Dois-je informer les candidats que leur CV est analysé par une IA ?

Oui, c'est une obligation directe de l'article 22 du RGPD et de la loi 25 au Québec. L'information doit apparaître dans votre politique de confidentialité et idéalement être mentionnée dès l'offre d'emploi. Elle doit aussi expliquer que la décision finale reste humaine.

Combien de temps puis-je conserver les CV non retenus ?

La CNIL recommande une durée maximale de 2 ans après le dernier contact avec le candidat, sauf consentement explicite pour une durée plus longue. AirflowHR applique cette règle par défaut et propose une suppression automatique configurable au niveau de l'organisation.

Un candidat peut-il refuser d'être évalué par une IA ?

Oui, le RGPD lui donne le droit de s'opposer à un traitement automatisé. Dans ce cas, vous devez prévoir un parcours alternatif où un humain examine sa candidature sans passer par l'analyse IA. C'est une des raisons pour lesquelles l'IA ne doit jamais être le seul décideur.

RGPD et recrutement IA : ce qu'il faut savoir

Le recrutement IA n’échappe pas au RGPD. Au contraire : c’est précisément sur ce type de traitement automatisé que le règlement est le plus exigeant. Voici ce qu’il faut savoir avant de brancher une IA sur votre flux de candidatures, et ce qu’AirflowHR fait concrètement pour rester conforme.

L’obligation d’information est renforcée

Dès qu’un traitement automatisé intervient dans une décision de recrutement — même partiellement — vous devez en informer les candidats. Concrètement, votre politique de confidentialité doit mentionner :

Qu’une analyse automatisée est réalisée sur les candidatures.
Quelles informations sont traitées et dans quel but.
Que la décision finale reste prise par un humain.
Que le candidat peut s’y opposer et demander un traitement manuel.

Cette information doit être accessible avant le dépôt de candidature, pas après. Une ligne dans les mentions légales en bas de page ne suffit pas si elle n’est pas signalée dès le formulaire.

La minimisation des données personnelles

Le principe de minimisation du RGPD impose de ne traiter que les données strictement nécessaires. Pour une analyse IA, cela veut dire : pas de nom, pas d’email, pas de téléphone, pas d’adresse envoyés au modèle de langage.

Ces informations sont inutiles pour évaluer des compétences et elles ouvrent la porte aux biais (nom à consonance étrangère, code postal associé à un quartier, etc.). Chez AirflowHR, l’anonymisation se fait avant que le CV ne transite vers l’IA : seules les informations fonctionnelles (expérience, compétences, langues, formation) sont analysées.

L’hébergement des données

Si vous traitez des CV de candidats résidant dans l’UE ou au Canada, l’hébergement compte. Un transfert hors UE sans garanties appropriées est illégal pour les données européennes, et la loi 25 du Québec impose des obligations spécifiques pour les données québécoises.

AirflowHR héberge les données au Québec (AWS ca-central-1, région de Montréal). Les premiers clients ciblés sont québécois, et l’extension multi-région (Paris, Zurich) suivra avec des buckets dédiés par juridiction — pas de centralisation opportuniste.

Le consentement explicite ou la base légale claire

Vous n’avez pas besoin du consentement du candidat pour traiter sa candidature : la base légale est l’exécution de mesures précontractuelles. En revanche, vous avez besoin d’une base légale claire pour :

Conserver un CV après une décision négative → intérêt légitime avec information.
Contacter un candidat pour une autre offre plus tard → consentement explicite.
Constituer un vivier de candidats pour des campagnes futures → consentement explicite.

Ces nuances sont importantes : un vivier constitué sans consentement est une bombe à retardement.

Le droit à l’explication

L’article 22 du RGPD donne aux candidats le droit de comprendre pourquoi leur candidature a été écartée si la décision repose sur un traitement automatisé. AirflowHR conserve pour chaque candidature une trace des critères appliqués et des résultats — ce qui permet à un recruteur de donner une réponse argumentée si un candidat la demande.

Les bonnes pratiques en pratique

Informer dès le formulaire, pas seulement dans la politique de confidentialité.
Anonymiser avant l’IA : pas de PII dans les prompts.
Conserver la main : l’IA propose, l’humain décide.
Documenter : critères, décisions, délais de conservation.
Purger : suppression automatique après 2 ans par défaut.

Le RGPD n’est pas un frein au recrutement IA, c’est le cadre qui lui donne sa légitimité. Un recrutement IA conforme est un recrutement plus équitable, plus traçable et plus défendable — y compris devant les prud’hommes.

Vous voulez voir comment AirflowHR gère concrètement la conformité RGPD ? Demandez une démo ou testez l’outil gratuitement pendant 90 jours.