RGPD, AI Act, CNIL : ce qui change pour l'IA de sourcing en 2026

L'IA de sourcing avance plus vite que le cadre légal ne se stabilise. Entre le RGPD, le Code du travail et l'AI Act européen, un recruteur qui utilise l'IA pour trouver ou qualifier des candidats doit répondre à des obligations précises, et la CNIL a justement choisi 2026 pour vérifier qui les respecte. Voici ce qui s'applique réellement, article par article.

Le RGPD s'applique-t-il au sourcing par IA ?

Oui, sans exception. Dès qu'un outil traite des données personnelles de candidats (identifiées ou identifiables), qu'il s'agisse d'un CV, d'un profil LinkedIn ou d'un score calculé, le RGPD s'applique. Un algorithme ne change pas la nature juridique du traitement : il ajoute une obligation supplémentaire de transparence.

Les articles 13 et 14 du RGPD imposent d'informer le candidat, au moment de la collecte, de l'identité du responsable de traitement, de la finalité, de la base légale et de la durée de conservation. L'article 22 encadre spécifiquement les décisions individuelles automatisées : un score ou un classement produit par un algorithme ne peut jamais remplacer seul une décision de recrutement.

Que dit le Code du travail sur le recrutement assisté par IA ?

Le Code du travail pose trois règles simples : informer avant d'utiliser un outil de sourcing ou de sélection, ne collecter que des données en lien direct avec l'emploi proposé, et ne jamais s'appuyer sur des données obtenues sans cette information préalable.

L'article L. 1221-8 impose l'information préalable du candidat sur les méthodes de recrutement utilisées, y compris automatisées. L'article L. 1221-6 limite les données collectées à celles qui présentent un lien direct et nécessaire avec le poste. L'article L. 1221-9 interdit de recourir à des données obtenues sans respecter cette information. Un comité social et économique doit en outre être consulté avant le déploiement d'un nouvel outil de recrutement, en application de l'article L. 2312-38.

Quelles obligations de l'AI Act européen s'appliquent déjà en 2026 ?

Le règlement européen sur l'IA classe le recrutement parmi les usages à haut risque, mais le calendrier a changé cette année. Le règlement UE 2026/1744, dit Digital Omnibus, est entré en vigueur le 27 juillet 2026 et reporte les obligations les plus lourdes (documentation technique, gestion des risques, enregistrement) au 2 décembre 2027.

Ce report ne suspend pas tout. Les obligations de transparence de l'article 50 restent dues : un candidat doit savoir qu'il interagit avec un système d'IA ou qu'une IA intervient dans le traitement de sa candidature. L'article 5 interdit par ailleurs, de façon absolue et sans délai, l'inférence d'émotions par des systèmes de reconnaissance biométrique dans un contexte de travail. Un cabinet ou une entreprise qui utilise déjà de l'IA pour son sourcing a donc intérêt à documenter ses pratiques dès maintenant plutôt que d'attendre 2027 : construire les bons processus prend du temps, et le report du calendrier ne raccourcit pas ce délai.

Combien de temps peut-on conserver les données d'un candidat non retenu ?

La règle constante de la CNIL fixe une durée de conservation de deux ans maximum après le dernier contact avec le candidat, sauf accord explicite de ce dernier pour rester dans un vivier. Passé ce délai, les données doivent être supprimées ou anonymisées.

Un vivier de candidatures reste possible, mais il suppose un consentement documenté et renouvelé, pas une conservation par défaut. C'est un des points que la CNIL vérifie en priorité lors de ses contrôles.

Qu'est-ce que la CNIL va contrôler en 2026 ?

La CNIL a inscrit le recrutement parmi ses thématiques de contrôle prioritaires pour 2026, annoncées le 3 avril 2026. Trois points sont dans son viseur : les systèmes de décision automatisée utilisés pour sélectionner les candidats, l'information réellement donnée aux candidats, et les durées de conservation des données.

Les grandes entreprises et les cabinets de recrutement, qui traitent le plus gros volume de candidatures, sont les premiers ciblés. Mais l'obligation de conformité RGPD ne dépend pas de la taille de l'entreprise : une PME qui recrute avec un outil non conforme prend le même risque, à une échelle différente. Le coût d'un contrôle raté s'ajoute d'ailleurs à un poste déjà lourd : voir notre analyse du coût d'un recrutement en France.

Comment une plateforme d'acquisition de talents IA reste-t-elle conforme ?

Trois principes structurent l'approche de Seeqle sur ce sujet : la décision de recrutement reste humaine, les données sont hébergées dans l'Union européenne, et les données d'une campagne ne servent qu'à optimiser cette même campagne, jamais à alimenter un profilage croisé entre clients.

Concrètement, l'Agent Match produit un score d'aide à la décision à partir de données publiques et déclaratives, jamais d'une analyse biométrique ou émotionnelle. Le recruteur garde la main sur chaque étape : il voit le détail du score, peut l'écarter, et reste seul décisionnaire final. C'est une différence structurante avec un système qui trierait ou rejetterait automatiquement des candidatures sans intervention humaine.

Quels recours pour un candidat qui s'estime lésé ?

Un candidat dispose de plusieurs voies de recours, cumulables. Il peut demander l'accès à ses données personnelles et aux critères ayant conduit à une décision. Il peut saisir la CNIL en cas de manquement au RGPD. En cas de discrimination suspectée, il peut alerter le Défenseur des droits ou saisir le conseil de prud'hommes ; le régime probatoire lui est alors favorable, puisqu'il lui suffit de présenter des faits laissant supposer une discrimination pour que l'employeur doive justifier une décision étrangère à toute discrimination.

Pour un recruteur, la meilleure protection reste la même des deux côtés de la loi : documenter les critères utilisés, garder une trace de la décision humaine finale, et pouvoir expliquer, à tout moment, pourquoi un profil a été retenu ou écarté.

‍

Pour en savoir plus sur la technologie IA de Seeqle, rendez-vous sur seeqle.com.