---|---|
| Extraction de compétences, résumé ou recherche dans les CV | Le recruteur consulte le dossier et décide sans être lié par la sortie. | Décrire la finalité, les données analysées, les destinataires et l'absence de décision automatique. |
| Score, classement ou recommandation de profils | Le recruteur contrôle les critères, examine les profils et peut renverser le résultat. | Expliquer les critères principaux, le rôle du score et la revue humaine effective. |
| Rejet ou progression automatique sans examen humain significatif | Aucun humain ne contrôle réellement la décision avant son effet. | Analyser l'article 22 ; informer sur la logique, l'importance, les conséquences et les garanties applicables. |
L'EDPB rappelle que l'article 22 vise une décision entièrement automatisée, sans contrôle humain significatif, qui produit des effets juridiques ou affecte la personne de façon similaire. Un refus automatique de candidature peut entrer dans ce cadre. À l'inverse, afficher le nom d'un recruteur dans le workflow ne suffit pas si cette personne valide systématiquement le score sans examiner le dossier. Pour approfondir ce test, consultez notre analyse de la décision automatisée en recrutement.
Quand et où informer un candidat : formulaire, sourcing, e-mail et chatbot
Le bon moment dépend de l'origine des données. En collecte directe, l'article 13 impose l'information au moment où les données sont obtenues. En collecte indirecte, l'article 14 fixe plusieurs bornes : un délai raisonnable ne dépassant pas un mois, le premier contact avec la personne ou la première communication des données à un autre destinataire, selon ce qui intervient.
| Scénario | Moment | Canal recommandé |
|---|---|---|
| Candidature sur le site ou dans l'ATS | Avant ou au moment de l'envoi du formulaire | Mention courte visible près du bouton, avec lien direct vers la notice complète |
| CV reçu par e-mail ou remis lors d'un événement | Au moment de la réception ou dans l'accusé de réception | E-mail contenant les informations essentielles et un lien stable vers la notice |
| Sourcing depuis un réseau professionnel, une CVthèque ou un partenaire | Au plus tard au premier contact, et dans tous les cas dans les limites de l'article 14 | Message d'approche ou e-mail précisant aussi la source et les catégories de données |
| Chatbot ou agent conversationnel candidat | Dès la première interaction | Libellé explicite dans l'interface, puis lien vers les traitements et droits |
Pour une IA complexe, la CNIL recommande une information en plusieurs niveaux : identité du responsable, finalités et droits au premier niveau, puis notice complète immédiatement accessible. Une politique générale perdue dans le pied de page n'est pas un bon point d'entrée. Le candidat ne devrait pas devoir parcourir les mentions relatives aux clients, salariés et cookies pour comprendre ce qui arrive à son CV.
Depuis le 2 août 2026, l'article 50 de l'AI Act prévoit en outre que la personne soit informée lorsqu'elle interagit directement avec un système d'IA, sauf si cela est évident au regard du contexte. L'information doit être claire, reconnaissable et fournie au plus tard lors de la première interaction. Cette règle concerne notamment un chatbot de présélection ; elle ne remplace pas la notice RGPD sur le traitement des réponses. Le texte et ses explications sont accessibles dans le service officiel de la Commission sur l'AI Act.
Quelles mentions RGPD inclure dans la notice IA de recrutement ?
La notice doit décrire le traitement réellement configuré, pas recopier la brochure de l'éditeur. Partez de votre registre, du paramétrage de l'ATS, des flux de données et de la procédure de décision. La checklist suivante reprend le socle des articles 13 et 14 du RGPD, avec les précisions utiles pour un outil d'IA.
| Mention | Ce qu'il faut écrire concrètement |
|---|---|
| Responsable et DPO | Identité et coordonnées de l'employeur ou de l'entité responsable ; contact du DPO s'il existe. |
| Finalités | Gérer la candidature, extraire les compétences, rapprocher le profil du poste, préparer une sélection ou alimenter séparément une CVthèque. |
| Base légale | Indiquer la base retenue pour chaque finalité et, en cas d'intérêt légitime, l'intérêt poursuivi. Ne pas présenter le consentement comme base universelle. |
| Données et caractère obligatoire | Catégories réellement analysées, champs obligatoires ou facultatifs et conséquence d'une absence de réponse. |
| Source en collecte indirecte | Réseau professionnel, CVthèque, cabinet ou recommandation, avec les catégories de données obtenues. |
| Destinataires et fournisseurs | Équipe recrutement, managers concernés, cabinet éventuel, ATS et prestataire IA selon leur rôle réel. |
| Transferts | Pays ou situation de transfert hors EEE, décision d'adéquation ou garanties utilisées, et moyen d'en obtenir une copie. |
| Conservation | Durée par finalité ou critères permettant de la déterminer ; distinguer recrutement en cours, vivier et archivage probatoire. |
| Droits et réclamation | Droits applicables selon la base légale, canal d'exercice, et possibilité de saisir la CNIL. |
| Décision automatisée, le cas échéant | Existence, logique générale, importance, conséquences et garanties si le traitement relève de l'article 22. |
Le fournisseur ne doit pas disparaître derrière le terme générique « partenaires ». Les articles 13 et 14 demandent les destinataires ou catégories de destinataires. L'éditeur de l'ATS ou du moteur IA peut être un sous-traitant lorsqu'il agit uniquement sur instruction, mais cette qualification n'est pas automatique : vérifiez le contrat, ses usages propres des données, ses sous-traitants ultérieurs et les transferts. Nommer le fournisseur peut rendre l'information plus concrète ; l'essentiel est de ne pas lui attribuer un rôle juridique fictif.
Même exigence pour la conservation : évitez « pendant la durée nécessaire ». Indiquez une durée ou des critères vérifiables. La conservation pendant le recrutement, l'ajout facultatif à une CVthèque et l'archivage pour la défense de droits répondent à des finalités distinctes. Notre guide sur la durée de conservation d'un CV aide à construire cette matrice sans appliquer un délai unique à toutes les données.
Passez de la méthode au déploiement
Profilya vous accompagne pour cadrer le cas d'usage, sécuriser les données et déployer une automatisation adaptée à vos outils et à vos équipes.
Checklist de conformité IA RHComment expliquer le score, ses conséquences et l'intervention humaine
Informer ne signifie pas publier le code source, une formule mathématique ou le secret industriel du fournisseur. Il faut permettre au candidat de comprendre ce que le système fait avec son dossier et ce que sa sortie change. Lorsque la décision entre dans le champ de l'article 22, les articles 13, 14 et 15 exigent notamment des informations utiles sur la logique sous-jacente, l'importance et les conséquences prévues.
Une explication utile répond à cinq questions :
- Entrées : quelles données sont analysées — expérience, compétences, diplômes ou réponses à un questionnaire ?
- Critères : quels éléments liés au poste sont comparés, pondérés ou recherchés ?
- Sortie : l'outil produit-il une extraction, un score, un classement, une recommandation ou un seuil ?
- Effet : la sortie ordonne-t-elle les dossiers, déclenche-t-elle une revue ou exclut-elle automatiquement ?
- Contrôle : qui examine le résultat, sur quelles informations et avec quelle capacité de le modifier ?
La phrase « notre IA peut nous aider à évaluer votre profil » reste trop abstraite. Préférez : « l'outil extrait les expériences et compétences déclarées, puis les rapproche des critères définis dans l'offre ; le score sert à organiser la revue des candidatures et ne provoque pas, à lui seul, un rejet ». Cette formulation révèle la fonction sans promettre une neutralité ou une exactitude absolue.
Si l'entreprise affirme qu'un humain décide, la procédure doit le prouver. Le recruteur doit voir davantage que le score, pouvoir consulter les données utilisées, corriger une extraction erronée, examiner les profils mal classés et s'écarter de la recommandation. Le candidat doit disposer d'un contact pour signaler une erreur, exprimer son point de vue ou contester un résultat. Ces possibilités ne transforment pas mécaniquement tout traitement en cas autorisé au titre de l'article 22 : elles complètent l'analyse préalable du fonctionnement et de la base juridique.
L'AI Act ajoute une obligation propre aux systèmes à haut risque qui prennent ou aident à prendre des décisions concernant des personnes : le déployeur devra informer la personne qu'elle est soumise à leur utilisation. Pour les systèmes de l'annexe III, notamment certains usages de tri et d'évaluation en emploi, l'application des obligations des sections 1 à 3 du chapitre III a été reportée au 2 décembre 2027 par le règlement (UE) 2026/1744. Ce report ne suspend ni le RGPD ni l'article 50 applicable aux interactions directes avec une IA. Préparer dès maintenant la notice évite donc deux refontes successives.
Modèle de notice pour informer les candidats de l'IA
La trame ci-dessous est conçue pour un outil d'aide à la décision avec revue humaine. Elle doit être adaptée au responsable, à la base légale, aux données, aux destinataires, aux transferts, aux durées et au fonctionnement effectif. Elle ne constitue ni une validation juridique ni une notice universelle. Supprimez toute phrase inexacte et faites vérifier les cas sensibles par votre DPO ou votre conseil.
Notice d'information — utilisation d'un outil d'IA dans le recrutement
Qui utilise vos données ?
[Nom légal, adresse et coordonnées] traite les données relatives à votre candidature en qualité de responsable du traitement. Vous pouvez contacter [notre délégué à la protection des données / notre point de contact] à [adresse].
Pourquoi traitons-nous vos données ?
Nous utilisons vos données pour [gérer votre candidature au poste concerné], [évaluer l'adéquation de votre expérience et de vos compétences avec les critères du poste] et [organiser les étapes du recrutement]. Chaque finalité repose sur [base légale exacte à préciser]. Lorsque nous invoquons notre intérêt légitime, celui-ci consiste à [intérêt poursuivi à décrire]. [Option distincte : avec votre accord lorsque celui-ci est requis, nous pouvons conserver votre profil dans notre vivier afin de vous proposer d'autres postes.]
Comment l'outil d'IA intervient-il ?
Un outil d'aide au recrutement analyse [catégories exactes : CV, expériences, compétences, diplômes, réponses] afin de [extraire et structurer les informations / les rapprocher des critères définis pour le poste / produire un score ou un classement]. Les critères principaux pris en compte sont [liste compréhensible des critères liés au poste]. Le résultat sert à [effet exact : organiser la revue, signaler les correspondances ou préparer une synthèse].
Qui prend la décision ?
L'outil [ne rejette pas automatiquement une candidature et] ne prend pas la décision finale. Un membre habilité de l'équipe recrutement examine [le dossier, les informations extraites et la recommandation], peut corriger le résultat et peut décider de ne pas le suivre. [Si cette description ne correspond pas au processus réel, ne pas l'utiliser : documenter la décision automatisée et les garanties applicables avec le DPO.]
Quelles données utilisons-nous et d'où viennent-elles ?
Nous traitons [catégories exactes]. [En cas de collecte indirecte : ces données proviennent de [source précise ou catégorie de source], notamment [éléments issus d'une source accessible au public, le cas échéant].] Les champs [liste] sont nécessaires à [finalité] ; sans eux, [conséquence concrète]. Les autres champs sont facultatifs.
Qui peut accéder aux données ?
Les données sont accessibles, dans la limite de leurs fonctions, à [recruteurs, RH et managers concernés]. Elles sont traitées pour notre compte par [nom ou catégorie du fournisseur ATS/IA], ainsi que par [catégories pertinentes de sous-traitants]. [Le cas échéant : certaines données sont transférées vers [pays ou situation hors EEE] sur le fondement de [décision d'adéquation / garanties], dont une copie peut être obtenue auprès de [contact ou lien].]
Combien de temps conservons-nous les données ?
Les données liées à cette candidature sont conservées pendant [durée ou critère précis]. [Option CVthèque : si la conservation dans le vivier est mise en œuvre, elles sont conservées pendant [durée] à compter de [point de départ], avec [modalité de retrait].] [Option archivage : les données nécessaires à la constatation, l'exercice ou la défense de droits sont archivées séparément pendant [durée justifiée].]
Quels sont vos droits ?
Selon la base légale et votre situation, vous pouvez demander l'accès à vos données, leur rectification ou leur effacement, la limitation du traitement, vous opposer au traitement ou exercer [autres droits effectivement applicables]. Vous pouvez aussi nous signaler une donnée ou une extraction inexacte, demander l'examen de votre situation par [contact humain] et exprimer votre point de vue. Adressez votre demande à [canal]. Vous pouvez introduire une réclamation auprès de la CNIL sur cnil.fr.
Version [numéro] — mise à jour le [date]. Notice complète et actualisée : [URL stable].
Pour le formulaire, vous pouvez afficher un premier niveau plus court : « [Entreprise] utilise vos données pour gérer et évaluer votre candidature. Un outil d'IA [fonction exacte] ; [absence ou existence de décision automatique]. Consultez la notice complète pour connaître les données, critères, destinataires, durées et vos droits. » Le lien doit mener directement au texte ci-dessus, pas à une page d'accueil.
N'ajoutez pas une case obligatoire « J'accepte l'utilisation de l'IA » uniquement pour prouver que le candidat a lu la notice. Informer n'est pas recueillir un consentement. Si une finalité distincte repose réellement sur le consentement, par exemple certains usages de CVthèque selon votre analyse, prévoyez une demande séparée, facultative, spécifique et retirable.
Prouver l'information et déployer la notice sans angle mort
Une notice correcte mais impossible à relier à un candidat ou à une date laisse un défaut de preuve. La CNIL demande de documenter la conformité, notamment au moyen des mentions d'information, du registre, des procédures de droits et des contrats avec les sous-traitants. Il n'est pas nécessaire de transformer l'information en consentement forcé : il faut garder la trace de la version rendue accessible et du canal utilisé.
- Cartographier le flux réel : sources, données envoyées à l'outil, fonctions activées, sorties, seuils, utilisateurs et décision finale.
- Valider les rôles : responsable, responsable conjoint ou sous-traitant ; vérifier les traitements propres du fournisseur et ses transferts.
- Versionner la notice : numéro, date d'effet, archive des versions et journal des modifications de l'outil ou des finalités.
- Tracer la délivrance : version affichée dans le formulaire, horodatage de l'envoi, modèle d'accusé de réception et message de sourcing utilisé.
- Tester le parcours : candidature mobile, candidature par e-mail, import d'une CVthèque, recommandation interne, cabinet et chatbot.
- Tester les droits : retrouver les données d'un candidat dans l'ATS et chez le fournisseur, corriger une extraction et transmettre la demande aux sous-traitants concernés.
- Synchroniser les changements : toute nouvelle source, nouvelle finalité, nouveau score ou automatisation du rejet déclenche une revue de la notice et de l'analyse de risque.
La notice exhaustive proposée dans le guide recrutement de la CNIL constitue un second point de contrôle, mais la CNIL précise elle-même qu'elle doit être adaptée au traitement envisagé. Pour vérifier le reste du dispositif — registre, AIPD, supervision, fournisseur et sécurité — utilisez notre checklist de conformité IA RH.
Vous voulez un tri de CV explicable et contrôlé ?
Profilya conçoit des workflows où les critères, les sorties et la validation humaine restent visibles. Découvrez notre solution de tri de CV par IA et les garde-fous prévus pour conserver la décision côté recruteur.
Cet article présente une méthode générale à jour au 8 août 2026. Il ne constitue pas un conseil juridique individualisé. Sources officielles principales : articles 12 à 15 et 22 du RGPD sur EUR-Lex, guide recrutement de la CNIL, fiche CNIL sur l'information en matière d'IA, lignes directrices de l'EDPB, et règlements (UE) 2024/1689 et 2026/1744.
Questions fréquentes
Faut-il informer les candidats dès qu'une IA est utilisée en recrutement ?
Le candidat doit recevoir l'information RGPD sur les traitements de ses données. Lorsque l'IA analyse, classe ou évalue sa candidature, il est prudent de décrire clairement cet usage, son rôle et ses conséquences. Si une décision relevant de l'article 22 du RGPD est entièrement automatisée, l'existence de cette décision, sa logique générale, son importance et ses conséquences prévues font partie des informations à fournir.
Quand faut-il remettre la notice d'information au candidat ?
En collecte directe, l'information est fournie au moment où les données sont obtenues, par exemple dans le formulaire de candidature. En collecte indirecte, elle doit être donnée dans un délai raisonnable ne dépassant pas un mois, au plus tard au premier contact avec le candidat ou lors de la première communication des données à un autre destinataire, selon l'événement qui intervient.
Un lien vers la politique de confidentialité générale suffit-il ?
Pas s'il est difficile à trouver ou ne décrit pas le traitement de recrutement concerné. La CNIL recommande une information accessible, claire et organisée en plusieurs niveaux : une mention courte au point de collecte, puis un lien direct vers une notice complète propre aux candidats et à l'usage de l'IA.
Faut-il révéler l'algorithme ou le code source de l'outil de recrutement ?
Le RGPD ne demande pas de publier le code source. Lorsqu'une décision automatisée relevant de l'article 22 existe, il faut fournir des informations utiles et compréhensibles sur la logique générale, l'importance et les conséquences prévues : données et critères principaux, rôle du score, seuil éventuel, effet sur la candidature et moyens de contestation.
Quelle différence entre aide à la décision et décision automatisée ?
Dans une aide à la décision, l'IA produit un score, un classement ou une synthèse, mais un recruteur examine réellement le dossier et peut s'écarter du résultat. Une décision automatisée au sens de l'article 22 est fondée exclusivement sur le traitement automatisé, sans contrôle humain significatif, et produit un effet juridique ou affecte significativement le candidat, par exemple un rejet automatique définitif.
Doit-on nommer l'éditeur de l'outil d'IA dans la notice ?
Les articles 13 et 14 du RGPD imposent d'indiquer les destinataires ou catégories de destinataires. Nommer l'éditeur peut améliorer la transparence, mais sa qualification doit correspondre au contrat et au fonctionnement réel : sous-traitant, responsable conjoint ou responsable distinct selon le cas. Il faut aussi décrire les éventuels transferts hors Espace économique européen et leurs garanties.
Le modèle de notice proposé est-il juridiquement validé ?
Non. C'est une trame pratique à adapter au processus, à la base légale, aux fournisseurs, aux durées et aux décisions réellement mises en œuvre. Elle ne remplace ni l'analyse du DPO ni, lorsque le risque ou le contexte le justifie, une revue juridique individualisée.
Pages associées
Pour aller plus loin
Checklist de conformité IA RH
Profilya vous accompagne pour cadrer le besoin, sécuriser les données et déployer une solution adaptée à vos outils et à vos équipes.