Votre tri de candidatures par IA tiendrait-il face à un contrôle de la CNIL ou de la CNDP ?
Vos outils trient, notent ou relancent des candidats. Nous vérifions ce qu’ils font réellement, corrigeons ce qui expose le cabinet et livrons le dossier qui permet de répondre à un candidat, à un client ou à l’autorité.
Pour les cabinets de recrutement, les agences d’intérim et les DRH qui utilisent déjà de l’IA ou s’apprêtent à le faire, en France sous le RGPD et l’AI Act, au Maroc sous la loi 09-08.
L’IA est arrivée avant les règles internes
Personne ne sait exactement ce que fait l’outil
Un module de l’ATS attribue des scores, un consultant colle des CV dans un assistant en ligne, un jobboard filtre en amont. Aucun document ne dit quels critères sont appliqués ni où partent les données.
Le recrutement est désormais un sujet de contrôle
La CNIL a fait du recrutement l’un de ses trois thèmes de contrôle prioritaires pour 2026, en visant les organismes qui traitent un grand volume de candidatures. Au Maroc, tout traitement de données de candidats doit être déclaré à la CNDP, voire autorisé par elle.
Vos clients commencent à poser la question
Une entreprise qui vous confie un mandat veut savoir comment ses candidats sont triés et où sont leurs données. Sans réponse écrite, le doute suffit à faire pencher le choix vers un autre cabinet.
Des outils d’IA que vous pouvez expliquer, documenter et défendre
- Un inventaire de chaque outil qui touche aux candidats : ce qu’il fait, sur quels critères, avec quelles données et où elles sont hébergées.
- Des corrections concrètes dans les outils eux-mêmes : aucune décision de rejet automatique, critères écrits, journaux d’activité conservés.
- Les textes que le candidat doit recevoir, rédigés et placés au bon endroit : annonce, formulaire, premier message.
- Un dossier de conformité à jour, pour la France comme pour le Maroc, à faire valider par votre conseil juridique.
Un dossier que vous pouvez montrer
Cartographie des outils et des flux
Chaque outil qui reçoit, trie, note ou contacte des candidats, avec les données traitées, les critères appliqués, le lieu d’hébergement et les transferts hors de France ou du Maroc.
Registre des traitements recrutement
Les fiches du registre pour chaque traitement lié au recrutement : finalité, base légale, catégories de données, destinataires, durée de conservation, mesures de sécurité.
Information des candidats
Mentions à placer dans les annonces, les formulaires et les messages automatisés, qui disent qu’un outil automatisé intervient, ce qu’il fait et comment obtenir un examen par une personne.
Procédure de supervision humaine
Qui valide les refus, qui peut corriger un classement, comment un candidat conteste : une procédure écrite, appliquée dans les outils et compréhensible par vos consultants.
Conservation et suppression
Durées fixées par catégorie de données, purge automatique à échéance, traitement des demandes d’effacement et d’accès des candidats, avec une trace de chaque action.
Formalités Maroc
Pour les cabinets marocains ou les flux de données vers le Maroc : préparation de la déclaration ou de la demande d’autorisation auprès de la CNDP et analyse des transferts de données vers l’étranger.
De l’inventaire au dossier
- Étape 1
Appel de cadrage
Vos outils, vos pays, vos volumes de candidatures et ce qui vous inquiète : un client, un candidat, un contrôle, un nouvel outil à déployer.
- Étape 2
Inventaire
On examine chaque outil en conditions réelles : ce qu’il reçoit, ce qu’il calcule, ce qu’il garde, où il envoie les données.
- Étape 3
Corrections
On corrige dans les outils ce qui expose le cabinet : rejets automatiques, critères non écrits, conservation sans limite, information absente.
- Étape 4
Dossier et passage de relais
Vous recevez le dossier de conformité et la procédure, à faire valider par votre conseil. Vos équipes savent l’appliquer et le tenir à jour.
Ce sur quoi vous pouvez nous tenir
- Chaque obligation citée est rattachée à son texte : article, règlement ou recommandation de l’autorité.
- Nous corrigeons les outils eux-mêmes, pas seulement la documentation.
- Nous ne remplaçons pas votre avocat : le dossier est conçu pour être validé par votre conseil.
- Proposition écrite après l’appel : périmètre, livrables et délais fixés avant de commencer.
Ce qu'on nous demande
L’AI Act classe-t-il les outils de recrutement IA comme « à haut risque » ?
Oui. Le point 4 de l’annexe III du règlement (UE) 2024/1689, dit AI Act, vise les systèmes d’IA utilisés pour cibler des annonces, filtrer des candidatures ou évaluer des candidats. Après le report dit « Digital Omnibus » adopté en 2026, ces obligations s’appliquent à partir du 2 décembre 2027. L’interdiction d’analyser les émotions sur le lieu de travail est, elle, en vigueur depuis février 2025.
Combien de temps le RGPD recommande-t-il de conserver les CV ?
Le RGPD ne fixe pas de durée chiffrée : il impose une durée limitée et justifiée par la finalité. Selon la CNIL (page CNIL Direct, consultée en septembre 2026), le dossier d’un candidat non retenu peut être conservé deux ans après le dernier contact avec le recruteur, ou plus longtemps avec son accord formel, à condition qu’il en soit informé.
Que dit l’article 17 du RGPD ?
L’article 17 du RGPD pose le droit à l’effacement, dit droit à l’oubli. Un candidat peut demander la suppression de ses données, que le responsable doit effacer dans les meilleurs délais quand elles ne sont plus nécessaires, quand il retire son consentement, s’oppose au traitement ou quand elles ont été traitées illicitement. Des exceptions existent, par exemple pour la défense de droits en justice.
Faut-il informer le candidat qu’une IA participe à sa présélection ?
Oui. En France, l’article L1221-8 du code du travail impose d’informer le candidat des méthodes et techniques d’aide au recrutement avant leur mise en œuvre, et l’article L1221-9 interdit de collecter une information par un dispositif qui ne lui a pas été annoncé. L’article 22 du RGPD lui donne en outre le droit de ne pas faire l’objet d’un rejet décidé uniquement par un traitement automatisé.
Quelles obligations pour les cabinets marocains sous la loi 09-08 ?
Au Maroc, tout traitement de données personnelles de candidats, y compris par un outil d’IA, relève de la loi 09-08 et doit être déclaré à la CNDP, voire autorisé par elle selon la nature du traitement. Les articles 43 et 44 encadrent le transfert de ces données vers un pays étranger, ce qui concerne directement les outils d’IA hébergés hors du Maroc.
Quelles sanctions en cas de non-conformité IA en recrutement ?
En France, la CNIL peut adresser une mise en demeure, ordonner la mise en conformité ou prononcer une amende, et un candidat peut contester un refus décidé sans intervention humaine. Au Maroc, la CNDP contrôle l’application de la loi 09-08. Le risque le plus immédiat reste souvent commercial : un client qui découvre que ses candidats ont été triés sans cadre ne renouvelle pas le mandat.
Faisons le point sur vos outils
Listez les outils qui touchent à vos candidats : on vous rappelle pour voir ce qui vous expose aujourd’hui et ce qu’il faut corriger en premier.