Recrutement par IA : l'EDPS et l'EDPB braquent les projecteurs sur l'embauche algorithmique

Quand un algorithme trie les CV avant qu'un humain n'en lise un seul, qui est vraiment responsable de la décision ? C'est à cette question que l'EDPS et l'EDPB consacrent une conférence le 9 juillet 2026 — un signal clair que l'embauche algorithmique est désormais en haut de la pile réglementaire européenne, à quelques semaines de l'entrée en application des obligations clés de l'AI Act.

Ce qui s'est passé

Les stagiaires du Contrôleur européen de la protection des données (EDPS) et du Comité européen de la protection des données (EDPB) organisent une conférence intitulée « Hired by an algorithm », le jeudi 9 juillet 2026 (14h00–17h00, à Bruxelles). Le programme s'attaque frontalement aux angles morts de l'IA dans les ressources humaines : comment un candidat — souvent en position de faiblesse face à l'employeur — peut-il réellement exercer son consentement ? Comment garantir transparence et responsabilité dans une décision automatisée ? Et quel avenir pour des pratiques RH de plus en plus pilotées par des modèles ?

Fait notable, l'événement promet de regarder de près le secteur public, et notamment les institutions de l'UE, pour comparer la manière dont ces outils y sont adoptés — et vérifier si une approche plus prudente, voire restrictive, y prévaut. Au-delà du symbole, c'est une grille de lecture que les régulateurs proposent à toutes les organisations qui recrutent.

Pourquoi c'est important

Le recrutement par IA se trouve à la croisée de deux régimes juridiques qui se renforcent mutuellement. Côté RGPD, l'article 22 sur les décisions individuelles automatisées encadre strictement le fait de soumettre une personne à une décision produisant des effets juridiques — comme un refus d'embauche — sur le seul fondement d'un traitement automatisé. Tri de candidatures, scoring, présélection : ces usages relèvent du profilage encadré par le RGPD, avec ses garanties propres (information, intervention humaine, droit de contestation).

Côté IA, l'AI Act classe les systèmes d'IA utilisés pour le recrutement parmi les usages à haut risque (annexe III). Cela déclenche un faisceau d'obligations : documentation technique, gestion des risques, transparence vis-à-vis des personnes concernées et, surtout, un contrôle humain qui ne soit pas de pure forme. Or c'est précisément là que le bât blesse. Comme l'a montré l'enquête de l'ICO britannique sur le contrôle humain dans le recrutement par IA, de nombreuses entreprises sous-estiment à quel point leurs outils décident déjà sans intervention humaine significative. Concevoir l'outil ne suffit pas : le contrôle doit s'exercer sur la décision elle-même.

La question du consentement, soulevée par l'EDPS, est tout aussi épineuse. Un candidat qui veut le poste n'est pas en position de refuser librement le traitement de ses données par un outil de présélection. Le consentement ne peut donc presque jamais servir de base légale valable dans ce contexte — un point que les DPO doivent intégrer avant de valider tout déploiement.

Ce que ça change pour les organisations

L'échéance d'août 2026 pour les obligations centrales de l'AI Act transforme cette conférence en avertissement plutôt qu'en simple colloque académique. Concrètement, les organisations qui recrutent avec de l'IA devraient dès maintenant cartographier tous les outils intervenant dans le cycle de recrutement (sourcing, tri, scoring, entretiens automatisés) et vérifier lesquels tombent dans la catégorie haut risque. Il s'agit ensuite de documenter le rôle réel de l'humain dans la décision finale, d'informer clairement les candidats de l'usage d'un système automatisé, et de prévoir une voie de recours effective.

Une analyse d'impact (AIPD) s'impose dans la plupart des cas, tout comme une revue des bases légales — en écartant le consentement comme fondement par défaut. Ces réflexes ne concernent pas que la DSI : la responsabilité se partage entre RH, juridique, DPO et directions métiers, comme le rappelle notre analyse sur la gouvernance collective de l'IA en entreprise. Pour les équipes RH directement concernées, le webinaire Leto « L'impact de l'AI Act sur les métiers RH » détaille les outils visés et les obligations à mettre en place sans bloquer les recrutements.

Ce que Leto pense de cette décision

En confiant l'organisation de cet événement à leurs stagiaires, l'EDPS et l'EDPB envoient un message presque ironique : ce sont les futurs candidats du marché du travail qui interpellent les recruteurs sur l'opacité des algorithmes. Au-delà du symbole, la trajectoire est limpide. Après l'ICO au Royaume-Uni, après les premières sanctions de la CNIL sur les agents décisionnels, le recrutement par IA est devenu le terrain d'application privilégié de l'article 22 et de l'AI Act. Les entreprises qui attendent une jurisprudence pour agir prennent un pari risqué : sur ce sujet, le cadre existe déjà, et les régulateurs ont décidé de le faire vivre.

Sources : EDPS — Hired by an algorithm: Data protection and AI regulation in modern HR practices