IA et règles
Votre ATS envoie-t-il les CV à un fournisseur de modèle d’IA ?
Pour qui : Votre ATS résume des CV ou propose des candidats. Votre DPO demande où partent ces données et qui les traite. La page sécurité de l’éditeur parle d’hébergement, sans parler du modèle d’IA.
Possible, et seul votre éditeur peut le dire avec précision. Dans ce que nous avons lu le 5 novembre 2026, un seul éditeur documente tout cela en détail : Teamtailor annonce que Co-pilot repose sur les modèles GPT d’OpenAI. Ashby cite aussi OpenAI parmi les modèles de tiers qu’il utilise, sous accord de traitement, avec moins de détail. JobAffinity annonce une IA exécutée sur ses serveurs en France, sans OpenAI. Softy parle d’une IA française sans nommer de prestataire. Nous n’avons vérifié aucune de ces déclarations.
Faites écrire quatre réponses pour chaque fonction : quel tiers, quelle région, quelle durée de conservation, quel entraînement. Le RGPD, applicable, vous demande de recourir à des sous-traitants offrant des garanties suffisantes, et encadre le recours de votre éditeur à un autre sous-traitant.
Notre avis
Ne le supposez ni dans un sens ni dans l’autre : faites-le écrire. Exigez la même précision que la documentation la plus détaillée que nous ayons lue, et n’activez pas sans réponse.
Pourquoi
- Teamtailor nomme OpenAI, la région, la conservation et l’absence d’entraînement, ce qui montre que la réponse est possible.
- Un hébergement annoncé en France ou en Europe ne répond pas à la question du modèle.
- Un changement de modèle ou de prestataire peut arriver après la signature.
Ce qui change le choix
Si l’éditeur établit que la fonction reste sur son infrastructure, ou que vous la laissez coupée, la question se ferme pour cette fonction. Si des données partent hors d’Europe, votre délégué doit regarder le transfert.
L’ordre à suivre
- Demandez la liste des sous-traitants d’IA, par fonction.
- Faites écrire la région de traitement et la durée de conservation chez ce tiers.
- Faites écrire l’absence ou non d’entraînement sur vos données.
- Activez seulement ensuite, et mettez à jour vos mentions.
À quoi ressemble une réponse précise ?
Le niveau de détail de Teamtailor sert de repère. Ce sont ses déclarations, sans contrôle de notre part. Elles ne le rendent ni meilleur ni conforme. Elles montrent seulement ce qu’il est possible d’obtenir par écrit.
| Point | Teamtailor annonce | Ce que vous demandez aux autres |
|---|---|---|
| Modèle et tiers | Modèles GPT d’OpenAI, par son offre entreprise, en sous-traitant ultérieur | Le nom du tiers, pour chaque fonction |
| Région | Choix du client entre UE (Irlande) et ouest des États-Unis ; avec la région UE, OpenAI traite « généralement » en Europe (EEE et Suisse), avec la région américaine, aux États-Unis | La région, et ce que recouvre ce mot |
| Conservation chez le tiers | Pas de conservation sauf pour deux fonctions : jusqu’à 24 heures pour « Suggest existing candidates » ; environ 10 minutes pour « Resume parser » ; journaux d’abus jusqu’à 30 jours pour ces deux modes | La durée, fonction par fonction |
| Entraînement | Ni entraînement par OpenAI sur ces données, ni modèle propre entraîné sur les données d’un client | Un engagement écrit dans le contrat |
| Activation | Option activée par un administrateur | Qui active, et si vous pouvez couper |
Pourquoi l’hébergement ne suffit-il pas ?
Parce que l’endroit où dort le CV et l’endroit où il est traité par un modèle peuvent différer. Softy écrit que ses données sont hébergées en France, sur des serveurs de Scaleway, et que son assistant repose sur une IA française. JobAffinity écrit au contraire que son IA tourne sur ses propres serveurs en France, sans OpenAI ni « LLM américain », et que les CV ne quittent pas le territoire. Ce sont des déclarations d’éditeur. Celle de Softy ne nomme pas de prestataire de modèle : demandez-le, c’est une question normale. Celle de JobAffinity se vérifie dans le contrat et la liste des sous-traitants.
Côté entraînement, Ashby dit ne pas entraîner de modèle sur les données clients et retirer les données personnelles des CV envoyés aux modèles. Demandez toujours ce que couvre ce retrait : une expérience, un diplôme ou une adresse peuvent rester identifiants.
Quels sont vos gestes à vous ?
Vous restez responsable du choix de vos prestataires et de l’information des candidats. Selon l’article 28, en cas d’autorisation générale, l’éditeur vous informe des changements de sous-traitants et vous pouvez vous y opposer. Selon le guide de la CNIL, vos mentions doivent citer les destinataires des données.
Un dernier point sur les rôles : Teamtailor écrit qu’il peut être fournisseur du système tandis que ses prestataires de modèle ont leurs propres obligations. Être fournisseur d’un modèle et fournisseur d’un système sont deux choses. Vous, vous restez déployeur si vous utilisez le système sous votre autorité. La répartition exacte n’est pas traitée dans ce que nous avons lu.
Limites de cette page
Nous n’avons lu aucune liste de sous-traitants d’éditeur ni aucun contrat. Rien n’est testé. Les transferts hors de l’Union n’ont pas été analysés ici : ils relèvent de votre délégué ou de votre conseil. Les déclarations citées peuvent changer sans préavis : relisez-les à la date de votre décision.
Prochaine action
Envoyez à l’éditeur la demande de liste : tiers, région, conservation, entraînement, pour chaque fonction. Reportez la réponse dans votre registre et vos mentions. Si la fonction reste chez l’éditeur, faites-le écrire et classez le sujet.
Preuves et sources
Lu le 5 novembre 2026 : pages de Teamtailor sur Co-pilot et l’AI Act, de Softy, d’Ashby et de JobAffinity ; RGPD, article 28, reproduit par la CNIL ; guide Recrutement de la CNIL (30 janvier 2023) ; article 3 du règlement (UE) 2024/1689 sur l’AI Act Service Desk, version consolidée au 27 juillet 2026.
Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun logiciel n’a été testé. Notre méthode, connexions relevées et prix relevés.
Déclaration de l’éditeur. Teamtailor indique utiliser l’offre entreprise d’OpenAI, avec OpenAI comme sous-traitant ultérieur, et dit qu’aucune des deux sociétés n’entraîne de modèle sur les données reçues.
Portée : Page d’aide, non datée.
Réserve : Non vérifié, contrat non lu.
- Teamtailor : Co-pilot: Privacy and Security non datée. Lu le 5 novembre 2026. Déclaration de l’éditeur.
Déclaration de l’éditeur. Selon la même page, le client choisit entre Irlande et Oregon ; OpenAI traite en général en Europe, EEE et Suisse, pour la région UE, et aux États-Unis pour la région américaine.
Portée : Page d’aide.
Réserve : « Généralement » : à faire préciser.
- Teamtailor : Co-pilot: Privacy and Security non datée. Lu le 5 novembre 2026. Déclaration de l’éditeur.
Déclaration de l’éditeur. Teamtailor décrit une conservation nulle sauf exceptions, 24 heures au plus pour la suggestion de candidats, 10 minutes environ pour le parseur de CV, et jusqu’à 30 jours de journaux d’abus pour ces deux modes.
Portée : Page d’aide.
Réserve : Non vérifié.
- Teamtailor : Co-pilot: Privacy and Security non datée. Lu le 5 novembre 2026. Déclaration de l’éditeur.
Déclaration de l’éditeur. L’article de Teamtailor sur l’AI Act évoque des modèles d’usage général fournis par OpenAI, Teamtailor pouvant être fournisseur du système tandis que ses prestataires ont des obligations distinctes.
Portée : Article d’aide.
Réserve : Lecture de l’éditeur.
- Teamtailor : The New EU AI Act: Recruiting with Teamtailor 'Updated this week' affiché. Lu le 5 novembre 2026. Déclaration de l’éditeur.
Déclaration de l’éditeur. Softy parle d’une IA française et d’un hébergement en France chez Scaleway, sans nommer de prestataire du modèle dans les passages lus.
Portée : Page d’accueil de l’éditeur.
Réserve : Sous-traitants à faire confirmer.
- Softy : Logiciel de recrutement Softy non datée. Lu le 5 novembre 2026. Déclaration de l’éditeur.
Déclaration de l’éditeur. JobAffinity déclare une IA exécutée sur ses propres serveurs en France, sans OpenAI ni grand modèle américain.
Portée : Page de l’éditeur.
Réserve : Sous-traitants à faire confirmer.
- JobAffinity : ATS français non datée. Lu le 5 novembre 2026. Déclaration de l’éditeur.
Déclaration de l’éditeur. Ashby dit utiliser des modèles de tiers, OpenAI en exemple, sous accord de traitement, sans entraîner de modèle sur les données clients et en masquant les données personnelles des CV envoyés.
Portée : Page de l’éditeur, © 2026.
Réserve : Ne dit pas ce qui reste identifiant.
- Ashby : AI at Ashby © 2026. Lu le 5 novembre 2026. Déclaration de l’éditeur.
Fait lu. L’article 28 du RGPD prévoit des garanties suffisantes, une autorisation écrite pour un autre sous-traitant, et en cas d’autorisation générale une information permettant d’émettre des objections.
Portée : UE, applicable, reproduction de la CNIL.
Réserve : Une clause ne prouve pas la conformité.
- CNIL : RGPD, chapitre IV non datée. Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Fait lu. Le guide de la CNIL mentionne parmi les informations dues au candidat les destinataires des données, à la charge du responsable de traitement.
Portée : France, guide de 2023.
Réserve : Date du guide.
- CNIL : Guide recrutement publié le 30 janvier 2023. Lu le 5 novembre 2026. Document d’origine.
Fait lu. L’article 3 distingue le fournisseur, qui met le système ou le modèle sur le marché sous son nom, du déployeur, qui l’utilise sous son autorité.
Portée : UE, applicable.
Réserve : Répartition entre ATS et fournisseur de modèle non traitée.
- Commission européenne, AI Act Service Desk : AI Act, art. 3 consolidation au 27 juillet 2026. Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.