IA, données RH et RGPD : le risque immédiat

Publié le 19 août 2026 · Mis à jour le 19 août 2026 · Lecture : 12 min · Par Arnaud Seknazi

Pourquoi le RGPD est le risque immédiat (et l’AI Act le risque différé)

Parce que l’un s’applique déjà et que l’autre attend décembre 2027. Le report des obligations « haut risque » de l’AI Act a créé un contresens répandu : beaucoup d’organisations en ont conclu qu’elles avaient dix-huit mois devant elles. C’est inexact. Tout outil d’IA qui traite des données de candidats ou de salariés — un CV, un entretien enregistré, un score, une évaluation — effectue un traitement de données personnelles au sens du RGPD, applicable depuis 2018, contrôlé par une autorité installée, avec une jurisprudence abondante.

	RGPD	AI Act (volet RH)
Application	En vigueur depuis 2018	Obligations haut risque au 2 décembre 2027 ; interdictions et transparence déjà applicables
Autorité	CNIL, installée et outillée	Désignation française non actée par un texte publié ; la CNIL se prépare à ce rôle
Contrôles	Recrutement = priorité 2026	Pas avant l’applicabilité
Sanctions	Jusqu’à 20 M€ ou 4 % du CA mondial	Jusqu’à 35 M€ ou 7 % (pratiques interdites)
Risque 2026	Immédiat	Différé — mais la préparation prend des mois

Les cinq règles RGPD qui encadrent déjà l’IA en RH

1. Une base légale et une finalité précises

Tout traitement doit reposer sur une base légale (article 6) et poursuivre une finalité déterminée. « Améliorer nos processus RH avec l’IA » n’est pas une finalité ; « présélectionner les candidatures au poste X selon des critères définis » en est une. Réutiliser des données collectées pour la paie afin d’entraîner ou d’alimenter un outil d’évaluation est un détournement de finalité.

2. Minimisation et durées de conservation

L’IA aime les données ; le RGPD impose de n’utiliser que celles qui sont nécessaires (article 5). En recrutement, la CNIL recommande de ne pas conserver les candidatures au-delà de deux ans après le dernier contact avec le candidat — son guide du recrutement (2023) détaille les règles applicables à chaque étape. Les durées de conservation sont précisément l’un des trois axes de contrôle annoncés pour 2026.

3. L’information des personnes

Candidats et salariés doivent savoir quelles données sont traitées, pour quoi, par qui et combien de temps (articles 12 à 14) — et donc savoir qu’un algorithme intervient dans le processus. Une mention générique en bas de page carrière ne suffit pas si le candidat ne peut pas comprendre qu’un système analyse sa candidature. L’article 50 de l’AI Act, déjà applicable, ajoute l’obligation de déclarer les agents conversationnels.

4. L’article 22 : pas de décision entièrement automatisée

C’est la règle la plus directement opposable aux outils d’IA RH : une décision produisant des effets juridiques sur une personne — rejet d’une candidature, refus de promotion, sanction — ne peut pas être prise de manière entièrement automatisée, sauf exceptions étroites et avec garanties : intervention humaine réelle, droit d’exprimer son point de vue, droit de contester. Un recruteur qui valide mécaniquement 100 % des scores de la machine ne constitue pas une intervention humaine réelle.

5. L’analyse d’impact (AIPD)

Le recrutement algorithmique cumule les critères qui déclenchent une analyse d’impact relative à la protection des données (article 35) : évaluation systématique de personnes, usage innovant de technologies, situation d’asymétrie entre l’organisation et les personnes concernées. Dans la plupart des déploiements d’IA d’évaluation RH, l’AIPD n’est pas une option — et c’est un document que la CNIL demande en premier lors d’un contrôle.

Le shadow AI : la fuite de données que personne ne voit

Le risque RGPD le plus massif de 2026 n’est pas dans les outils déployés officiellement : il est dans les usages que personne n’a validés. 64 % des utilisateurs d’IA générative ont décidé seuls de s’en servir ; 17 % seulement déclarent un usage prescrit par leur employeur (CRÉDOC/Arcep, 2026). Concrètement : des CV, des comptes rendus d’entretien annuel, des grilles de rémunération et des dossiers disciplinaires sont copiés dans des outils grand public, hors de tout cadre contractuel, sans traçabilité, parfois hors de l’Union européenne.

L’employeur reste responsable de ces traitements au sens du RGPD, même quand il les ignore. Et l’interdiction pure ne fonctionne pas — l’usage se déplace sur les équipements personnels. La réponse opérante tient en trois pièces : un outil encadré fourni aux équipes, une charte d’usage claire (quelles données ne doivent jamais sortir), et la formation — qui rejoint l’obligation de littératie IA de l’article 4 de l’AI Act, déjà en vigueur.

Ce que la CNIL contrôlera en 2026

La CNIL a fait du recrutement l’une de ses trois priorités de contrôle pour 2026 (publication du 3 avril 2026). Cibles annoncées : les grandes entreprises et les cabinets de recrutement. Trois axes :

• les systèmes de prise de décision automatisée — l’article 22 appliqué aux outils de tri et de scoring ;
• l’information des candidats — savent-ils qu’un algorithme intervient, et comment ;
• les durées de conservation — les CVthèques conservées sans limite sont l’infraction la plus banale.

Détail qui change la perspective : la CNIL précise que cette campagne « préfigure l’exercice de ses futures attributions d’autorité de surveillance du marché dans le domaine du travail » au titre du règlement IA. Autrement dit, se mettre en conformité RGPD aujourd’hui, c’est préparer le contrôle AI Act de demain — les deux corpus se contrôleront ensemble. Ses recommandations spécifiques sur l’IA dans l’emploi, annoncées, n’étaient pas parues à la date de mise à jour de cette page.

Le troisième front : le CSE et le code du travail

Le RGPD n’est pas le seul droit déjà applicable. L’introduction d’outils d’IA touchant l’organisation du travail relève de l’information-consultation du CSE (article L2312-8 du code du travail ; article L2312-38 pour les traitements automatisés de gestion du personnel). Et le juge n’attend pas l’AI Act : le 29 janvier 2026, le tribunal judiciaire de Nanterre a suspendu en référé le déploiement de deux logiciels de gestion des compétences et des affectations, faute de consultation du CSE central, sous astreinte de 500 € par jour (ordonnance du 29 janvier 2026, RG n° 25/02856).

La checklist données RH × IA

1. Cartographier : quels outils d’IA touchent des données de candidats ou de salariés, officiellement et officieusement (shadow AI inclus).
2. Qualifier chaque usage : finalité, base légale, catégories de données, durée de conservation — usage par usage, pas produit par produit.
3. Vérifier l’article 22 : aucune décision défavorable entièrement automatisée ; documenter en quoi l’intervention humaine est réelle.
4. Mettre l’information à niveau : mentions candidats et salariés explicites sur l’intervention d’un algorithme.
5. Purger les CVthèques : appliquer la règle des deux ans après dernier contact.
6. Réaliser l’AIPD pour tout outil d’évaluation de personnes.
7. Encadrer les contrats fournisseurs : sous-traitance article 28, localisation des données, sort des données à la fin du contrat.
8. Consulter le CSE avant tout déploiement touchant l’organisation du travail — la jurisprudence Nanterre en fait un préalable, pas une formalité.

Pour le calendrier complet du règlement IA et ses obligations propres, voir AI Act et RH ; pour le statut juridique de chaque usage opérationnel, la liste des 25 usages.

Questions fréquentes

Le RGPD s’applique-t-il aux outils d’IA utilisés en RH ?

Oui, intégralement et dès aujourd’hui. Tout outil d’IA qui traite des données de candidats ou de salariés effectue un traitement de données personnelles : base légale, finalité, minimisation, information des personnes, durées de conservation et article 22 s’appliquent — indépendamment du calendrier de l’AI Act, dont les obligations « haut risque » sont reportées au 2 décembre 2027.

Une IA peut-elle rejeter automatiquement une candidature ?

Pas de manière entièrement automatisée. L’article 22 du RGPD exige une intervention humaine réelle pour toute décision produisant des effets juridiques sur une personne. Un recruteur qui valide mécaniquement tous les scores de l’outil ne satisfait pas cette exigence.

Combien de temps peut-on conserver les CV et candidatures ?

La CNIL recommande de ne pas conserver les candidatures au-delà de deux ans après le dernier contact avec le candidat, sauf accord de celui-ci pour une durée supérieure. Les durées de conservation sont l’un des trois axes de contrôle annoncés par la CNIL pour 2026.

Faut-il une analyse d’impact (AIPD) pour un outil d’IA de recrutement ?

Très probablement oui : le recrutement algorithmique cumule évaluation systématique de personnes, technologie innovante et asymétrie entre l’organisation et les candidats — les critères qui déclenchent l’AIPD de l’article 35 du RGPD. C’est le premier document demandé en cas de contrôle.

Qu’est-ce que le shadow AI et pourquoi est-ce un risque RGPD ?

Le shadow AI désigne l’usage d’outils d’IA grand public par les salariés sans validation de l’employeur — 64 % des utilisateurs d’IA générative ont décidé seuls de s’en servir (CRÉDOC/Arcep, 2026). Des données RH transitent alors hors de tout cadre contractuel, parfois hors UE, alors que l’employeur en reste responsable. La réponse efficace : un outil encadré, une charte, de la formation — pas l’interdiction.

---

Cette page fait partie du guide de référence IA et RH de DRH Digital. Volets complémentaires : AI Act et RH, biais et discrimination algorithmique et IA et recrutement. Dernière mise à jour : 19 août 2026.