Un outil d'IA de recrutement est encadré par deux textes européens : le RGPD, qui interdit par principe la décision entièrement automatisée sur une candidature (article 22), et l'AI Act, qui classe le recrutement parmi les systèmes d'IA à haut risque (annexe III). Cette page résume ce que les textes disent, le calendrier d'application, les obligations de l'employeur, et la façon dont Seeqle y répond.
Oui, à une condition centrale : la décision finale ne doit pas être entièrement automatisée. L'article 22 du RGPD pose le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou significatifs, ce qui est le cas d'un refus de candidature.
La CNIL définit la décision entièrement automatisée comme une décision prise « sans qu'aucun être humain n'intervienne dans le processus ». Trois exceptions permettent une décision entièrement automatisée : le consentement explicite de la personne, la nécessité contractuelle, ou une disposition légale spécifique. Aucune de ces exceptions ne couvre confortablement le rejet automatique d'un candidat : la pratique sûre, recommandée de fait par le cadre CNIL, est un outil qui prépare la décision (tri, score, enrichissement) et un humain qui la prend.
Sources : Règlement (UE) 2016/679, article 22 (EUR-Lex, 2016) · CNIL, « Profilage et décision entièrement automatisée » (cnil.fr).
Un score de candidature est un profilage au sens du RGPD : une évaluation automatisée d'aspects personnels. Le scoring est licite tant qu'il reste une aide à la décision. Il devient interdit par principe si le score déclenche seul le rejet, sans examen humain réel de la candidature.
Concrètement, le cadre impose trois droits aux candidats :
Un point d'attention souligné par la doctrine CNIL : une validation humaine purement formelle (cliquer « valider » sans examiner le dossier) ne suffit pas à sortir du champ de l'article 22. L'humain doit avoir la compétence et la latitude de s'écarter du score.
Sources : Règlement (UE) 2016/679, article 22 et considérant 71 (EUR-Lex, 2016) · CNIL, « Profilage et décision entièrement automatisée » (cnil.fr).
L'employeur reste responsable de traitement : il doit définir une base légale, informer les candidats de l'usage d'un outil automatisé, limiter les données collectées à ce qui est pertinent pour évaluer la candidature, et encadrer les durées de conservation. La CNIL a publié un guide du recrutement qui détaille ces obligations.
Obligations principales, telles que documentées par la CNIL dans son guide du recrutement (2023) :
Parce que l'annexe III du règlement européen sur l'IA (règlement (UE) 2024/1689) liste explicitement, au titre de l'emploi, les systèmes d'IA destinés au recrutement ou à la sélection de personnes : diffusion ciblée d'offres d'emploi, tri des candidatures et évaluation des candidats.
L'annexe III, point 4, couvre les systèmes utilisés :
Le classement à haut risque n'interdit pas ces systèmes : il impose des exigences renforcées à leurs fournisseurs (gestion des risques, qualité des données, documentation, transparence, contrôle humain, robustesse) et des obligations à leurs utilisateurs professionnels.
Source : Règlement (UE) 2024/1689, annexe III, point 4 (EUR-Lex, 2024).
L'AI Act est entré en vigueur le 1er août 2024 et s'applique par paliers : interdictions depuis le 2 février 2025, IA à usage général depuis le 2 août 2025, majorité des règles depuis le 2 août 2026. Les obligations des systèmes à haut risque de l'annexe III, dont le recrutement, ont été reportées au 2 décembre 2027.
Le report du 2 août 2026 au 2 décembre 2027 pour l'annexe III résulte du « Digital Omnibus » sur l'IA, entré en vigueur en juillet 2026. Le report ne supprime aucune exigence : il décale leur date d'application, et le RGPD, lui, s'applique déjà intégralement.
Sources : Commission européenne, calendrier officiel de mise en œuvre de l'AI Act (ai-act-service-desk.ec.europa.eu) · Gibson Dunn, « EU AI Act Omnibus Agreement : Postponed High-Risk Deadlines » (2026) · K&L Gates, « EU Digital Omnibus on AI Enters Into Force » (juillet 2026).
L'AI Act distingue le fournisseur (l'éditeur du système) et le déployeur (l'employeur qui l'utilise). L'employeur devra utiliser le système conformément à sa notice, confier la surveillance à des personnes compétentes, conserver les journaux générés, et informer les salariés et leurs représentants avant la mise en service.
Obligations du déployeur (article 26 du règlement) applicables au recrutement :
Ces obligations s'ajoutent au RGPD, elles ne le remplacent pas : l'information des candidats, la base légale et les droits d'accès restent dus dès aujourd'hui.
Source : Règlement (UE) 2024/1689, article 26 (EUR-Lex, 2024).
Seeqle héberge les données dans l'Union européenne, produit un score explicable critère par critère, et ne prend jamais de décision automatique : l'Agent Match qualifie et priorise les candidatures, la décision d'accepter ou de refuser revient toujours à un humain. La plateforme est conçue pour la conformité RGPD et EU AI Act.
Ce que cela signifie concrètement :
Le détail des engagements de sécurité et la manière de les vérifier sont publiés sur la page Sécurité et données du site.
Non. Il interdit par principe la décision entièrement automatisée produisant un effet significatif, comme un rejet. Un outil qui score et priorise les candidatures reste licite si un humain examine réellement les dossiers et prend la décision finale.
Oui. Le RGPD lui donne le droit d'être informé de la logique du traitement, d'obtenir une intervention humaine et de contester la décision. Un score explicable, décomposé par critères, est ce qui permet de répondre à cette demande.
Oui. L'annexe III, point 4, du règlement (UE) 2024/1689 liste le recrutement et la sélection : diffusion ciblée d'offres, tri des candidatures, évaluation des candidats. Les obligations correspondantes s'appliqueront le 2 décembre 2027, après le report décidé par le Digital Omnibus.
Non. L'Agent Match enrichit et score les candidatures avec un score explicable, mais ne rejette aucun candidat : la décision revient toujours au recruteur. C'est un choix d'architecture, pas une option.
Dans l'Union européenne. Les données de vos campagnes ne servent qu'à optimiser vos propres campagnes, et les engagements de sécurité sont détaillés sur la page Sécurité et données.
Sources citées : Règlement (UE) 2016/679 (RGPD), article 22 (eur-lex.europa.eu, 2016) · CNIL, « Profilage et décision entièrement automatisée » (cnil.fr) · CNIL, « Le guide du recrutement » (cnil.fr, 2023) · Règlement (UE) 2024/1689 (AI Act), annexe III point 4 et article 26 (eur-lex.europa.eu, 2024) · Commission européenne, calendrier de mise en œuvre de l'AI Act (ai-act-service-desk.ec.europa.eu) · Gibson Dunn (2026) et K&L Gates (juillet 2026) sur le report Digital Omnibus.
Score explicable, décision humaine, hébergement UE : une démo de 15 minutes montre comment l'Agent Match prépare la décision sans jamais la prendre.
Aller plus loin : Diagnostic Attraction Talents · Agent Attract · Agent Match · Tarifs · Où vos offres sont diffusées · Glossaire RH