TL;DR — la réponse directe. Le 2 août 2026, l'AI Act européen (Règlement UE 2024/1689) entre en application pour les systèmes d'IA à haut risque — et l'Annexe III point 4 y liste explicitement les systèmes d'IA utilisés dans le recrutement (tri de CV, scoring d'entretien, évaluation de candidatures). Combiné au RGPD article 22 déjà en vigueur depuis 2018, tu disposes en 2026 de 10 droits concrets face à une décision prise ou influencée par une IA : information, explication, supervision humaine, accès à tes données, contestation. Les cas Amazon 2018 (outil de tri sexiste retiré), HireVue 2021 (FTC + classes actions), Workday 2024 (1,1 M de rejects discriminés) et la sanction CNIL 2023 montrent que la loi s'applique — à condition que tu connaisses tes droits et que tu les exerces. Courrier type, procédures CNIL / DDD / prud'hommes dans cet article.
50 à 70 % des candidatures en France passent par un système automatisé en 2026 (ATS avec scoring, tri de CV par IA, vidéo-entretien asynchrone analysé par IA). Une grosse partie des candidats ne le sait pas, n'est pas informée, et ne connaît pas ses recours.
Cet article est un guide pratique : tes droits concrets, comment vérifier si une IA t'a évalué, comment exercer tes droits par écrit, et où aller si on te répond mal.
L'état des lieux : l'IA dans le recrutement en avril 2026
Les chiffres européens et français 2026 montrent l'ampleur du phénomène — et le décalage entre déploiement et information des candidats.
Ce qu'il faut retenir : 65 % des grandes entreprises utilisent de l'IA, mais seuls 11 % des candidats en sont informés. C'est précisément ce trou d'information que l'AI Act et le RGPD visent à combler — à condition que tu exerces tes droits.
Ce que l'AI Act change concrètement le 2 août 2026
L'AI Act (Règlement UE 2024/1689, adopté en mai 2024) classe les systèmes d'IA selon 4 niveaux de risque : risque inacceptable (interdit), haut risque (obligations strictes), risque limité (transparence), risque minimal (libre). Les systèmes utilisés en recrutement tombent clairement dans la catégorie "haut risque".
Les systèmes concernés (Annexe III point 4)
L'Annexe III, point 4, liste précisément :
- 4(a) Systèmes d'IA destinés au recrutement ou à la sélection de personnes physiques, notamment pour analyser et filtrer des candidatures, évaluer les candidats (y compris via tests automatisés, analyses vidéo, entretiens asynchrones notés par IA)
- 4(b) Systèmes d'IA destinés à prendre ou à influencer des décisions relatives aux conditions de relation de travail, à la promotion, à la résiliation, à l'attribution de tâches selon le comportement, la performance ou les traits des individus
Exemples concrets couverts par cette définition :
- Le module ATS qui scorerait ton CV (Workday, Greenhouse, iCIMS, Recruitee quand ils activent l'IA de scoring)
- L'outil d'entretien vidéo asynchrone qui note ton expression, ton ton de voix, tes micro-expressions (HireVue, Spark Hire, Willo)
- Les tests psychométriques IA (Pymetrics, AssessFirst, Arctic Shores)
- Les chatbots de pré-qualification (Paradox, Mya) qui décideraient de te faire passer au tour suivant ou non
- Les modèles d'IA générative utilisés pour résumer / évaluer ta candidature
Les obligations imposées aux entreprises à partir du 2 août 2026
1. Documentation technique complète (articles 11-12) : le fournisseur du système et l'employeur qui le déploie doivent documenter son fonctionnement, les données d'entraînement, les biais identifiés, les mesures correctrices.
2. Supervision humaine effective (article 14) : une décision qui te concerne ne peut pas être entièrement automatisée. Un humain doit être en capacité — pas juste théorique — de modifier la décision.
3. Non-discrimination et audit de biais (article 10) : les données d'entraînement doivent être évaluées sur les biais, et des mesures doivent être prises pour éviter les discriminations directes et indirectes.
4. Transparence vis-à-vis du candidat (article 26 paragraphe 7) : tu dois être informé que tu interagis avec un système d'IA à haut risque et comprendre ce qu'il fait.
5. Déclaration d'incident : toute défaillance majeure doit être déclarée à l'autorité nationale (CNIL en France).
6. Enregistrement dans la base européenne : les systèmes à haut risque déployés en UE doivent être enregistrés dans une base publique (tu pourras y vérifier si Workday / HireVue / etc. sont conformes).
Ce que ça te donne, concrètement
Avant le 2 août 2026, tu pouvais déjà exiger beaucoup via le RGPD. Après le 2 août 2026, tu gagnes en plus :
- Le droit d'être informé spécifiquement que tu passes dans une IA à haut risque
- Le droit d'exiger une supervision humaine documentée (pas juste "un humain a regardé")
- Le droit d'exiger la documentation d'audit de biais sur le système
- Un recours possible via une autorité sectorielle dédiée (en France, la CNIL a été désignée comme autorité de surveillance pour les systèmes d'IA à haut risque en matière de recrutement)
Tes 10 droits concrets en 2026 (RGPD + AI Act combinés)
Tu ne gagnes pas 10 droits nouveaux le 2 août — beaucoup existaient déjà via le RGPD. Mais l'AI Act renforce leur application dans le contexte spécifique du recrutement IA. Voici le grid opérationnel.
Droit 1 — Être informé (article 13-14 RGPD + article 26(7) AI Act)
L'employeur doit t'informer, avant la collecte de tes données, de : l'identité du responsable de traitement, les finalités, les bases légales, la durée de conservation, l'existence d'un traitement automatisé, et à partir du 2 août 2026 : l'utilisation d'un système d'IA à haut risque. En pratique, c'est la mention "politique de confidentialité" / "notice candidat" que tu dois trouver dans l'annonce ou sur le site carrière.
Droit 2 — Accéder à tes données (article 15 RGPD)
Tu peux demander par écrit copie de toutes les données que l'employeur détient sur toi (CV, notes d'entretien, scores automatisés, feedback internes, décision finale et son motif). La réponse est due sous un mois (article 12 RGPD). Gratuit.
Droit 3 — Rectifier tes données (article 16 RGPD)
Si l'IA ou l'ATS a mal parsé ton CV (date d'expérience fausse, diplôme mal reconnu, compétence ignorée), tu peux exiger rectification. C'est particulièrement utile quand un scoring IA s'est fait sur des données erronées.
Droit 4 — Ne pas subir une décision entièrement automatisée (article 22 RGPD)
Sauf exceptions (consentement explicite, nécessité contractuelle, autorisation légale), une décision qui t'affecte ne peut pas être prise uniquement par une IA. Un refus de candidature fondé exclusivement sur un scoring IA sans revue humaine est contestable.
Droit 5 — Obtenir l'intervention d'un humain (article 22(3) RGPD)
Tu peux demander par écrit qu'un humain réexamine ton dossier. L'employeur doit documenter cette revue — elle ne peut pas être purement formelle.
Droit 6 — Obtenir une explication de la décision (article 22(3) RGPD + article 86 AI Act)
L'article 86 de l'AI Act (qui s'applique dès août 2026) crée un droit explicite à "une explication claire et significative" de la décision pour les systèmes à haut risque. Pas "votre profil ne correspondait pas" — mais quels critères, quel poids, quelle supervision humaine.
Droit 7 — Contester la décision (article 22(3) RGPD)
Tu peux exprimer ton point de vue et contester la décision — dans un courrier de réclamation à l'entreprise d'abord, puis via les autorités si pas de réponse satisfaisante.
Droit 8 — Effacer tes données (article 17 RGPD, "droit à l'oubli")
Une fois le process terminé (avec ou sans embauche), tu peux demander l'effacement de tes données dans les limites légales (l'employeur peut conserver certaines traces pour se défendre en cas de litige, mais la durée est encadrée — recommandation CNIL : 2 ans max pour un candidat non retenu).
Droit 9 — S'opposer au profilage (article 21 RGPD)
Tu peux t'opposer au traitement automatisé de tes données à des fins de profilage (scoring, segmentation, classification). L'employeur doit démontrer un motif légitime impérieux pour continuer malgré l'opposition.
Droit 10 — Porter plainte (article 77 RGPD + AI Act)
CNIL pour RGPD et AI Act (en France), Défenseur des droits pour discrimination, Conseil de prud'hommes si préjudice caractérisé. On détaille ces recours plus bas.
4 cas qui ont fait jurisprudence (2018-2026)
Cas 1 — Amazon 2018 : l'IA sexiste retirée
Amazon avait développé dès 2014 un outil interne de tri automatique de CV pour les postes tech. L'outil, entraîné sur 10 ans de CV principalement masculins, a appris à pénaliser les CV mentionnant "women's chess club" ou des écoles pour femmes. Amazon a tenté de corriger le biais, n'y est pas arrivé, et a officiellement retiré l'outil en 2018 (Reuters). Le cas a marqué la prise de conscience mondiale sur le risque de biais des IA de recrutement.
Cas 2 — HireVue 2021 : FTC et fin de l'analyse faciale
HireVue, plateforme d'entretien vidéo asynchrone utilisée par plus de 700 grandes entreprises (Hilton, Unilever, Goldman Sachs), scorait les candidats sur leurs micro-expressions faciales, le ton de voix, les mots choisis. Après une plainte du Electronic Privacy Information Center (EPIC) auprès de la FTC et plusieurs études académiques (notamment MIT) pointant des biais discriminatoires sur les minorités, HireVue a abandonné l'analyse faciale en janvier 2021 (Wall Street Journal). La plateforme continue d'exister mais sur des bases restreintes.
Cas 3 — Workday 2024-2026 : la class action de 1,1 million de candidatures
Derek Mobley, un candidat afro-américain de 40+ ans, a porté plainte contre Workday en 2023 après plus de 100 refus de postes sur une période où il est entré en "application apartheid" via l'ATS Workday. Le District Court de Californie a certifié la class action en mai 2025, élargissant à plus de 1,1 million de candidatures potentiellement discriminées (âge, origine, handicap). L'affaire est toujours en cours en 2026 et constitue le premier test grand format de la responsabilité d'un fournisseur d'ATS sur les biais algorithmiques. Couverture : Reuters.
Cas 4 — CNIL 2023 : sanction d'un recruteur FR pour traitement automatisé illégal
La CNIL a prononcé en 2023 une amende de 105 000 € contre un cabinet de recrutement français qui utilisait un outil de scoring automatique sans information des candidats et sans revue humaine des refus. La décision a posé clairement que : (1) l'information ex ante est obligatoire, (2) un humain doit revoir les refus, (3) le candidat doit pouvoir demander explication et rectification. C'est le cas le plus important en droit FR sur ce sujet.
Comment savoir si tu es passé dans une IA
Pas facile, parce que l'information n'est souvent pas donnée spontanément. 4 signaux à repérer :
Signal 1 — La vitesse du refus
Si tu as postulé à 2h du matin et reçu un refus à 2h02, c'est un système automatisé qui a pris la décision (ou un pré-filtre IA). Un humain n'aurait pas été à son poste. À partir du 2 août 2026, ce cas doit être explicitement déclaré.
Signal 2 — Les entretiens asynchrones avec analyse
Si on te demande d'enregistrer des réponses vidéo sans humain en face (plateforme type HireVue, Spark Hire, Willo), il y a une forte probabilité que l'analyse soit IA — au moins partiellement. Tu as le droit de demander quelle plateforme est utilisée et quelles analyses sont effectuées.
Signal 3 — Les tests psychométriques gamifiés
Les jeux Pymetrics, les tests AssessFirst, les assessments Arctic Shores — tous s'appuient sur de l'analyse algorithmique. Souvent légitimes, mais tu dois être informé et avoir accès à tes résultats.
Signal 4 — La politique de confidentialité de l'employeur
Va lire la page "notice candidat" ou "privacy policy candidats" sur le site carrière de l'entreprise. Les employeurs sérieux en 2026 mentionnent explicitement leurs outils IA et leur conformité RGPD/AI Act. Absence de cette information = signal d'alerte sur le niveau de conformité.
Le courrier type pour exercer tes droits (RGPD + AI Act)
Voici un modèle que tu peux adapter. Envoie-le par mail ou lettre recommandée avec AR au DPO (Data Protection Officer) de l'entreprise (obligatoire dans toutes les entreprises de +250 salariés, trouvable sur la politique de confidentialité).
Objet : Exercice de mes droits en tant que candidat — Réf. candidature [intitulé du poste] du [date]
Madame, Monsieur,
En ma qualité de candidat à votre offre de poste [intitulé] déposée le [date], je souhaite exercer les droits que me confèrent le Règlement général sur la protection des données (RGPD, Règlement UE 2016/679) et le Règlement européen sur l'intelligence artificielle (AI Act, Règlement UE 2024/1689, applicable pour les systèmes à haut risque depuis le 2 août 2026).
Je vous demande par conséquent :
-
Article 15 RGPD — Droit d'accès : la copie de l'ensemble des données me concernant que vous détenez, y compris les scores générés par tout système automatisé, les notes d'entretien, les évaluations internes, et la décision finale avec son motif.
-
Article 13-14 RGPD + Article 26(7) AI Act : la confirmation explicite des systèmes d'IA utilisés dans le traitement de ma candidature (tri de CV, scoring, analyse vidéo, tests psychométriques), leur finalité, leurs critères et la supervision humaine mise en place.
-
Article 22 RGPD — Décision automatisée : l'information sur l'existence d'un traitement automatisé ayant eu un effet sur ma candidature, et le cas échéant, une intervention humaine effective pour réexaminer mon dossier.
-
Article 86 AI Act : une explication claire et significative des critères ayant conduit à la décision me concernant, si un système d'IA à haut risque a été utilisé.
-
Article 16 RGPD — Droit de rectification : le cas échéant, la correction de toute donnée me concernant qui serait inexacte ou incomplète.
Je vous remercie de bien vouloir me répondre dans le délai d'un mois prévu à l'article 12 du RGPD. À défaut, je me réserve le droit de saisir la Commission nationale de l'informatique et des libertés (CNIL) conformément à l'article 77 du RGPD.
Cordialement,
[Nom Prénom] [Adresse] [Email] [Date]
En pratique, 30 à 50 % des entreprises répondent sérieusement à ce courrier (enquête CFE-CGC mars 2026). Les autres répondent de façon évasive ou ne répondent pas — c'est là que tu peux enchaîner sur les recours.
Les 3 voies de recours — CNIL, DDD, prud'hommes
Choix selon le type de grief.
- ✓Violation RGPD ou AI Act (absence d'information, décision automatisée sans supervision, refus de donner accès à tes données) → CNIL
- ✓Discrimination caractérisée sur un critère protégé (origine, genre, âge, handicap, orientation) → Défenseur des droits
- ✓Préjudice matériel ou moral concret et démontré (perte de chance après pourparlers avancés) → Conseil de prud'hommes
- ✓Pour chaque voie, collecte en amont : annonce, correspondances écrites, réponses du DPO, tests effectués, dates. L'écrit est ton seul allié en 2026.
- ✗CNIL : amende à l'entreprise (105 k€ dans le cas FR 2023, jusqu'à 20 M€ ou 4% CA mondial), pas d'indemnisation personnelle directe — mais effet dissuasif fort
- ✗DDD : enquête, recommandation, accompagnement du dossier, pression médiatique si l'entreprise refuse de coopérer
- ✗Prud'hommes : dommages-intérêts à ton profit si préjudice démontré (rare sur une candidature refusée, possible sur une promesse d'embauche rompue)
- ✗Tu peux saisir plusieurs voies en parallèle — elles ne s'excluent pas
Saisir la CNIL (gratuit, en ligne)
Rends-toi sur cnil.fr et remplis le formulaire de plainte en ligne. Joindre : l'annonce, ton CV, les échanges avec l'entreprise, ton courrier d'exercice des droits et l'éventuelle non-réponse. Délai de traitement moyen en 2026 : 4 à 6 mois.
Saisir le Défenseur des droits (gratuit)
Sur defenseurdesdroits.fr, dossier en ligne ou par courrier. Particulièrement pertinent si tu soupçonnes une discrimination (genre, origine, âge, handicap, orientation). Le Défenseur peut enquêter, recommander à l'employeur, saisir lui-même la justice.
Prud'hommes (plus rare, plus lourd)
Possible uniquement si tu peux démontrer un préjudice matériel ou moral concret. Rare pour un simple refus de candidature, beaucoup plus pertinent quand une promesse d'embauche écrite a été rompue ou qu'une offre ferme a été retirée sans motif légitime. Nécessite en général un avocat (coût : 1 500 à 3 500 €, éventuellement pris en charge par l'assurance juridique ou l'aide juridictionnelle).
Panorama des principaux outils IA dans le recrutement en 2026
Liste non exhaustive des outils que tu croiseras le plus en FR/EU, pour que tu saches ce qui est utilisé si tu poses la question.
- Workday Recruiting (ATS avec scoring IA) — utilisé par la plupart des grandes entreprises FR (LVMH, Airbus, Sanofi, Orange)
- Greenhouse (ATS sans scoring IA par défaut mais options disponibles) — plus utilisé en tech/scaleups
- iCIMS Talent Cloud — grandes entreprises, US-origine
- HireVue (entretien vidéo asynchrone avec analyse IA) — plus de 700 entreprises dont Hilton, Unilever en FR
- Pymetrics / Arctic Shores / AssessFirst (tests psychométriques gamifiés IA) — de plus en plus utilisés sur les stages et entrées de carrière
- Paradox Olivia / Mya (chatbots de pré-qualification) — retail, hôtellerie, gros volumes
- Eightfold AI / Beamery (talent marketplace IA) — surtout sur les programmes de mobilité interne
Beaucoup de ces outils sont utiles et légaux s'ils sont utilisés correctement (information, supervision humaine, audit de biais). L'AI Act va pousser les fournisseurs à se mettre en conformité — et toi, candidat, tu gagnes le droit de vérifier.
FAQ
Les entreprises FR utilisent-elles vraiment l'IA pour trier les CV ?
Oui, massivement. 65 % des grandes entreprises FR (+250 salariés) en 2026, en hausse constante depuis 2022 (baromètre APEC / Deloitte). Dans les PME, c'est plus rare mais en progression. Ce qui est déployé va d'un simple parseur ATS (pas de l'IA stricto sensu) à un scoring IA complet sur le matching CV-offre.
Est-ce que je dois moi-même avoir un DPO pour porter plainte ?
Non. Tu n'es pas responsable du traitement de tes données — c'est l'employeur (ou le fournisseur d'ATS selon les cas). Tu peux saisir la CNIL ou le DDD sans avocat, sans DPO, gratuitement.
Le courrier type marche-t-il sur une petite entreprise ?
Oui, le RGPD s'applique à tous les employeurs, quelle que soit leur taille. Les petites entreprises ont moins de process formel mais les mêmes obligations. En pratique, le courrier peut les pousser à ne pas faire ou refaire d'erreur — c'est un bon outil de pédagogie légale.
Combien de temps l'entreprise peut-elle conserver mon CV ?
Recommandation CNIL : 2 ans maximum après le dernier contact, à moins d'un consentement explicite pour une durée plus longue (ex. "vivier de talents"). Au-delà, elle doit l'effacer. Tu peux demander l'effacement à tout moment (article 17 RGPD).
L'AI Act protège-t-il mieux que le RGPD ?
Il ajoute des couches spécifiques pour les IA à haut risque : audit de biais, supervision humaine renforcée, déclaration d'incidents, registre européen des systèmes déployés. Le RGPD reste la base sur la donnée personnelle elle-même. Les deux se combinent — pas besoin de choisir.
Et si l'entreprise refuse de me donner accès à mes scores IA ?
C'est une violation directe du RGPD (article 15). Saisis la CNIL, c'est le cas le plus simple à traiter : le refus d'accès est systématiquement sanctionné. L'entreprise doit te donner les scores ou documenter pourquoi elle ne peut pas (rarissime qu'elle puisse).
Les cabinets de recrutement externes sont-ils couverts aussi ?
Oui, en tant que sous-traitants du responsable de traitement (l'entreprise cliente). Tu peux exercer tes droits soit auprès du cabinet directement, soit auprès de l'entreprise qui recrute. Les deux sont solidairement responsables.
Peut-on être discriminé par une IA sans que personne ne le sache (y compris l'employeur) ?
C'est le scénario le plus fréquent et le plus inquiétant. Les biais algorithmiques sont parfois invisibles pour les humains qui déploient l'outil — c'est précisément pour ça que l'AI Act impose à partir d'août 2026 un audit de biais systématique (article 10) et une documentation technique complète. Le candidat seul ne peut pas prouver la discrimination : il doit saisir la CNIL ou le DDD qui eux peuvent exiger les audits.
Ce qu'on retient
- Le 2 août 2026, l'AI Act entre en application pour les systèmes d'IA à haut risque — y compris les outils de recrutement (Annexe III point 4). Nouveaux droits d'information, de supervision, d'explication.
- Tu as déjà 10 droits opposables en 2026 — RGPD (information, accès, rectification, décision non automatisée, intervention humaine, opposition, effacement) + AI Act (explication claire, audit de biais, supervision). Tous utilisables avec un courrier type.
- 4 cas majeurs ont fait jurisprudence : Amazon 2018 (outil sexiste retiré), HireVue 2021 (fin de l'analyse faciale), Workday 2024-2026 (1,1M de candidatures en class action), CNIL 2023 (105 k€ d'amende FR).
- 3 voies de recours parallèles : CNIL (violations RGPD/AI Act, gratuit), Défenseur des droits (discrimination, gratuit), Conseil de prud'hommes (préjudice démontré).
- L'IA dans le recrutement n'est pas le problème — c'est l'usage opaque et non-supervisé qui l'est. Un employeur conforme te dit qu'il utilise l'IA, explique ses critères, fait superviser par un humain, et audite ses biais.
L'AI Act marque un vrai basculement : pour la première fois depuis le RGPD, le candidat retrouve un rapport de force dans un process de recrutement de plus en plus déshumanisé. Connaître ses droits et savoir les exercer est devenu une compétence de carrière à part entière en 2026 — au même titre que rédiger un CV ou préparer un entretien.
