Tri des CV par IA : ce que la loi impose vraiment

Oui, le tri des CV par IA est permis, mais il s’inscrit dans un cadre déjà écrit. Le Code du travail impose d’informer le candidat avant d’utiliser une méthode d’aide au recrutement, de ne lui demander que des informations liées à l’emploi et de ne jamais l’écarter pour un motif discriminatoire. Le RGPD encadre la décision automatisée. L’AI Act classe les outils de recrutement parmi les systèmes à haut risque, avec des obligations applicables à partir du 2 décembre 2027.

Une interdiction s’applique déjà : depuis le 2 février 2025, l’AI Act interdit les systèmes qui infèrent les émotions d’une personne sur le lieu de travail, sauf raisons médicales ou de sécurité. Selon les lignes directrices de la Commission européenne, telles que les rapporte le Future of Privacy Forum, l’interdiction vise les émotions déduites de données biométriques, et les processus d’embauche relèvent de ce contexte de travail. Un outil qui prétend lire les émotions d’un candidat sur son visage ou sa voix en entretien vidéo pose donc une question d’interdiction, pas seulement de conformité.

Côté jurisprudence, le constat est plus sobre que ce qu’on lit parfois. Au 21 octobre 2026, aucune décision de justice française sanctionnant un employeur pour un tri de CV par IA n’a été retrouvée dans Judilibre et Légifrance. Plusieurs références citées en ligne sur ce thème renvoient à une autre affaire ou restent introuvables : elles sont détaillées plus bas, avec la base consultée.

Cette page s’adresse aux dirigeants, aux équipes RH et aux managers qui recrutent dans une PME. Elle distingue ce qui est une obligation établie, ce qui relève d’une recommandation de Lucelia et ce qui reste à confirmer pour chaque structure. Sa dernière revue date du 21 octobre 2026.

La plupart des obligations utiles existent depuis des années et ne visent pas l’IA en particulier. Elles portent sur l’information du candidat, la pertinence des méthodes et la non-discrimination. Le tableau ci-dessous les reprend texte par texte, avec la date à partir de laquelle chacune s’applique ; les sources figurent en bas de page.

Deux lectures en découlent. D’abord, l’essentiel s’applique dès aujourd’hui : l’information du candidat prévue par l’article L1221-8 n’attend pas l’AI Act. Ensuite, la règle de preuve de l’article L1134-1 fait peser sur l’employeur la justification objective de sa décision. Un outil dont personne ne sait expliquer le classement rend cette justification plus difficile, quel que soit l’éditeur.

L’annexe III de l’AI Act vise expressément les systèmes de recrutement, « en particulier pour publier des offres d’emploi ciblées, analyser et filtrer les candidatures et évaluer les candidats ». Le règlement (UE) 2026/1744, publié au Journal officiel le 24 juillet 2026, a reporté leurs obligations au 2 décembre 2027 et fait de la maîtrise de l’IA une obligation de moyens.

Quatre références reprises sur des pages consacrées à l’IA dans le recrutement ne résistent pas à une vérification en base officielle. Deux portent un numéro qui existe, mais qui correspond à une autre affaire. Deux restent introuvables.

Certaines pages citent ces références côte à côte, avec un montant précis mais sans partie, sans lien et sans numéro vérifiable. La délibération SAN-2026-012 du 17 septembre 2026 porte sur la prospection commerciale par voie électronique, sans rapport avec le recrutement. Les recherches plein texte menées dans Judilibre sur « algorithme », « recrutement », « discrimination » et « tri des CV » ne remontent aucune décision de 2026. Aucune sanction de 450 000 € ne figure ni dans la liste des sanctions publiée par la CNIL (2025, et 2026 jusqu’au 2 avril), ni dans les sanctions annoncées depuis par la CNIL.

Les décisions vérifiées ne sanctionnent, en France, l’usage d’aucun outil de tri de CV par IA. Elles portent sur les droits des candidats, sur la sécurité d’un logiciel de recrutement et sur la diffusion algorithmique d’offres d’emploi. Une affaire américaine, très citée, est toujours en cours.

Le risque concret pour un employeur tient donc moins à une condamnation spectaculaire qu’aux droits ordinaires des candidats : information, effacement, et capacité à expliquer pourquoi une candidature a été écartée.

Le tri peut devenir une décision entièrement automatisée quand le classement de l’outil écarte en pratique des candidats sans qu’une personne examine leur dossier. C’est la lecture de la CNIL dans la fiche n° 13 de son guide du recrutement, publié le 30 janvier 2023, qui l’envisage « dans certains cas ». L’article 22 du RGPD pose alors un principe d’interdiction, assorti d’exceptions.

La CNIL prend un exemple parlant : plus les candidatures sont nombreuses, plus le recruteur risque de ne consulter que les profils les mieux classés par son outil. Les autres sont alors exclus de fait. Une validation de pure forme ne change rien : selon la CNIL, lorsque l’employeur n’est pas en mesure d’expliquer les motifs d’une décision proposée par l’outil puis acceptée par une personne, cette décision « peut être regardée comme ayant été prise sans intervention humaine ». À l’inverse, un outil qui aide à noter un candidat, la décision restant prise par une personne, n’entre pas a priori dans ce cas.

Les exceptions de l’article 22 sont étroites en recrutement. Selon la CNIL, le consentement du candidat ne peut en général pas être considéré comme libre, puisqu’un refus pourrait affecter ses chances. Reste la nécessité pour conclure le contrat, que le Comité européen de la protection des données réserve à un nombre de candidatures « exceptionnellement élevé ». La conclusion de la CNIL est nette : « En cas de doute, il est conseillé de ne pas faire appel à des outils susceptibles de produire des décisions entièrement automatisées. »

Lorsqu’une décision automatisée est en jeu, le candidat doit en être informé avec des informations utiles sur la logique sous-jacente, et il peut obtenir une intervention humaine, exprimer son point de vue et contester. Selon la CNIL, ce réexamen doit pouvoir s’exercer avant la fin du recrutement. Dans un autre domaine, le crédit, la Cour de justice de l’Union européenne a précisé le 27 février 2025 que l’explication doit permettre de comprendre quelles données ont été utilisées, et de quelle manière.

Dans tous les cas, que la décision soit ou non entièrement automatisée au sens du RGPD, le Code du travail continue de s’appliquer : information du candidat et interdiction des discriminations.

Dans une entreprise d’au moins 50 salariés, oui : le CSE doit être informé avant l’utilisation de méthodes ou techniques d’aide au recrutement, et de toute modification de celles-ci (article L2312-38). L’article L2312-8 prévoit en outre son information et sa consultation sur l’introduction de nouvelles technologies.

Sous 50 salariés, ces deux articles ne s’appliquent pas comme tels : ils relèvent de la section du Code du travail réservée aux entreprises d’au moins 50 salariés. L’information individuelle du candidat, elle, vaut quelle que soit la taille de l’entreprise.

Des juges des référés ont déjà suspendu le déploiement d’outils d’IA faute de consultation du CSE, à commencer par le tribunal judiciaire de Nanterre le 14 février 2025 ; ces décisions sont recensées dans notre ressource dédiée. Elles ne portent pas sur le tri de CV, mais elles montrent que le calendrier de consultation se joue avant le pilote, pas après. À partir du 2 décembre 2027, l’article 26 de l’AI Act ajoutera, pour les systèmes à haut risque, l’information préalable des représentants des travailleurs.

Avant d’activer un outil, quatre obligations établies suffisent à cadrer l’essentiel. Elles ne demandent pas d’attendre 2027 : elles demandent de savoir ce que fait l’outil et de le dire au candidat.

• Obligation : informer expressément le candidat, avant usage, de l’outil de tri ou d’évaluation utilisé (L1221-8).
• Obligation : vérifier que les critères de l’outil sont pertinents et liés au poste (L1221-6 et L1221-8) et ne reposent sur aucun motif discriminatoire (L1132-1).
• Obligation : ne pas laisser l’outil écarter seul des candidats. Une telle décision est interdite en principe (RGPD, art. 22) et n’est admise que par exception, en pratique la nécessité pour conclure le contrat ; un réexamen humain ne suffit pas à la rendre licite. Si l’exception s’applique, informer de la logique suivie (art. 13) et garantir le droit d’obtenir une intervention humaine (art. 22 § 3).
• Obligation : à partir de 50 salariés, informer le CSE avant la mise en service (L2312-38).

Un cas fréquent n’est pas un logiciel dédié, mais un CV collé dans un assistant comme ChatGPT pour obtenir un classement. Un CV contient des données personnelles, et ce geste relève donc du RGPD. À notre lecture, il relève aussi de l’article L1221-8 dès qu’il sert à trier : le candidat doit en être informé.

• Recommandation Lucelia : réserver l’IA à la rédaction de l’annonce et à la grille d’entretien, et laisser le tri des candidatures à une personne.
• Recommandation Lucelia : écrire la règle dans votre charte IA, outil par outil, et ne jamais utiliser un compte personnel pour des candidatures.
• Recommandation Lucelia : garder une personne responsable de chaque refus, capable d’en donner la raison sans renvoyer à l’outil.
• Recommandation Lucelia : refuser tout module qui prétend analyser les émotions ou la personnalité à partir d’une vidéo.
• À confirmer pour chaque structure : le seuil d’effectif applicable au CSE, et le classement de l’outil au regard de l’annexe III avant décembre 2027.

La CNIL a fait du recrutement une thématique prioritaire de contrôle en 2026, en visant d’abord les grandes entreprises et les cabinets de recrutement. Les PME ne sont pas la cible annoncée, mais les règles qui leur sont applicables sont les mêmes.

Un texte figure sur cette page lorsqu’il a été relu dans sa version en vigueur, sur Légifrance ou dans la publication officielle. Une décision n’est présentée comme établie que si sa juridiction, sa date et son numéro ont été retrouvés dans une base officielle ou dans la publication de l’autorité qui l’a rendue.

Une référence qui circule sans pouvoir être retrouvée est signalée avec la base consultée et la date de la recherche. Nous écrivons « introuvable » plutôt que « inexistante » : une décision absente des bases ouvertes peut apparaître plus tard, et la ligne est alors corrigée avec sa source.