IA et recrutement : contrôler les discriminations
Auditer les critères d’un outil de recrutement, détecter les biais, encadrer les données sensibles et organiser un recours humain.
Un outil de recrutement peut produire une sélection discriminatoire sans utiliser une colonne intitulée « sexe » ou « handicap ». Le problème peut venir des données, des critères choisis ou du parcours imposé aux candidats. L’employeur doit pouvoir expliquer sa décision et vérifier que l’outil évalue des aptitudes pertinentes pour le poste.
Ce qu’il faut retenir
- La non-discrimination s’impose dès maintenant, indépendamment du report des règles IA à haut risque.
- Un critère apparemment neutre peut produire un désavantage injustifié ; enlever le nom du CV ne suffit pas.
- Une mesure statistique ne prouve pas à elle seule la licéité d’une décision individuelle.
- Depuis juillet 2026, le nouvel article 4a de l’AI Act encadre exceptionnellement certaines données sensibles nécessaires à la détection et à la correction des biais.
- L’audit doit conduire à une action : correction, réexamen des candidatures ou suspension de la fonction.
Partir du poste et des critères de sélection
L’article L. 1132-1 du Code du travail interdit d’écarter une personne du recrutement pour un motif discriminatoire. L’article L. 1221-6 impose un lien direct et nécessaire entre les informations demandées et l’emploi ou les aptitudes professionnelles. L’outil algorithmique ne dispense pas de ces exigences. Sources : Code du travail, discriminations, section recrutement.
Avant d’examiner les scores, écrivez la grille de sélection humaine attendue : compétences indispensables, compétences pouvant être acquises, justificatifs adaptés et critères sans pertinence. Demandez ensuite au fournisseur comment sa notation se rattache à cette grille. Une promesse commerciale de « compatibilité culturelle » doit être traduite en éléments précis et défendables ; si personne ne peut les expliquer, elle ne constitue pas un critère de sélection satisfaisant.
| Point à examiner | Exemple de difficulté | Action de contrôle |
|---|---|---|
| Variables utilisées | Adresse employée comme indicateur de fiabilité | Vérifier le besoin et supprimer le critère injustifié |
| Historique d’apprentissage | Reproduction des choix de recrutement passés | Examiner la population et les résultats utilisés comme référence |
| Traitement des parcours | Pénalisation automatique de toute interruption | Vérifier ce que le système déduit et sa pertinence professionnelle |
| Mode d’interaction | Entretien audio imposé sans alternative adaptée | Prévoir un parcours accessible évaluant les mêmes compétences |
| Filtrage initial | Candidatures invisibles au recruteur sous un seuil | Examiner aussi les dossiers écartés et permettre leur réintégration |
Ces exemples sont des points d’audit, pas des constats statistiques sur un produit particulier. Le guide AI Act appliqué aux RH permet de qualifier le système et les responsabilités de l’entreprise.
Distinguer résultat statistique et discrimination juridique
Un écart de taux de sélection peut être un signal d’alerte. Son interprétation dépend toutefois des populations comparées, du poste, de la taille de l’échantillon et du parcours réellement suivi. Une moyenne globale peut masquer un problème concentré sur une fonction, une langue ou une étape du recrutement.
Préparez un protocole indiquant les hypothèses examinées, les données légalement disponibles, les limites de l’échantillon et les décisions possibles. Comparez les versions successives du système et les paramètres locaux : un audit réalisé sur une démonstration fournisseur ne décrit pas nécessairement l’outil configuré pour votre entreprise. N’adoptez pas un seuil statistique étranger comme garantie automatique de conformité au droit français.
L’article L. 1134-1 aménage la preuve : le candidat présente des éléments laissant supposer une discrimination, puis l’employeur doit justifier sa décision par des éléments objectifs étrangers à celle-ci. Une attestation générale du fournisseur ne remplace donc pas la conservation d’éléments permettant de comprendre la sélection concernée. Source : Code du travail, article L. 1134-1.
Encadrer les données sensibles utilisées pour l’audit
Il ne faut pas constituer un fichier d’origine, de religion ou de santé simplement parce qu’un prestataire propose un tableau d’équité. L’article 9(1) du RGPD pose une interdiction de principe ; une exception de l’article 9(2), une base légale de l’article 6 et les autres garanties applicables sont nécessaires. Une donnée déduite par un algorithme peut elle aussi révéler une information sensible. Source : RGPD, articles 6(1), 9(1) et 9(2).
Le règlement (UE) 2026/1744 a inséré un nouvel article 4a dans l’AI Act et supprimé l’ancien article 10(5). Le nouvel article étend, sous conditions, la possibilité exceptionnelle de traiter des données sensibles pour détecter et corriger des biais, y compris à des déployeurs. Il exige notamment une stricte nécessité, l’insuffisance d’autres données, des restrictions techniques de réutilisation, des accès protégés, l’absence de transmission ou d’accès par d’autres parties, une suppression encadrée et une justification au registre. Son paragraphe 2 ne crée pas une obligation générale de réaliser cette collecte. Source : règlement (UE) 2026/1744, article 1(6) et 1(9).
Faites examiner le protocole précis avant toute collecte. Une proposition de transmettre un fichier sensible à un cabinet externe doit notamment être confrontée à la condition relative aux autres parties. Le dispositif ne doit pas alimenter les décisions de recrutement individuelles avec des informations collectées pour l’audit. Il faut aussi déterminer quand les données d’audit seront supprimées et qui vérifiera cette suppression.
Organiser une intervention humaine utile
L’article 22 du RGPD concerne les décisions exclusivement automatisées produisant des effets juridiques ou similaires significatifs. Un rejet de candidature peut relever de ce cadre. Les exceptions de l’article 22(2) sont strictes ; l’article 22(3) impose notamment des garanties dans les cas qu’il vise. Source : RGPD, article 22.
Demandez au recruteur de pouvoir expliquer les critères de la décision, examiner les pièces utiles et modifier le résultat. L’intervention doit arriver à un moment où elle peut encore changer l’issue. Un contrôle limité aux seuls dossiers que l’IA a déjà retenus peut laisser tous les faux rejets sans examen. Prévoyez aussi un canal permettant au candidat de signaler une erreur de lecture de CV ou une difficulté d’accessibilité. Notre analyse des décisions automatisées précise ce cadre.
Les candidats doivent être informés préalablement des méthodes utilisées et du traitement de leurs données. Les articles L. 1221-8 et L. 1221-9 du Code du travail complètent les articles 13 et 14 du RGPD ; la notice doit décrire le fonctionnement réel, sans promettre une décision humaine si le processus ne la prévoit pas. Sources : Code du travail, RGPD.
Agir dès qu’un défaut est détecté
Pour chaque anomalie, ouvrez une fiche comportant le système et sa version, la période, l’étape concernée, les critères potentiellement en cause, la mesure conservatoire et le responsable du réexamen. Évaluez la nécessité de suspendre la fonction, d’examiner les candidatures déjà écartées et de corriger les données ou paramètres. Fixez un critère de reprise vérifiable et conservez les motifs de la décision.
L’AIPD doit couvrir les risques du traitement ; la liste CNIL vise notamment le profilage à des fins RH. Associez le DPO, les RH et les personnes capables de comprendre le produit. Source : délibération n° 2018-327, annexe. Le guide de l’AIPD pour l’IA aide à structurer les preuves.
Les règles spécifiques du haut risque de l’annexe III sont reportées au 2 décembre 2027 par le règlement 2026/1744. Ce report n’ajourne ni le RGPD ni le droit français de la non-discrimination. Source : Commission, entrée en vigueur de l’AI Omnibus. La conservation des dossiers doit suivre des finalités distinctes, expliquées dans le guide RGPD du recrutement.
Questions fréquentes
Un outil sans critère sensible peut-il discriminer ?
Oui. Des variables apparemment neutres ou un parcours inadapté peuvent désavantager certains candidats. Il faut examiner les critères, leurs justifications et leurs effets, pas seulement les noms des colonnes.
Peut-on collecter toute donnée sensible pour mesurer les biais ?
Non. Le nouvel article 4a impose une nécessité stricte et des garanties cumulatives. Une collecte générale « pour vérifier plus tard » ne répond pas à cette logique. L’examen d’alternatives et du rôle des intervenants doit précéder la collecte.
Un bon score d’équité suffit-il à écarter tout risque ?
Non. Une mesure agrégée peut masquer une décision individuelle injustifiée ou une sous-population mal représentée. Elle doit être interprétée avec ses limites et complétée par une revue des décisions et des voies de recours.
Recevez nos analyses pratiques de conformité dans la newsletter.
À propos de l’auteur. Thiébaut Devergranne est docteur en droit privé, titulaire du CAPA et fondateur de Legiscope. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.