IA et RH : que dit la CNIL sur les données des salariés ?

La réponse tient en une phrase. L'IA peut vous aider à structurer et à reformuler, mais ne lui confiez pas les données brutes de vos salariés et candidats. Un CV. Un bulletin de paie. Une évaluation annuelle. Collés dans une IA grand public, ces documents quittent votre système RH. Or la CNIL encadre étroitement les données RH. Et trier des candidats par un outil automatisé touche à un droit précis : la décision automatisée. Bonne nouvelle : l'IA n'est pas interdite en RH. Il faut une base légale, informer les personnes, garder l'humain dans la boucle, et anonymiser avant tout prompt.

Le problème : le RH colle des données de salariés dans l'IA

Le geste est banal. Pour trier une pile de candidatures, on colle des CV dans une IA. Pour résumer une campagne d'entretiens, on lui donne les notes. Pour rédiger un courrier, on ajoute une fiche de paie. Le service RH gagne du temps. Mais chaque document transmis contient des données personnelles de salariés ou de candidats. Une IA grand public est un service tiers. Ce que vous y collez peut être retenu, relu ou réutilisé pour l'entraînement du modèle.

Un dossier RH concentre justement des données que la CNIL surveille. Voici ce qu'un prompt mal préparé peut exposer.

• Les nom, prénom et coordonnées d'un candidat ou d'un salarié.
• Les éléments de rémunération : salaire, primes, bulletin de paie.
• Les évaluations, les comptes rendus d'entretien, les appréciations.
• Des données de santé (catégorie particulière au sens du RGPD), par exemple dans un arrêt ou un dossier.

Ces données ne sont pas anodines. La CNIL, l'autorité française de protection des données, a publié un cadre dédié à la gestion des ressources humaines et au recrutement. Il rappelle des principes clairs : une base légale pour chaque traitement, la proportionnalité, l'information des personnes et la minimisation des données. La minimisation veut dire une chose simple : ne collecter et ne traiter que ce qui est nécessaire.

L'enjeu : la CNIL encadre les données RH de près

La CNIL fixe aussi des repères de durée de conservation. Ils sont concrets. Les données d'un candidat non retenu ne doivent pas être gardées au-delà de deux ans après le dernier contact, sauf demande de suppression. Après le départ d'un salarié, certaines données sont archivées selon les obligations légales, comme les bulletins de paie. Ces repères viennent du référentiel RH de la CNIL. Ils montrent une chose : une donnée RH a une durée de vie encadrée, pas une existence illimitée dans un chat.

L'enjeu monte d'un cran avec le tri automatisé. Le RGPD, à son article 22, reconnaît un droit précis. Chacun peut refuser d'être soumis à une décision fondée exclusivement sur un traitement automatisé, y compris le profilage. Ce droit joue dès que la décision produit un effet juridique ou l'affecte de manière significative. Refuser une candidature vise directement ce cas. Le profilage, lui, est défini par le RGPD à son article 4. C'est un traitement automatisé qui évalue des aspects d'une personne, comme ses performances au travail ou son comportement. Utiliser une IA pour classer des candidats relève pleinement de cette définition.

Un point rassure, à condition de le respecter. Même quand une exception à l'article 22 s'applique (contrat, loi, ou consentement explicite), la personne garde des droits. Elle peut obtenir une intervention humaine, exprimer son point de vue et contester la décision. Autrement dit, l'humain doit rester décisionnaire. Un tri d'aide à la décision, validé par un vrai regard humain, sort en principe du champ strict de l'interdiction. Une IA qui déciderait seule, non.

Qui est responsable ? Le service RH, pas l'IA

La responsabilité ne se délègue pas à l'outil. L'employeur, service RH ou cabinet de recrutement, agit en qualité de responsable de traitement. C'est lui qui définit les finalités et les moyens. C'est lui qui répond de la conformité, y compris quand le traitement passe par une IA tierce. Le fournisseur d'IA reste un tiers. D'où l'intérêt de réduire ce qui sort de votre poste avant même l'envoi.

Les données de santé méritent une vigilance à part. Un arrêt de travail, une mention médicale dans un dossier : ce sont des données sensibles. Le RGPD, à son article 9, en interdit en principe le traitement, sauf exceptions strictes. Les exposer à une IA externe est donc à proscrire.

La solution : anonymiser avant le prompt, garder l'humain

Bonne nouvelle : l'IA reste utile au service RH. Elle aide à structurer une grille, à reformuler une offre, à résumer une trame d'entretien. Pour cela, elle n'a besoin d'aucun nom réel. Travaillez sur des données anonymisées. Gardez les identités, les rémunérations et les éléments sensibles hors du prompt. Et laissez un humain trancher chaque décision qui concerne une personne.

Quand vous devez décrire un cas concret, anonymisez d'abord. Remplacez chaque élément identifiant par un jeton. L'IA raisonne sur la structure d'un CV ou d'un dossier, sans jamais voir les vraies valeurs. Vous restaurez ensuite les données réelles, en local. Les identités ne quittent jamais votre poste. Anonymiser sert la minimisation, un principe rappelé par la CNIL. Attention toutefois : cette prudence réduit le risque. Elle ne rend pas à elle seule votre traitement conforme au RGPD. Et elle ne vous dispense ni de la base légale, ni de l'information des personnes, ni de l'humain dans la décision.

1. 1Repérez les éléments identifiants : noms, coordonnées, rémunérations, mentions de santé.
2. 2Remplacez-les par des jetons réversibles, côté navigateur.
3. 3Envoyez seulement le texte anonymisé à l'IA.
4. 4Restaurez les vraies valeurs en local, puis faites valider chaque décision par un humain.

C'est le rôle d'ONYRI Sanitize. Le moteur détecte les données sensibles — noms, coordonnées, salaires, mentions de santé — et les remplace par des jetons réversibles avant l'envoi. La détection et le mapping restent dans votre navigateur. Seul un texte anonymisé atteint le modèle. L'IA n'y trouve que des jetons, jamais l'identité de vos candidats ni les rémunérations de vos salariés. Vous obtenez l'aide de l'IA, en soutenant la minimisation que la CNIL attend, tout en gardant l'humain au cœur de la décision.