IA dans le recrutement : le guide de conformité 2026 (France et UE)

Le recrutement assisté par IA en France ne relève pas d’une mosaïque d’États qui se contredisent comme aux États-Unis : un cadre unique et harmonisé à l’échelle de l’UE s’applique, et il se résume à quatre obligations récurrentes : prévenir les candidats lorsque l’IA intervient, empêcher l’outil de discriminer (la discrimination indirecte compte, l’intention non), garder un humain doté d’un réel pouvoir d’annulation dans la boucle, et savoir expliquer puis permettre de contester une décision défavorable. Maîtrisez ce point d’intersection et vous êtes couvert. Si vous dirigez une petite équipe qui utilise l’IA quelque part dans son recrutement, sans conseil juridique en droit social, voici la version « que fais-je lundi matin », pas une exégèse juridique.

Une précision avant que la panique ne s’installe : ceci n’est pas un conseil juridique. C’est une carte opérationnelle pour les fondateurs et les équipes RH réduites à une seule personne, qui ont lu une alerte alarmiste d’un cabinet d’avocats et veulent une checklist.

Quelles lois s’appliquent au recrutement par IA en France ?

Bonne nouvelle pour qui redoute le casse-tête américain : en France, il n’existe pas de patchwork d’États qui se contredisent. Un seul cadre, harmonisé dans toute l’Union européenne, gouverne l’IA dans le recrutement, et il repose sur deux textes.

Le premier est l’AI Act européen (Règlement (UE) 2024/1689). Il classe explicitement comme « à haut risque » les systèmes d’IA utilisés pour publier des offres, filtrer les candidatures, présélectionner et évaluer les candidats (Annexe III, point 4). Les obligations qui pèsent sur le déployeur d’un tel système — gestion des risques, documentation technique, journalisation, supervision humaine, transparence — deviennent applicables le 2 août 2026.

Le second est le RGPD, déjà en vigueur depuis 2018. Son article 22 donne à toute personne le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets significatifs — ce qui est précisément le cas d’un rejet de candidature décidé par une machine.

Le cadre en un coup d’œil

Oubliez le tableur des 50 États américains. Pour recruter avec l’IA en France, trois textes portent tout le poids.

Le RGPD, le texte déjà en vigueur

L’équivalent français de la loi « déjà active » n’est pas une nouveauté de 2026 : c’est l’article 22 du RGPD, opposable depuis 2018. Un candidat a le droit de ne pas voir sa candidature écartée par un traitement exclusivement automatisé. La doctrine de la CNIL et du Comité européen de la protection des données interdit le rejet 100 % automatique sans intervention humaine réelle et effective — une personne dotée du pouvoir et de la compétence pour modifier la décision, pas un simple tampon. Le candidat a aussi le droit d’être informé de l’existence d’une telle décision, d’en connaître la logique, d’exprimer son point de vue et de la contester (articles 13 à 15 et 22).

L’AI Act, le texte qui arrive le 2 août 2026

L’AI Act ajoute une couche d’obligations propres aux systèmes « à haut risque », et le recrutement en fait partie. À compter du 2 août 2026, le déployeur d’une IA de recrutement à haut risque doit notamment : assurer une supervision humaine (art. 14 et 26), conserver les journaux générés automatiquement par le système (art. 12), utiliser un système marqué CE conformément aux instructions du fournisseur, et informer les candidats lorsqu’une IA intervient. Là où le RGPD encadre la décision automatisée, l’AI Act encadre le système lui-même, en amont.

Qui contrôle, et combien ça coûte

Deux autorités se partagent le rôle. La CNIL fait respecter le RGPD, donc les décisions automatisées de l’article 22, et elle est pressentie comme autorité de surveillance de l’IA en France. Le Défenseur des droits instruit les réclamations pour discrimination à l’embauche (enquête, médiation, recommandations).

Et les sanctions n’ont rien de symbolique. Violer l’article 22 du RGPD relève de la tranche haute des amendes : jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial (RGPD, art. 83). Manquer aux obligations « haut risque » de l’AI Act peut coûter jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial (AI Act, art. 99). Et un candidat peut agir directement en justice. On est loin des quelques milliers de dollars d’amende d’une loi d’État américaine.

Le piège du recrutement transfrontalier

L’AI Act est harmonisé : le même socle s’applique dans toute l’UE. Mais le droit du travail national et l’autorité de protection des données, eux, s’attachent au pays de résidence du candidat, pas à celui de votre siège. Une start-up française qui recrute en Allemagne, en Espagne et en Pologne ne déclenche pas trois versions de l’AI Act — mais elle croise trois codes du travail et trois autorités de contrôle, même sans aucun bureau local. C’est la résidence du candidat, et non votre siège, qui fait entrer la règle. « Nous sommes trop petits » et « nous ne sommes pas implantés là-bas » restent deux fondations bancales.

Utiliser un ATS doté d’IA vous rend-il responsable, même si c’est le prestataire qui a conçu le modèle ?

Oui. Les obligations s’attachent au déployeur au sens de l’AI Act — l’employeur qui utilise l’outil — et au responsable de traitement au sens du RGPD, pas seulement au fournisseur qui a construit le modèle. Vous ne pouvez pas sous-traiter cette responsabilité à votre ATS : c’est vous qui décidez de l’utiliser sur vos candidats. Le fait qu’un tiers ait entraîné l’algorithme ne vous décharge de rien. Nous détaillons la logique côté UE dans l’AI Act européen et le recrutement à haut risque.

Le socle anti-discrimination qui survit à toutes les remises à zéro

Voici la partie qui ne bouge pas, quelle que soit l’évolution des textes sur l’IA. En dessous de toute règle spécifique à l’IA se trouve le droit commun de la non-discrimination : en France, l’article L1132-1 du Code du travail. Nul ne peut être écarté d’une procédure de recrutement en raison de l’un des 26 critères protégés — origine, sexe, âge, handicap, état de santé, religion, et les autres. Il est appliqué par le Défenseur des droits et les conseils de prud’hommes, indépendamment de toute loi sur l’IA.

Point décisif : le texte vise la discrimination « directe ou indirecte ». La discrimination indirecte — un critère d’apparence neutre qui désavantage de façon disproportionnée un groupe protégé — est interdite quelle que soit l’intention (article L1132-1, transposant la directive 2000/78/CE). C’est l’exact équivalent de l’« impact disproportionné » américain : un outil qui écarte un groupe protégé à un taux plus élevé peut être illégal même si personne n’a voulu discriminer.

C’est le socle durable. Les outils de présélection par IA ne sont pas ici des risques théoriques : plusieurs travaux sur les outils de présélection par IA montrent qu’ils écartent des candidats pourtant qualifiés. Si le vôtre le fait selon une caractéristique protégée, la loi sur l’IA n’est presque plus le sujet. Nous détaillons les rouages de ce phénomène dans comment le biais de l’IA dans le recrutement crée une exclusion à l’échelle d’un secteur et la spirale infernale de l’IA dans le recrutement.

Le guide de conformité en 5 étapes pour les équipes sans service juridique

Ôtez les particularités des textes et la même poignée d’obligations revient. Construisez pour leur intersection et vous êtes couvert, sur le RGPD comme sur l’AI Act. Rien de tout cela n’exige un consultant en conformité ni un prestataire d’audit de biais.

1. Indiquez que vous utilisez l’IA. Dites clairement aux candidats, dans le parcours de candidature ou dans la mention de l’offre, que des outils d’IA assistent votre recrutement. C’est à la fois une obligation d’information du RGPD et une exigence de transparence de l’AI Act. C’est aussi un gain de confiance : beaucoup de candidats se méfient de l’IA dans le recrutement, et dire « l’IA nous aide à organiser les candidatures ; ce sont des humains qui décident à chaque fois » rassure au lieu d’inquiéter.

2. Gardez un humain dans la boucle, doté d’un réel pouvoir d’annulation. Pas une simple formalité. Une personne nommément désignée qui examine et peut passer outre l’outil. C’est exactement l’« intervention humaine réelle et effective » qu’exige l’article 22 du RGPD, et la réponse concrète à toute réclamation du type « l’algorithme m’a rejeté ».

3. Consignez chaque avancement et chaque rejet. Lorsqu’un candidat demande une explication ou exerce son droit de contestation (articles 13 à 15 et 22 du RGPD), la trace doit déjà exister — et l’AI Act impose en plus la journalisation automatique côté système (art. 12). Reconstituer une piste d’audit après une réclamation, c’est ainsi que les petites équipes se font avoir.

4. Ne laissez pas l’outil décider. Faites de l’IA une aide, pas une instance autonome. Elle classe, résume et fait remonter ; un humain tranche. Ce seul choix d’architecture vous éloigne d’un coup du rejet « exclusivement automatisé » que sanctionne l’article 22.

5. Soyez prêt à expliquer et à laisser contester. Prévoyez un chemin simple pour qu’un candidat demande « pourquoi » et sollicite une nouvelle révision humaine. Si vous avez fait les étapes 2 et 3, il s’agit surtout de pointer vers des traces que vous conservez déjà.

Suis-je exempté si j’ai moins de 50 salariés ?

Probablement pas, et vous ne devriez pas miser là-dessus. Ni le RGPD ni l’AI Act ne prévoient d’exemption générale fondée sur l’effectif pour les obligations qui touchent au recrutement : l’article 22 protège le candidat quelle que soit la taille de l’employeur, et les obligations « haut risque » de l’AI Act suivent l’usage du système, pas votre masse salariale. La leçon est la même que partout : ne bâtissez pas votre stratégie sur l’idée d’être trop petit pour compter.

Pour replacer cela dans son contexte, c’est précisément la généralisation de l’IA dans les RH qui pousse les régulateurs à agir. Le recours à l’IA pour trier les candidatures et examiner les CV est désormais courant, et le droit est en train de le rattraper.

Pourquoi « qui assiste, pas autonome » est l’architecture la plus sûre

Si vous lisez les obligations côte à côte, elles décrivent une seule et même forme de produit : une IA qui aide un humain à décider, avec la décision consignée et le candidat informé. C’est précisément ainsi que Kit est conçu.

Dans Kit, aucune candidature n’est rejetée automatiquement par l’IA. Un humain doté du pouvoir d’annulation prend la décision finale avant tout refus, ce qui correspond directement à l’« intervention humaine réelle et effective » du RGPD et neutralise la réclamation « l’IA m’a discriminé » au regard de l’article L1132-1 du Code du travail. La divulgation aux candidats est intégrée au parcours, ce qui satisfait à la fois l’obligation d’information du RGPD et l’exigence de transparence de l’AI Act. Et chaque avancement comme chaque rejet est consigné : lorsqu’une explication ou une contestation est demandée, la piste d’audit existe déjà, sans aucune suite de gouvernance requise. C’est la même posture que celle décrite plus en détail dans l’AI Act européen et le recrutement à haut risque. Si vous découvrez la catégorie, ce qu’est réellement un ATS natif IA explique le modèle assistant en profondeur.

Soyons clairs : aucun ATS ne peut vous rendre « conforme » à un texte donné, et ne faites pas confiance à celui qui le prétend. Ce que fait la bonne architecture, c’est vous placer du côté durable du noyau commun, pour que l’échéance du 2 août 2026 — et tout ce qui suivra — ne vous prenne pas de court.

Quoi faire cette semaine

Le cadre européen, lui, ne va pas disparaître : l’article 22 du RGPD s’applique depuis 2018 et les obligations « haut risque » de l’AI Act arrivent le 2 août 2026, à une date connue. Le noyau à mettre en place est stable : informez, gardez un humain qui décide, consignez les décisions, faites de l’IA une aide et non un décideur, et soyez prêt à expliquer. Mettez ces cinq points en place une fois et vous cessez de courir après les gros titres.

Vous n’avez pas besoin d’un service de conformité. Vous avez besoin d’un processus de recrutement où l’IA assiste, où des humains décident et où chaque décision est consignée. Démarrez votre essai gratuit et le guide devient la valeur par défaut, pas un projet.