L'IA peut-elle être utilisée pour analyser les candidatures sans l'accord des candidats ?
Réponse courte
L'analyse de candidatures par l'IA sans information préalable des candidats est illicite au Luxembourg. Le obligations RGPD impose une obligation de transparence (articles 13-14) qui exige d'informer les candidats de l'existence d'un traitement automatisé de leurs données. L'article 22 du RGPD leur confère le droit de ne pas être soumis à une décision fondée exclusivement sur un traitement automatisé.
Toutefois, le consentement n'est pas toujours la base juridique appropriée. L'employeur peut fonder le traitement sur son intérêt légitime (article 6.1.f RGPD) à condition de respecter l'obligation d'information, de réaliser une mise en balance des intérêts et de garantir les droits des candidats. L'information préalable est obligatoire dans tous les cas ; seule la base juridique varie.
Définition
L'analyse de candidatures par IA désigne le traitement automatisé des données contenues dans les dossiers de candidature (CV, lettres de motivation, profils en ligne) par un système d'intelligence artificielle, à des fins de tri, de scoring, de matching ou de présélection. Ce traitement implique nécessairement le traitement de données à caractère personnel.
Le cadre juridique distingue l'information des candidats (toujours obligatoire) du consentement (base juridique parmi d'autres). L'employeur doit informer les candidats de l'utilisation de l'IA dans le processus, mais peut fonder le traitement sur une base juridique autre que le consentement.
Questions fréquentes
Conditions d’exercice
L'utilisation de l'IA pour analyser les candidatures est soumise à des obligations cumulatives de transparence et de protection des données.
| Obligation | Détail |
|---|---|
| Information préalable (art. 13-14 RGPD) | Obligation d'informer les candidats avant le traitement de l'existence de l'IA, de la finalité, des données traitées, de la logique de décision et des conséquences |
| Base juridique (art. 6 RGPD) | Intérêt légitime de l'employeur (6.1.f) après mise en balance des intérêts, ou consentement explicite du candidat (6.1.a) |
| Décisions automatisées (art. 22 RGPD) | Interdiction des décisions exclusivement automatisées produisant des effets juridiques ; droit à une intervention humaine |
| Droit d'explication | Le candidat a le droit d'obtenir des informations sur la logique sous-jacente au traitement automatisé et ses conséquences |
| Droit d'opposition | Le candidat peut s'opposer au traitement fondé sur l'intérêt légitime ; l'employeur doit alors traiter sa candidature sans IA |
| AI Act - Transparence | Obligation d'informer les utilisateurs qu'ils interagissent avec un système d'IA (obligation de transparence pour systèmes à haut risque) |
| Données interdites | Interdiction de traiter des données sensibles (origine ethnique, opinions politiques, santé, orientation sexuelle) sauf consentement explicite |
Modalités pratiques
La mise en conformité suit un processus garantissant la transparence et les droits des candidats.
| Étape | Détail |
|---|---|
| Politique de confidentialité recrutement | Rédiger une politique spécifique mentionnant l'utilisation de l'IA, les données traitées, les finalités et les droits des candidats |
| Information dans l'offre d'emploi | Mentionner l'utilisation de l'IA dans le processus de recrutement dès la publication de l'offre |
| Accusé de réception | Informer le candidat par email de confirmation de la candidature de l'utilisation de l'IA et de ses droits |
| Procédure d'opposition | Mettre en place une procédure simple permettant au candidat de demander un traitement de sa candidature sans IA |
| Intervention humaine | Garantir qu'aucune décision de rejet n'est prise sans validation par un recruteur humain |
| Conservation limitée | Définir des durées de conservation proportionnées pour les données de candidature traitées par l'IA |
Pratiques et recommandations
Intégrer l'information sur l'utilisation de l'IA directement dans les offres d'emploi et les formulaires de candidature, pour garantir une transparence dès le premier contact avec le candidat.
Proposer systématiquement une voie de traitement alternative sans IA pour les candidats qui en font la demande, en garantissant l'absence de tout préjudice lié à l'exercice de ce droit.
Limiter les données analysées par l'IA aux informations directement liées aux compétences et qualifications requises pour le poste, en excluant les données personnelles non pertinentes.
Conserver les traces de l'information délivrée aux candidats et de leur éventuel consentement ou opposition pour démontrer la conformité en cas de contrôle de la CNPD.
Cadre juridique
| Référence | Objet |
|---|---|
| RGPD - Articles 13 et 14 | Obligation d'information des personnes concernées |
| RGPD - Article 6 | Bases juridiques du traitement des données personnelles |
| RGPD - Article 22 | Protection contre les décisions exclusivement automatisées |
| RGPD - Article 21 | Droit d'opposition au traitement fondé sur l'intérêt légitime |
| AI Act - Annexe III | Classification du recrutement comme domaine à haut risque |
| Art. L.251-1 | Non-discrimination dans le recrutement |
| Loi du 1er août 2018 | Mise en œuvre du RGPD au Luxembourg |
Note
L'obligation d'information des candidats sur l'utilisation de l'IA est absolue et inconditionnelle, quelle que soit la base juridique retenue pour le traitement. Le défaut d'information constitue une violation du RGPD sanctionnable par la CNPD.
L'employeur doit distinguer clairement information et consentement : informer est toujours obligatoire, tandis que le consentement n'est qu'une des bases juridiques possibles du traitement.