L'IA au service RH : données des candidats et RGPD

En bref : l'IA peut trier les candidatures, mais elle ne doit pas décider seule. Les données des candidats sont des données personnelles. Le RGPD s'applique, avec le Code du travail français. Comptent surtout la finalité, la nécessité et la minimisation. Un refus automatique sans humain n'est pas permis par l'art. 22 du RGPD.

Ce que le RGPD demande pour les données des candidats

Vous ne pouvez traiter les données d'un candidat que si c'est utile au recrutement. En France, l'art. L1221-6 du Code du travail précise que les informations demandées ne visent qu'à apprécier l'aptitude au poste. Ne collectez que le nécessaire.

• Finalité : n'utiliser les données que pour ce recrutement.
• Nécessité : ne demander que ce que le poste exige vraiment.
• Minimisation : le moins de données possible (art. 5 RGPD).
• Transparence : informer le candidat du traitement.
• Base légale : vérifier l'art. 6 du RGPD avant de commencer.

Pas de refus entièrement automatisé (art. 22)

Une décision produisant des effets juridiques ne peut pas reposer sur le seul traitement automatisé. Un refus par algorithme, sans humain, entre dans ce cas. Un humain doit examiner et assumer la décision.

• L'IA peut présélectionner et résumer, pas refuser définitivement.
• Un humain vérifie chaque proposition et décide lui-même.
• Le candidat a droit à une explication et peut contester.
• Documentez qui prend la décision finale.
• Les exceptions sont limitées et exigent des garanties.

Éviter les biais et la discrimination

L'IA générative peut reprendre des biais présents dans les données passées. Cela peut défavoriser certains groupes. Or le Code du travail interdit toute discrimination à l'embauche.

• Contrôler régulièrement les suggestions de l'IA.
• Ne pas faire évaluer de critères hors du poste.
• Vérifier les résultats par sondage, à la main.
• Définir des critères clairs et équitables à l'avance.
• Associer les représentants du personnel si outil de suivi.

Ne pas saisir de catégories particulières (art. 9)

Certaines données sont spécialement protégées. L'art. 9 du RGPD les liste de façon exhaustive : santé, origine, religion, appartenance syndicale, biométrie, etc. Un simple nom, un numéro de téléphone ou une adresse n'en font pas partie.

• Ne pas saisir de données de santé ou d'origine dans l'IA.
• Laisser de côté la religion ou l'appartenance syndicale.
• Éviter les photos et les données biométriques.
• Nom et contact sont protégés, mais hors art. 9.
• Dans le doute, retirer la donnée avant de la saisir.

Comment utiliser l'IA dans les règles

Des règles claires rendent l'usage de l'IA plus sûr au recrutement. Notez ces étapes par écrit. Le processus reste ainsi vérifiable.

1. 1Fixer la base légale et la finalité en amont.
2. 2Inscrire le traitement au registre.
3. 3Faire une AIPD en cas de risque élevé.
4. 4Informer clairement les candidats.
5. 5Réduire les données personnelles avant l'IA.

C'est là qu'intervient ONYRI Sanitize. L'outil repère les données sensibles comme les noms et les coordonnées, puis les remplace par des jetons réversibles avant que le texte n'atteigne l'IA. La correspondance entre le jeton et la valeur reste dans votre navigateur et n'est jamais envoyée à un serveur. Après la réponse de l'IA, les vraies valeurs sont restaurées. Soyons honnêtes : il s'agit de pseudonymisation, pas d'anonymisation. Les données pseudonymisées restent des données personnelles (considérant 26 du RGPD). ONYRI réduit l'exposition des données, mais ne remplace ni un contrat de sous-traitance (DPA) ni une base légale.

L'IA peut soulager les RH. Mais c'est l'humain qui décide, et le RGPD fixe le cadre. Moins de données dans l'IA, c'est moins de risque.