IA et recrutement — Risques juridiques et bonnes pratiques pour les DRH

Quand une IA trie des CV, score des candidats ou suggère une présélection, elle n'optimise pas un processus logistique — elle filtre des personnes. Cette différence est fondamentale : une erreur dans un tri de stock n'a pas les mêmes conséquences qu'une erreur dans un tri de candidatures. Le principe de non-discrimination protège les candidats indépendamment du fait que la discrimination soit produite par un humain ou par un algorithme. La responsabilité reste celle de l'organisation qui déploie l'outil.

Deux niveaux de risque discriminatoire à distinguer :

• Discrimination directe — l'outil utilise explicitement un critère illicite (âge, sexe, origine, handicap...) pour classer ou exclure des candidats
• Discrimination indirecte — l'outil utilise des critères apparemment neutres (école fréquentée, code postal, intitulé de poste) qui, en pratique, désavantagent systématiquement certains groupes de personnes

Le Défenseur des droits a alerté sur le risque d'automatisation des discriminations par les algorithmes : un système entraîné sur des données historiques de recrutement peut reproduire et amplifier des biais existants, de façon invisible et à grande échelle.

Un score produit par un algorithme semble objectif — il est chiffré, reproductible, dérivé de données. Mais cette apparence d'objectivité est trompeuse : le score reflète les données d'apprentissage, les critères sélectionnés et les décisions passées de l'organisation. Si ces données ou ces décisions contenaient des biais, le score les répercute — parfois en les amplifiant. L'objectivité apparente d'un outil numérique ne garantit ni son impartialité ni sa conformité juridique.

Ces usages sont parmi les moins risqués car ils interviennent en amont de la décision :

• Rédaction d'annonces — l'IA aide à formuler, reformuler ou vérifier une offre d'emploi. Vigilance : s'assurer que le texte ne contient pas de formulations indirectement discriminantes (préférences d'âge, de profil culturel implicite)
• Sourcing — l'IA identifie des profils sur des plateformes. Vigilance : vérifier quels critères sont utilisés et si le sourcing ne cible pas implicitement certains groupes au détriment d'autres
• Matching — l'IA rapproche un profil d'un poste. Vigilance : comprendre les critères de matching et s'assurer qu'ils sont pertinents et non discriminatoires

Ces usages sont à plus haut risque car ils influencent directement qui passe à l'étape suivante :

• Tri de CV automatisé — l'IA écarte des candidatures avant tout regard humain. Risque élevé si les critères de tri ne sont pas documentés, audités et justifiables
• Scoring de candidats — l'IA attribue une note à chaque profil. Risque élevé si la méthode de calcul n'est pas expliquable et si le score influence directement la décision sans validation humaine
• Présélection — l'IA produit une liste courte à partir d'un volume initial. Risque élevé si la liste est utilisée sans vérification de représentativité et sans possibilité de justifier l'exclusion de chaque candidat écarté

Ces usages sont parmi les plus sensibles du processus de recrutement :

• Entretiens vidéo analysés par IA — analyse du ton, des expressions faciales, du langage. Risque très élevé : ces analyses peuvent capter des caractéristiques protégées (handicap, origine, état de santé) et produire des évaluations non fiables et non justifiables
• Tests comportementaux analysés par IA — inférence de traits de personnalité ou de compétences à partir de comportements numériques. Vigilance forte sur la validité scientifique et la pertinence au regard du poste
• Évaluation automatisée — score ou décision produits sans intervention humaine réelle. À éviter en recrutement sans supervision explicite et documentée

Le code du travail et les directives européennes interdisent la discrimination dans le recrutement sur 25 critères protégés en France : âge, sexe, origine, handicap, état de santé, situation familiale, opinions politiques, convictions religieuses, etc. Une IA entraînée sur des données historiques peut reproduire ces discriminations de façon systématique et invisible. La responsabilité de l'employeur est engagée même si la discrimination est produite par un outil tiers. Les organisations ne peuvent pas se réfugier derrière l'outil pour justifier une décision discriminatoire.

Le RGPD impose la minimisation des données : seules les informations strictement nécessaires à l'appréciation de la capacité du candidat à occuper le poste peuvent être collectées et traitées. En 2024, la CNIL a mis en demeure une société pour avoir collecté des données personnelles excessives dans son processus de recrutement. Les données non pertinentes au regard du poste — situation familiale, activités extra-professionnelles, données de santé, opinions politiques — ne doivent pas transiter dans un outil d'IA, quelle que soit la facilité technique de les inclure.

Un candidat a le droit de comprendre pourquoi sa candidature a été écartée. Si la décision repose sur un score ou un classement produit par une IA dont le fonctionnement n'est pas expliquable, l'organisation ne peut pas honorer ce droit. L'EDPB insiste sur la nécessité de clarifier si la sortie du système est une recommandation ou une décision effectivement appliquée — distinction fondamentale pour déterminer les obligations juridiques applicables. Une organisation qui applique mécaniquement les sorties d'une IA sans validation humaine réelle prend le risque d'une décision automatisée soumise aux obligations de l'article 22 du RGPD.

La ligne de risque la plus importante en recrutement IA : la décision finale d'embauche ne peut pas être confiée à un système automatisé sans intervention humaine réelle. Une "validation" qui consiste à cliquer sur "suivant" sans examiner les critères appliqués n'est pas une supervision humaine. Pour être juridiquement valide, la supervision humaine doit être :

• Réelle — un recruteur examine et comprend les résultats de l'outil avant de décider
• Documentée — la décision et son fondement sont traçables
• Exercée par une personne habilitée — pas déléguée à un stagiaire ou à un processus entièrement automatique

L'annexe III de l'AI Act liste les systèmes d'IA à haut risque. Y figurent explicitement les systèmes utilisés pour le recrutement et la sélection des travailleurs, notamment pour trier les candidatures, évaluer les candidats lors des entretiens et évaluer les compétences. Cette classification entraîne des obligations spécifiques : documentation, tests, supervision humaine, transparence, enregistrement des logs, gestion des risques. Ces obligations pèsent principalement sur les fournisseurs — mais les deployers (les organisations qui utilisent ces outils) ont aussi des responsabilités, notamment de vérification et d'usage conforme.

Pour un DRH ou une organisation qui utilise un outil de recrutement IA potentiellement à haut risque, les implications pratiques sont :

• Vérifier auprès du fournisseur si l'outil est déclaré conforme AI Act et dispose de la documentation requise
• S'assurer que l'organisation respecte les conditions d'usage définies par le fournisseur
• Maintenir une supervision humaine réelle sur les décisions influencées par l'outil
• Être en mesure de documenter et de justifier les décisions de recrutement si elles sont contestées

Ignorer que l'outil utilisé est potentiellement classé à haut risque ne dispense pas de l'obligation de conformité. Un DRH qui déploie un système de scoring ou de présélection sans vérifier sa classification et ses conditions d'usage prend un risque juridique personnel et engage la responsabilité de l'organisation. La question à poser systématiquement au fournisseur : "Votre système est-il concerné par la classification à haut risque de l'AI Act pour les usages en emploi ? Si oui, quelle documentation de conformité pouvez-vous nous fournir ?"

Avant tout déploiement, un minimum de diligence s'impose :

• Quels critères l'outil utilise-t-il pour classer, scorer ou filtrer ?
• Sur quelles données a-t-il été entraîné ? Ces données contenaient-elles des biais historiques ?
• Quelles données lui seront soumises dans votre contexte ? Sont-elles toutes pertinentes et licites ?
• Le fournisseur peut-il documenter et justifier le fonctionnement de l'outil ?
• L'outil produit-il une recommandation ou une décision ? Cette distinction change les obligations applicables.

Trois règles minimales de supervision humaine en recrutement IA :

1. Aucune candidature ne doit être définitivement écartée sans examen humain — une IA peut suggérer une liste courte, mais un recruteur doit vérifier que les exclusions sont justifiables
2. La décision finale d'embauche est toujours humaine — le recruteur ou le DRH est responsable de la décision, pas l'outil
3. La supervision est documentée — noter que la décision a été prise par une personne identifiée, sur quels critères, avec quel niveau d'usage de l'outil IA

Un socle minimal d'audit en continu :

• Tester avant de généraliser — vérifier sur un échantillon si les résultats de l'outil produisent des écarts démographiques inexpliqués
• Documenter l'usage — noter quel outil est utilisé, à quelle étape, avec quelle influence réelle sur la décision
• Surveiller les écarts — comparer régulièrement les profils présélectionnés par l'IA avec la diversité du vivier initial
• Réexaminer les critères — les critères pertinents pour un poste évoluent ; l'outil doit être recalibré en conséquence

• ❌ À éviter : écarter définitivement des candidatures sur la seule base d'un score IA, sans regard humain sur les profils exclus
• ❌ À éviter : utiliser une analyse vidéo automatisée du comportement ou des expressions faciales pour évaluer des compétences professionnelles
• ❌ À éviter : injecter dans l'outil des données non pertinentes au regard du poste (situation familiale, activités personnelles, adresse)
• ❌ À éviter : utiliser un outil dont on ne comprend pas les critères et dont on ne peut pas expliquer les résultats à un candidat

• ✅ Usage prudent : utiliser l'IA pour générer un premier tri indicatif, que le recruteur examine et peut contredire
• ✅ Usage prudent : utiliser l'IA pour reformuler ou vérifier une annonce (biais de langage, formulations potentiellement discriminantes)
• ✅ Usage prudent : utiliser l'IA pour préparer des grilles d'entretien ou des questions structurées, sans lui confier l'évaluation du candidat
• ✅ Usage prudent : utiliser l'IA pour synthétiser des notes d'entretien prises par le recruteur, sans remplacer l'appréciation humaine

La proportionnalité est le principe directeur : l'IA doit apporter une aide réelle sans produire un risque disproportionné. En pratique :

• Plus l'outil influe sur la sélection, plus la supervision humaine doit être renforcée
• Plus les données sont sensibles, plus le périmètre de l'outil doit être resserré
• Un outil qui aide à préparer une décision et un outil qui prend une décision ne relèvent pas du même niveau de vigilance

La règle de base : si vous ne pouvez pas expliquer à un candidat pourquoi il a été écarté, vous n'êtes pas en mesure d'utiliser cet outil dans votre processus.

Le réflexe de beaucoup d'organisations est de déployer d'abord et de cadrer ensuite. En recrutement IA, l'ordre doit être inverse. Les risques juridiques — discrimination, collecte excessive, décision automatisée — ne se corrigent pas facilement après un incident. Ils se préviennent avant le déploiement par la formation, la vérification de l'outil et la définition claire du rôle de l'IA dans la décision.

La sécurisation de l'IA en recrutement ne repose pas sur une seule fonction. Les profils à impliquer avant tout déploiement :

• DPO — vérification de la conformité RGPD, analyse d'impact si nécessaire, base légale du traitement
• Direction juridique — analyse des obligations contractuelles avec le fournisseur, risques de discrimination
• IT / RSSI — vérification de la sécurité de l'outil, flux de données, conditions d'hébergement
• Managers recruteurs — formation aux limites de l'outil, aux critères appliqués et à leur responsabilité dans la décision finale

Un test ponctuel sur un poste spécifique est acceptable pour explorer un outil sans l'intégrer dans tous les processus. Mais dès que l'usage devient régulier, la structuration devient nécessaire : documentation du rôle de l'outil, règles de supervision, audit des résultats, formation des équipes. La formation RH dédiée à la sécurisation des usages IA permet d'acquérir ce cadre méthodologique, et les pages dédiées aux données RH sous RGPD et aux risques RH de l'IA complètent utilement cet approfondissement.