Aller au contenu principal
Quel ATS

IA et règles

Une analyse d’impact (AIPD) est-elle nécessaire pour un ATS avec IA ?

Pour qui : Vous êtes RH, DPO ou dirigeant. Un ATS propose des fonctions d’IA et vous voulez savoir si une analyse d’impact sur la protection des données (AIPD) s’impose, et qui doit l’écrire.

Oui, dès qu’une fonction d’ATS sert à sélectionner les candidats par un algorithme. Le guide de la CNIL de 2023 cite ce cas parmi ceux de sa liste obligatoire. L’article 35 du RGPD est applicable, et il ne dépend pas du calendrier du règlement sur l’IA.

Pour les autres fonctions, la règle est un décompte : l’AIPD est en principe obligatoire si le traitement remplit au moins deux des neuf critères listés par le CEPD, le comité européen de la protection des données. Un ATS sans algorithme, avec des CV lus par une personne, ne semble pas la justifier selon la CNIL.

Notre avis

Oui pour toute fonction qui sélectionne ou classe. Ne la laissez pas à l’éditeur : demandez-lui les pièces et écrivez l’analyse chez vous.

Pourquoi

  • La CNIL place l’algorithme de sélection sur sa liste, d’après son guide.
  • L’éditeur connaît l’outil, mais il ne connaît ni vos postes, ni vos candidats, ni vos circuits de décision.
  • L’analyse doit précéder la mise en œuvre et vivre avec le traitement.

Ce qui change le choix

Si aucune fonction n’évalue, ne note ni ne compare, et que le décompte donne moins de deux critères, une AIPD peut ne pas être requise. Écrivez ce raisonnement : il vous servira si l’éditeur ajoute une fonction.

L’ordre à suivre

  1. Tri, score, classement ou sourcing automatisé : faites l’AIPD avant d’activer.
  2. Résumé ou extraction de CV : comptez les critères, et écrivez la conclusion même si elle est négative.
  3. ATS sans IA, CV lus par une personne : la CNIL n’y voit a priori pas de justification, gardez le raisonnement dans votre registre.

Votre fonction relève de quel cas ?

Le guide de la CNIL ne parle pas d’ATS produit par produit. Nous rapprochons donc ses exemples des fonctions annoncées. La colonne de droite distingue ce que la CNIL écrit de ce que nous en déduisons.

Lecture au 5 novembre 2026 du guide de 2023
Fonction dans l’ATSAIPDOrigine de la réponse
Tri, score ou classement par algorithmeObligatoireExemple de la liste, selon le guide
Sourcing sur réseaux sociaux et bases publiques pour sélectionner des candidats potentiels à des postes à responsabilité et contacter les meilleurs ; pour d’autres postes, même cas si un algorithme établit des profilsObligatoireExemple du schéma du guide
Analyse du son ou de la vidéo pour mesurer le savoir-êtreJustifiée, sauf inférence d’émotions à couperExemple du guide de 2023 ; si la fonction infère des émotions, les lignes directrices de la Commission du 29 juillet 2025, non contraignantes, la donnent pour interdite pendant le recrutement au titre de l’article 5 §1 f) : coupez-la plutôt que d’écrire l’analyse
Tests de compétences ou de personnalité par outilSouvent obligatoireCritères du CEPD, selon le guide
Résumé de CV, extraction, aide à la rédactionÀ compterNotre déduction : le guide ne les traite pas
Lecture humaine des CV et lettres dans l’outilNe semble pas justifiéeExemple du guide

Comment compter les neuf critères ?

Le guide les énumère : évaluation ou notation d’une personne, décision automatisée, surveillance systématique, données sensibles ou hautement personnelles, grande échelle, croisement de données, personnes vulnérables, usage innovant, et traitement qui empêche d’exercer un droit ou d’obtenir un contrat. Le guide ajoute que la relation entre candidat et recruteur peut, selon le contexte, être présumée déséquilibrée, ce qui touche le critère des personnes vulnérables.

Cochez ce qui correspond à votre usage réel. Une note visible par les recruteurs coche déjà l’évaluation. Si le résultat écarte des candidats, le dernier critère entre aussi en discussion. Aucun nombre de candidatures n’est fixé dans ce que nous avons lu : ne vous rassurez pas avec un volume modeste.

Qui écrit quoi ?

Selon le RGPD, le responsable de traitement effectue l’analyse, avant le traitement, et demande conseil à son délégué s’il en a un. Pour un recrutement, c’est en général vous. L’éditeur, s’il agit comme sous-traitant, doit aider à respecter ces obligations. Taleez l’annonce d’ailleurs ainsi : l’éditeur se présente comme sous-traitant, et laisse la responsabilité au recruteur.

Demandez à l’éditeur le fonctionnement de la fonction, les données traitées, les sous-traitants, les durées et les résultats de ses tests. À partir du 2 décembre 2027, l’article 26 §9 du règlement sur l’IA fera utiliser les informations du fournisseur pour cette analyse lorsqu’il s’agit d’un système à haut risque. Statut : adopté, pas encore applicable.

Si l’analyse conclut à un risque élevé que vous ne savez pas réduire, le guide demande de consulter la CNIL avant de commencer. Aucune autre formalité préalable auprès d’elle n’est requise selon le même guide.

Limites de cette page

Notre lecture passe par le guide de 2023, antérieur au règlement sur l’IA. La liste de la CNIL elle-même n’a pas été lue : ouvrez-la sur cnil.fr avant de vous y référer. Les modèles d’AIPD de la CNIL n’ont pas été lus. Cette page ne remplace pas l’avis de votre délégué ou de votre conseil. Le texte du règlement 2026/1744 au Journal officiel n’a pas été lu : la date du 2 décembre 2027 vient de la version consolidée publiée par la Commission.

Prochaine action

Pour chaque fonction d’IA activable, remplissez une ligne : ce qu’elle fait, cas du tableau, critères cochés, conclusion, date. Si vous êtes dans un cas obligatoire, n’activez qu’une fois l’analyse écrite.

Preuves et sources

Lu le 5 novembre 2026 : guide Recrutement de la CNIL (30 janvier 2023), fiche sur l’AIPD ; RGPD, articles 28 et 35, tels que reproduits par la CNIL ; article 26 du règlement (UE) 2024/1689 sur l’AI Act Service Desk de la Commission, version consolidée au 27 juillet 2026 ; section 7 des lignes directrices de la Commission du 29 juillet 2025 sur les pratiques interdites. La liste de la CNIL n’a pas été lue directement (erreur 404 à l’adresse essayée).

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun logiciel n’a été testé. Notre méthode, connexions relevées et prix relevés.

  • Fait lu. Le guide de la CNIL rend l’AIPD obligatoire lorsque le traitement figure sur la liste de la CNIL, et prend pour exemple un traitement facilitant le recrutement par un algorithme de sélection.

    Portée : France, guide du 30 janvier 2023.

    Réserve : Liste connue par le guide, non lue directement.

  • Fait lu. Le même guide retient une obligation de principe à partir de deux critères sur les neuf du CEPD, qu’il énumère, et range dans la catégorie des traitements établissant des profils la sélection sur réseaux sociaux et bases publiques de candidats potentiels à des postes à responsabilité.

    Portée : France, guide de 2023.

    Réserve : Lignes directrices du CEPD non lues directement.

  • Fait lu. La CNIL estime qu’une analyse individuelle de CV et de lettres par un chargé de recrutement ne semble pas justifier d’AIPD, et qu’une analyse algorithmique du son ou de la vidéo sur le savoir-être la justifierait.

    Portée : France, guide de 2023.

    Réserve : Exemples, pas une liste complète.

  • Fait lu. L’article 35 du RGPD charge le responsable du traitement de l’analyse, avant le traitement, et lui fait demander conseil au délégué désigné.

    Portée : UE, applicable, reproduction de la CNIL.

    Réserve : Réforme éventuelle du RGPD non recherchée.

    • CNIL : RGPD, chapitre IV non datée. Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.

  • Fait lu. L’article 28 du RGPD prévoit que le sous-traitant aide le responsable à respecter les obligations des articles 32 à 36.

    Portée : UE, applicable.

    Réserve : Le rôle de l’éditeur se qualifie au cas par cas.

    • CNIL : RGPD, chapitre IV non datée. Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.

  • Fait lu. L’article 26 §9 du règlement sur l’IA fait utiliser au déployeur les informations de l’article 13 pour son analyse d’impact RGPD.

    Portée : UE, adopté, applicable le 2 décembre 2027 pour l’annexe III.

    Réserve : Article 13 non lu ici.

  • Déclaration de l’éditeur. Taleez se présente comme sous-traitant au sens du RGPD et dit que la responsabilité des traitements reste portée par les entreprises qui recrutent.

    Portée : Page RGPD de l’éditeur.

    Réserve : Déclaration, la qualification dépend du contrat.

  • Fait lu. Selon le guide, une consultation préalable de la CNIL s’impose si l’analyse ne trouve pas de mesures suffisantes, et aucune autre formalité préalable n’est due pour ces traitements.

    Portée : France, guide de 2023.

    Réserve : Formalités d’autres textes non traitées.

  • Notre calcul ou déduction. Rattacher résumé, extraction et rédaction au décompte des critères est notre déduction, le guide ne les traitant pas.

    Portée : Lecture éditoriale.

    Réserve : Ne qualifie aucun produit.

  • Fait lu. Le guide rapporte que les employés peuvent être vus comme vulnérables selon le CEPD et que la relation candidat-recruteur peut être présumée au moins aussi déséquilibrée selon le contexte.

    Portée : France, guide de 2023.

    Réserve : Selon les contextes.

  • Fait lu. Les lignes directrices de la Commission du 29 juillet 2025 sur les pratiques interdites appliquent l’article 5 §1 f) aux candidats pendant la sélection et donnent pour interdit l’usage de la reconnaissance des émotions en recrutement.

    Portée : UE, lignes directrices non contraignantes, applicables depuis le 2 février 2025 pour l’interdiction.

    Réserve : Seul le juge tranche ; une mesure du stress n’infère pas toujours une émotion.