Recrutement : la CNIL contrôle en 2026 le tri automatisé des candidatures

Chaque année, la CNIL annonce les sujets sur lesquels elle concentrera une partie de ses contrôles. Pour 2026, la liste publiée le 3 avril en compte trois : le recrutement, le répertoire électoral unique et les fédérations sportives. L'autorité précise qu'elle mène plusieurs centaines de contrôles par an, dont environ 20 % relèvent de ces thèmes prioritaires.

Ce que la CNIL va vérifier

La CNIL a publié son guide du recrutement en janvier 2023. Trois ans plus tard, elle veut vérifier comment il est appliqué, sur trois points :

• les systèmes de prise de décision automatisée ;
• l'information des candidats ;
• les durées de conservation des données.

Les contrôles visent en priorité les grandes entreprises et les cabinets de recrutement, en raison du volume de candidatures qu'ils traitent.

L'autorité ajoute un élément de calendrier : ce thème doit aussi la préparer à son futur rôle d'autorité de surveillance du marché pour le domaine du travail, dans le cadre du règlement européen sur l'IA.

Ce que cela implique pour une PME

Une petite entreprise n'est pas la cible première, mais les règles sont les mêmes. La fiche que la CNIL consacre aux TPE et PME les résume. Voici celles qui touchent directement les outils d'IA.

Informer les candidats. La mention d'information doit signaler, quand c'est le cas, l'existence d'une prise de décision automatisée, par exemple un algorithme qui trie les candidatures. Elle s'ajoute aux mentions habituelles : responsable du traitement, finalité, destinataires, durée de conservation, droits.

Informer le CSE. Avant d'utiliser ou de modifier des outils ou des techniques de recrutement, l'employeur doit en informer le comité social et économique, conformément au droit du travail.

Limiter la conservation. Après une réponse négative, un CV peut rejoindre un vivier pendant deux ans au maximum à compter du dernier contact, et le candidat doit en être informé.

Ne collecter que l'utile. Seules les informations qui servent à évaluer l'aptitude au poste sont admises. Un outil qui déduit ou réclame autre chose sort du cadre.

Documenter. Les fichiers de recrutement figurent au registre des traitements, et une analyse d'impact doit être menée quand elle est nécessaire.

Les points à vérifier chez votre fournisseur

Beaucoup de logiciels de recrutement intègrent désormais un classement ou une note automatique des candidatures, parfois activés par défaut. Avant le prochain recrutement, trois questions méritent une réponse écrite :

1. L'outil écarte-t-il ou relègue-t-il des candidatures sans qu'une personne les regarde ?
2. Sur quels critères le classement repose-t-il, et peut-on le désactiver ?
3. Combien de temps les données sont-elles gardées, et où ?

Les limites

L'annonce de la CNIL ne donne ni le nombre de contrôles prévus sur le recrutement, ni leur calendrier. La fiche destinée aux TPE et PME date de janvier 2023 et ne traite pas en détail des outils d'IA apparus depuis. Enfin, le rôle de la CNIL au titre du règlement sur l'IA est présenté comme à venir.

Notre lecture

Le signal est clair : le tri automatisé des candidatures est désormais regardé de près, et le sera davantage quand le règlement sur l'IA s'appliquera aux systèmes de recrutement. Pour une PME, la mise en ordre tient en une demi-journée : relire la mention d'information des candidats, vérifier les réglages de l'outil, fixer une règle de purge des CV et tracer l'information du CSE. Et garder un principe simple : aucune candidature écartée sans regard humain.