Premier échange de 30 minutes, sans engagement.
Demande d'information
· Nice et
100 km à la ronde, à distance partout en France.
Le 19 août 2026, la CNIL a mis en ligne une fiche pédagogique intitulée « Le refus de crédit en questions ». Le texte s’adresse aux particuliers et traite d’un sujet bancaire. Il énonce pourtant, en langage simple, la doctrine française du scoring algorithmique — celle qui s’appliquera demain, mot pour mot, au tri automatisé des candidatures. Pour une direction des ressources humaines, c’est un document de travail déguisé en fiche consommateur.
La fiche part d’une situation ordinaire : une demande de crédit refusée, sans explication claire. La CNIL y rappelle que les établissements financiers peuvent recourir à des outils d’intelligence artificielle ou à des modèles statistiques pour évaluer la solvabilité d’un demandeur, et que ces outils ne sont pas dans un angle mort du droit. Sa formulation est brève et sans ambiguïté : ces outils « sont soumis au règlement européen sur la protection des données (RGPD) : ils doivent être transparents, limiter les biais et ne pas conduire à des discriminations ».
Deux conséquences sont tirées explicitement.
D’abord, la responsabilité ne se délègue pas au fournisseur. L’établissement qui utilise l’outil doit être en mesure d’expliquer à la personne concernée « les principaux critères utilisés pour parvenir à la décision obtenue ».
Ensuite, le score n’est pas un chiffre opaque. La CNIL recommande que la communication du score soit « accompagnée des informations qui permettent de le comprendre (par exemple, les notes minimales et maximales pour obtenir le crédit) », et précise que ces informations « doivent être précises et personnalisées, pour vous permettre de comprendre votre situation ». Le texte s’appuie sur les articles 15 et 16 du RGPD — droit d’accès et droit de rectification — et renvoie à une recommandation de la CNIL de mai 2026 destinée aux professionnels du secteur, sur l’évaluation de la solvabilité des demandeurs de crédit.
Rien de tout cela ne fait mention du règlement européen sur l’intelligence artificielle. La CNIL raisonne ici sur le seul terrain du RGPD, applicable depuis 2018.
La transposition n’est pas une analogie journalistique : elle est écrite dans le droit européen. L’annexe III du règlement (UE) 2024/1689 classe parmi les systèmes d’IA à haut risque, à son point 5 b), les systèmes destinés à évaluer la solvabilité de personnes physiques ou à établir leur score de crédit — hors détection de fraude. Elle classe au même niveau, à son point 4, deux familles de systèmes RH : ceux destinés au recrutement ou à la sélection de personnes physiques, en particulier pour diffuser des offres ciblées, analyser et filtrer des candidatures et évaluer des candidats ; et ceux destinés à prendre des décisions affectant les conditions de la relation de travail, la promotion ou la rupture du contrat, à répartir les tâches en fonction du comportement ou de caractéristiques personnelles, ou à surveiller et évaluer les performances.
Scoring de crédit et scoring de candidature sont donc, dans l’architecture du règlement, deux cas d’usage de même niveau de risque, soumis au même régime. Ce que le régulateur français dit du premier indique ce qu’il dira du second.
Le rapprochement tient aussi sur le fond. Dans les deux cas, un modèle statistique attribue une note à une personne à partir de données historiques ; cette note conditionne l’accès à une ressource rare — un financement, un poste ; la personne notée ne voit ni le modèle ni les critères ; et l’erreur de classement est invisible pour celui qui la subit. Les mécanismes de biais y sont identiques : variables corrélées à un critère protégé, sous-représentation de certains profils dans les données d’entraînement, apprentissage sur des décisions passées qui reproduisaient déjà des écarts.
Trois points de droit sont acquis et applicables aujourd’hui.
L’article 22 du RGPD encadre les décisions produisant des effets juridiques ou affectant significativement une personne, lorsqu’elles sont fondées exclusivement sur un traitement automatisé, profilage compris. Le principe est l’interdiction, assortie d’exceptions — nécessité contractuelle, consentement explicite, autorisation par le droit de l’Union ou national — et, dans ces cas, d’un socle de garanties : intervention humaine, expression du point de vue de la personne, contestation de la décision.
Par son arrêt du 7 décembre 2023 dans l’affaire C-634/21, la Cour de justice de l’Union européenne a jugé que l’établissement automatisé d’un score de probabilité destiné à un tiers constitue lui-même une décision individuelle automatisée au sens de l’article 22, dès lors que ce tiers en tire de manière déterminante sa propre décision.
La portée pour les RH est directe. Un employeur qui achète un outil d’évaluation produisant un score de compatibilité, et qui écarte systématiquement les candidatures sous un certain seuil, ne peut pas soutenir que la décision reste humaine parce qu’un recruteur a cliqué. Si le score détermine l’issue, le score est la décision. La supervision humaine ne se présume pas : elle se démontre, par des traces de dossiers effectivement réexaminés et parfois inversés.
L’exigence portée par la CNIL le 19 août — des informations « précises et personnalisées » — écarte la réponse type. Expliquer à un candidat que « l’outil évalue l’adéquation du profil au poste » ne satisfait ni l’article 15 ni la doctrine du régulateur. Il faut pouvoir énoncer les principaux critères et situer la personne par rapport à eux.
Le règlement européen sur l’IA superpose au RGPD un régime produit : gestion des risques, gouvernance des données d’entraînement, documentation technique, journalisation, information des déployeurs, contrôle humain, robustesse et cybersécurité. Pour un déployeur, il ajoute notamment l’obligation d’informer les travailleurs concernés avant la mise en service d’un système à haut risque sur le lieu de travail.
Le calendrier a changé. Le règlement (UE) 2026/1744 du 8 juillet 2026, entré en vigueur le 27 juillet 2026, a reporté au 2 décembre 2027 l’application des obligations relatives aux systèmes à haut risque autonomes de l’annexe III — donc aux outils RH. Les systèmes intégrés comme composant de sécurité d’un produit réglementé suivront le 2 août 2028.
Ce report est fréquemment lu comme un répit de seize mois. C’est une erreur de lecture, pour trois raisons. Le RGPD, lui, n’a pas été reporté. Le droit de la non-discrimination et le code du travail non plus. Et les obligations de transparence de l’article 50 du règlement — informer une personne qu’elle interagit avec un système d’IA — s’appliquent depuis le 2 août 2026, ce qui vise directement les agents conversationnels de présélection. L’état de la gouvernance française et le détail du calendrier sont exposés dans AI Act : la France n’a toujours pas désigné ses autorités de contrôle.
Recenser les scores qui circulent dans vos processus RH. Score de matching d’un logiciel de suivi des candidatures, classement automatique d’une plateforme de sourcing, note d’un test en ligne, indicateur de performance calculé par un outil de pilotage. La question n’est pas de savoir si vous « utilisez de l’IA » mais si une note produite par une machine oriente une décision sur une personne.
Vérifier la réalité de l’intervention humaine. Sur les trois derniers mois : combien de candidatures classées sous le seuil ont été effectivement rouvertes ? Combien de décisions de l’outil ont été renversées ? Si la réponse est zéro, la supervision humaine est nominale, et l’article 22 s’applique pleinement.
Écrire la réponse type avant de recevoir la demande. Un candidat peut exercer son droit d’accès. Préparez dès maintenant le contenu que vous serez capable de lui fournir : critères principaux, position relative, voie de contestation, interlocuteur humain identifié.
Obtenir du fournisseur ce que vous devrez expliquer. Les critères pris en compte, les données d’entraînement, les tests de biais réalisés et leurs résultats, les performances par sous-population. Un fournisseur qui refuse de documenter ces éléments vous laisse porter seul une responsabilité qui vous incombera de toute façon.
Mesurer les écarts de sélection sur vos propres flux. Taux de passage par étape, comparés entre catégories, sur des volumes suffisants. C’est le seul moyen de détecter un biais que la documentation du fournisseur ne révélera pas.
Informer et consulter avant de déployer. Le déploiement d’un outil d’IA affectant l’organisation du travail relève de l’information-consultation du comité social et économique. Le faire en amont coûte du temps ; le faire après coûte le projet.
Former les recruteurs à contester l’outil. Une supervision humaine effective suppose des personnes qui comprennent ce que le score mesure, connaissent ses angles morts et disposent du mandat de passer outre. C’est un sujet de formation, pas de paramétrage.
L'autorité néerlandaise sanctionne Uber de 825 M€ pour des décisions automatisées sans intervention humaine. Ce que cela implique en RH.
Le règlement (UE) 2026/1744 reporte les obligations haut risque RH à décembre 2027 et assouplit l'article 4. Ce qui s'applique vraiment depuis le 2 août 2026.
Le règlement européen sur l'IA s'applique depuis le 2 août 2026, mais la loi française désignant les autorités de contrôle n'est toujours pas votée.
Sans engagement, sans diaporama. On regarde où vous en êtes, et je vous dis franchement si nous sommes le bon interlocuteur.
Demande d'information
Réponse sous 24 heures ouvrées. Si vous préférez parler de vive voix, réservez plutôt un créneau de 30 minutes — c'est souvent plus rapide.