La CNIL a choisi ses cibles de contrôle pour 2026. Le recrutement en fait partie, avec une attention particulière portée aux outils de tri, de scoring et de matching automatisés des candidatures. Si un logiciel filtre vos CV avant qu'un humain les lise, voici ce qu'il faut vérifier avant qu'un contrôleur ne le fasse à votre place.

Ce n'est pas une annonce isolée. C'est la confirmation qu'un sujet resté flou pendant des années devient, en 2026, un motif concret de contrôle. Et contrairement à ce qu'on pourrait croire, ce n'est pas l'AI Act européen qui presse. C'est le RGPD, déjà en vigueur depuis 2018, que la CNIL applique dès maintenant aux outils de tri automatisé.

Pourquoi le recrutement, et pourquoi maintenant

Le 3 avril 2026, la CNIL a publié sa liste de thématiques prioritaires pour l'année. Le recrutement y côtoie le répertoire électoral unique et les fédérations sportives. Trois ans après la publication de son guide du recrutement en janvier 2023, la CNIL vérifie maintenant si ce guide est appliqué sur le terrain.

Les contrôles viseront en priorité les grandes entreprises et les cabinets de recrutement, du fait du volume de candidatures qu'ils traitent. Mais une PME qui utilise un ATS avec une fonction de tri IA activée, ou qui délègue son recrutement à un prestataire, reste exposée. La CNIL le dit elle-même : cette thématique préfigure son futur rôle de surveillance du marché de l'emploi au titre du règlement européen sur l'IA.

Ce qui nous amène à une confusion fréquente. Beaucoup de dirigeants pensent que l'urgence vient de l'AI Act, dont les obligations pour les systèmes de recrutement à haut risque devaient s'appliquer le 2 août 2026. Un accord politique du 7 mai 2026 entre le Parlement européen et le Conseil a reporté cette échéance de seize mois, au 2 décembre 2027. L'accord doit encore être formellement adopté, mais la trajectoire est claire : l'AI Act laisse du temps.

Le RGPD, lui, n'attend pas. C'est le texte que la CNIL contrôle cette année, et c'est celui qui s'applique déjà à votre outil de tri de CV, qu'il soit doté d'IA ou non.

Les trois points que la CNIL va vérifier

Le guide du recrutement de la CNIL détaille ce qui sera examiné. Trois points reviennent systématiquement dans ses contrôles.

L'information des candidats

Un candidat doit savoir qu'un outil de tri automatisé intervient dans le traitement de sa candidature. Ce n'est pas une option. La CNIL exige que l'avis de recrutement ou la notice de confidentialité mentionne explicitement l'existence d'une prise de décision automatisée, à côté de la finalité du traitement, de la base légale et de la durée de conservation.

Concrètement : relisez la mention légale sur votre formulaire de candidature ou votre offre d'emploi. Si elle ne dit rien du logiciel qui trie ou note les CV avant qu'un recruteur les ouvre, elle est incomplète.

La durée de conservation

Vous ne pouvez pas garder indéfiniment les CV des candidats non retenus. La CNIL fixe une règle simple : si vous constituez un vivier de candidatures, la conservation ne doit pas dépasser deux ans à compter du dernier contact avec le candidat, et celui-ci doit en avoir été informé.

Concrètement : vérifiez les paramètres de purge de votre ATS ou de votre boîte mail de recrutement. Beaucoup de PME découvrent, en creusant, des CV vieux de cinq ou six ans qui traînent encore dans un dossier partagé.

L'encadrement du tri automatisé

Un logiciel de tri ne peut évaluer que des critères en lien direct et nécessaire avec le poste à pourvoir. Et surtout, la décision finale ne peut pas reposer uniquement sur l'algorithme : un humain doit pouvoir intervenir, corriger, ou contredire le classement produit par l'outil.

Concrètement : si votre process consiste à ouvrir uniquement les CV que l'outil a classés au-dessus d'un certain score, sans qu'un recruteur regarde jamais ceux qui sont en dessous, vous êtes dans une zone grise que la CNIL sanctionne déjà sur d'autres types de décisions automatisées.

Grille d'auto-audit avant un contrôle

Cette grille reprend les points que la CNIL vérifie en priorité. Comptez une demi-journée pour la parcourir avec la personne qui gère vos recrutements.

[ ] Notre avis de recrutement mentionne l'existence d'un outil de tri automatisé
[ ] Notre notice précise la finalité, la base légale et la durée de conservation
[ ] Un candidat peut demander et obtenir une copie de ses données sur simple demande
[ ] Notre vivier de candidatures est purgé au-delà de deux ans après le dernier contact
[ ] Un humain relit systématiquement les candidatures écartées par l'outil, pas seulement
    les mieux classées
[ ] Les critères de tri ont un lien direct avec le poste (pas de données sensibles ou
    hors sujet : situation familiale, projet d'enfant, etc.)
[ ] Nos traitements de recrutement sont inscrits dans le registre des activités
    de traitement
[ ] Si nous passons par un cabinet de recrutement ou un ATS externe, un contrat
    encadre le traitement des données (sous-traitance RGPD)

Si trois cases ou plus restent vides, commencez par l'information des candidats. C'est le point le plus visible en cas de contrôle, et le plus rapide à corriger : une mise à jour de notice prend une heure.

Où ça coince en pratique

La difficulté n'est presque jamais technique. Elle est organisationnelle. Une PME qui active la fonction de scoring IA de son ATS parce qu'un commercial la lui a présentée comme un gain de temps ne pense pas à mettre à jour sa notice de confidentialité en même temps. Personne dans l'équipe n'est chargé de vérifier que le fournisseur de l'ATS agit bien comme sous-traitant au sens du RGPD, avec une clause contractuelle qui l'encadre.

C'est là que la qualification des candidatures assistée par IA doit être pensée dès la conception, pas ajoutée après coup. Un tri automatisé bien construit inclut, dès le départ, l'information du candidat, une durée de conservation définie et un point de contrôle humain sur les résultats. Ça évite de tout reprendre le jour où un candidat exerce son droit d'accès, ou pire, le jour où la CNIL frappe à la porte.

Commencez par la notice

Vous n'avez pas besoin de refondre votre process de recrutement cette semaine. Commencez par relire votre notice candidats et vérifier la durée de conservation de votre vivier. Ce sont les deux points que la CNIL contrôle en premier, et les deux plus rapides à corriger.

Le reste, l'encadrement du tri automatisé et la formalisation avec vos prestataires, peut suivre dans les semaines qui viennent. L'AI Act vous laisse jusqu'à fin 2027. Le RGPD, lui, ne vous a jamais laissé le choix.

Sources :

• CNIL, "Les contrôles en 2026 : recrutement, répertoire électoral unique et fédérations sportives", 3 avril 2026. https://www.cnil.fr/fr/controles-prioritaires-2026, consulté le 15 juillet 2026.
• CNIL, "Recrutement et données personnelles dans les TPE/PME : cinq questions incontournables à se poser". https://www.cnil.fr/fr/recrutement-et-donnees-personnelles-dans-les-tpepme-cinq-questions-incontournables-se-poser, consulté le 15 juillet 2026.
• Travers Smith, "EU agrees to delay key AI Act compliance deadlines", 8 mai 2026. https://www.traverssmith.com/knowledge/knowledge-container/eu-agrees-to-delay-key-ai-act-compliance-deadlines/, consulté le 15 juillet 2026.