Recrutement et IA en 2026 : ce que la CNIL va vérifier dans votre PME

La CNIL a annoncé le 3 avril 2026 que le recrutement serait l’une de ses thématiques prioritaires de contrôle pour 2026. Trois ans après le guide officiel publié en 2023, elle vient vérifier comment les employeurs l’appliquent. Et un point va concentrer son attention : l’usage d’outils d’intelligence artificielle pour trier les candidatures. Si vous utilisez un scoring automatique sur Indeed, un classement IA sur LinkedIn Recruiter, ou pire, ChatGPT pour résumer des CV, vous êtes concerné. Les sanctions RGPD peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial, et la CNIL n’a pas pour habitude de réserver ses contrôles aux seuls grands groupes.

Ce que la CNIL a annoncé pour 2026

Chaque année la CNIL définit une poignée de thématiques prioritaires de contrôle. Environ 20 % de ses contrôles annuels suivent ces axes, le reste répond à des plaintes ou des signalements. Pour 2026, trois thématiques sont annoncées : le recrutement, le répertoire électoral unique, et les fédérations sportives.

Pour le recrutement, la CNIL annonce trois axes de contrôle précis :

1. L’information délivrée aux candidats (complète, claire, accessible dès le formulaire de candidature).
2. Les durées de conservation des données collectées.
3. L’usage de systèmes de prise de décision automatisée (tri IA, scoring, matching).

Le message est clair dans le communiqué officiel : “Cette thématique préfigurera l’exercice par la CNIL de ses futures attributions en tant qu’autorité de surveillance de marché dans le champ travail au titre du règlement sur l’intelligence artificielle.”

Autrement dit, la CNIL se positionne aussi comme régulateur IA sur le périmètre RH. C’est un signal fort. La case IA recrutement sera regardée avec une attention particulière.

Petites entreprises : pas une cible directe, mais pas une cible exclue

La CNIL précise que les contrôles “viseront prioritairement les grandes entreprises et les cabinets de recrutement, compte tenu de la multiplicité des candidatures qu’ils reçoivent”. Le mot important est “prioritairement”, pas “uniquement”.

Deux mécanismes vous exposent en TPE/PME :

• Les plaintes individuelles. Un candidat refusé qui découvre qu’il a été trié par un algorithme et qui ne reçoit jamais de réponse motivée peut saisir la CNIL en ligne. Le contrôle n’est pas plafonné par la taille de l’entreprise.
• Les contrôles en cascade. Si votre outil RH (Welcome to the Jungle, Teamtailor, Recruitee, etc.) est inspecté côté éditeur, la CNIL remonte parfois vers les clients utilisateurs pour vérifier le paramétrage.

Information et durées de conservation : les deux bases à régler avant tout

Avant même de parler d’IA, deux fondamentaux doivent être propres. Sans ça, le reste ne tient pas.

Information des candidats : le formulaire ne suffit pas

Le RGPD impose d’informer le candidat avant ou au moment de la collecte de ses données. En pratique, ça veut dire qu’au moment où il dépose son CV (formulaire web, email à recrutement@…, dépôt physique), il doit savoir :

• Qui collecte ses données (votre raison sociale).
• Pour quelle finalité (recrutement à un poste précis, ou constitution d’un vivier).
• Combien de temps vous les conservez.
• Si un outil de tri automatique est utilisé.
• Comment exercer ses droits (accès, rectification, effacement, opposition).
• Vers qui se tourner (votre DPO si vous en avez un, sinon un contact unique nominatif).

Durées de conservation : 2 ans pour les non retenus, point final

La CNIL vient de publier le 2 avril 2026 un référentiel officiel des durées de conservation RH (PDF de 393 Ko, téléchargeable ici). C’est le document qui sert de base aux contrôles 2026.

Pour le recrutement, la règle est simple :

Beaucoup de PME ont une boîte recrutement@… avec des CV qui s’accumulent depuis 2019. Ces CV-là sont en infraction. Le ménage est non négociable.

IA dans le recrutement : ce qui est permis, ce qui ne l’est pas

C’est l’axe qui change la donne en 2026. Le RGPD article 22 interdit qu’une décision produisant des effets juridiques ou significatifs sur une personne soit prise uniquement sur la base d’un traitement automatisé. En clair : si vous laissez une IA décider seule quels candidats passent en entretien et lesquels sont rejetés, vous êtes en infraction. Sauf accord explicite du candidat, ou intervention humaine effective dans la décision.

Avec la disponibilité d’outils grand public comme ChatGPT, Claude, Mistral ou les fonctions “smart sourcing” de LinkedIn et Indeed, beaucoup de PME ont commencé à utiliser de l’IA pour le recrutement sans cadre. Voici la matrice à appliquer.

Usages à faible ou moyen risque, à encadrer

• Reformulation d’une offre d’emploi par une IA générative. Aucune donnée candidat traitée. Sûr.
• Résumé d’un CV unique dans Claude ou ChatGPT pour gagner du temps en pré-entretien, à condition d’utiliser une version professionnelle qui n’entraîne pas le modèle (Claude Team/Enterprise, ChatGPT Team/Enterprise, Mistral Le Chat Pro). Le candidat doit être informé que ses données peuvent être traitées par un sous-traitant tiers.
• Recherche sémantique dans un vivier opt-in que vous possédez déjà légalement.
• Scoring automatique d’un ATS (Welcome to the Jungle, Teamtailor, Recruitee, etc.). Tolerable si le score est une aide à la décision et qu’un recruteur humain examine effectivement chaque candidature classée. La pondération du score doit être documentée.
• Tri par mots-clés sur un CV (compétence, expérience, localisation). Pas de décision automatique, juste un filtre. Standard et sûr s’il est paramétré sans critère discriminant.

Usages à risque élevé, à éviter

• Laisser une IA “classer puis rejeter” sans relecture humaine effective des candidats écartés.
• Analyser des vidéos d’entretien (expression faciale, ton de voix) avec un outil tiers. Risque très élevé sur la base juridique et sur la discrimination.
• Charger des bases entières de CV dans un ChatGPT grand public pour lui demander un classement. Transfert de données personnelles sans cadre, infraction directe.

La règle Alpha Digital : avant d’automatiser, on cartographie

La règle Alpha Digital : avant d’automatiser, on cartographie. Avant de scorer, on informe. Et avant de rejeter, un humain lit. Concrètement, voici l’arborescence à appliquer pour passer en conformité sans tout bouleverser.

Recrutement RGPD 2026
├── 1. Page "Politique de confidentialité candidat"
│   ├── Finalités précises
│   ├── Durées (vivier 2 ans max, sinon suppression immédiate)
│   ├── Outils tiers utilisés (ATS, IA générative)
│   ├── Droits du candidat + contact DPO
│   └── Mention décision automatisée si applicable
├── 2. Workflow de candidature
│   ├── Coche "accepter d'être ajouté au vivier" (non précochée)
│   ├── Accusé de réception immédiat avec lien vers la politique
│   ├── Réponse motivée aux candidats rejetés (au moins type)
│   └── Suppression auto J+30 si non retenu et pas opt-in vivier
├── 3. Usage IA encadré
│   ├── Liste écrite des outils IA autorisés et leur usage
│   ├── Version pro (pas grand public) pour tout traitement
│   ├── Aucune décision finale prise par l'IA seule
│   └── Trace écrite (date, recruteur, motif) de chaque décision
└── 4. Audit annuel
    ├── Inventaire des CV stockés (boîtes mail incluses)
    ├── Vérification des durées de conservation
    └── Mise à jour de la politique candidat si changement d'outil

Erreurs fréquentes et checklist à appliquer cette semaine

Cinq erreurs vues régulièrement chez les PME qui recrutent, et la correction associée :

• Boîte mail recrutement@ jamais purgée. Correction : créer un dossier vivier, vider le reste de plus de 6 mois sans opt-in.
• Pas de page politique de confidentialité candidat. Correction : la rédiger sur la base du guide du recrutement CNIL, la lier depuis le formulaire et la page carrière.
• CV envoyés dans des outils IA grand public sans abonnement pro. Correction : passer en version Enterprise ou interdire l’usage par note interne.
• Pas de réponse aux candidats non retenus. Correction : créer un mail type de rejet (10 lignes), envoyé sous 7 jours. C’est aussi un signal de marque employeur.
• Sous traitant ATS sans contrat RGPD à jour. Correction : demander la dernière version du DPA (Data Processing Agreement) à votre prestataire, le signer, le ranger.

La checklist à dérouler dans la semaine, à copier dans votre todo. Deux blocs : ce qui se règle tout de suite, et ce qui s’installe en routine.

Actions cette semaine (4 à 5 heures au total) :

• Inventorier toutes les sources de CV : boîtes mail, ATS, dossiers partagés, viviers LinkedIn
• Supprimer les CV de plus de 2 ans sans opt-in explicite
• Rédiger ou mettre à jour la politique de confidentialité candidat (1 page)
• Ajouter la coche “vivier” non précochée sur tous les formulaires de candidature
• Créer un mail type de rejet motivé, à envoyer sous 7 jours

Routine à installer pour la durée :

• Documenter les outils IA utilisés dans le process (liste, version, finalité)
• Vérifier le contrat RGPD avec votre ATS (DPA signé, sous traitants listés)
• Former en interne (30 min) la personne qui recrute aux 3 axes CNIL 2026
• Programmer un audit annuel (calendrier partagé, propriétaire identifié)

Conclusion : par où commencer cette semaine

Vous n’avez pas besoin d’un DPO interne ni d’un cabinet à 800 € la demi-journée pour passer en conformité. Une matinée de tri (boîtes mail, CV stockés), une après-midi de rédaction (politique candidat, mail type), et un paramétrage propre de votre ATS suffisent pour couvrir l’essentiel. C’est la dépense de conformité la plus rentable de votre année : 4 heures de votre temps évitent un risque de sanction qui peut chiffrer en dizaines de milliers d’euros.

Sources officielles citées dans cet article : le communiqué CNIL sur les contrôles 2026, le référentiel durées de conservation RH publié le 2 avril 2026, le guide du recrutement CNIL, et la page CNIL sur le règlement européen IA.

Si vous voulez un cadrage rapide sur votre process actuel et un plan d’action chiffré, demandez un diagnostic à distance sur alpha-digital.fr/contact. C’est gratuit, et vous repartez avec une liste de priorités.