IA et règles
Sourcing automatisé : que devez-vous dire aux personnes repérées ?
Pour qui : Vous ou votre cabinet cherchez des profils sur des réseaux professionnels, des jobboards ou votre CVthèque, parfois avec un outil qui propose une liste. Ces personnes n’ont pas postulé.
Enregistrer un profil trouvé en ligne oblige à informer la personne. Le RGPD, applicable, donne un délai raisonnable, sans dépasser un mois après l’obtention des données, et au plus tard à la première communication si vous la contactez. Le guide de la CNIL l’applique au sourcing et vise la date de consultation pour le mois.
Un outil qui repère et classe des profils ajoute une autre question. Le guide cite, parmi les cas d’analyse d’impact obligatoire, les traitements sur réseaux sociaux et bases publiques qui sélectionnent des candidats potentiels à des postes à responsabilité, dans la catégorie plus large des traitements qui établissent des profils, notamment par un algorithme de sélection. La Commission donne un outil de sourcing par IA comme exemple à haut risque. Statut de cet exemple : proposé, dans un projet de lignes directrices. Les obligations liées s’appliqueraient à partir du 2 décembre 2027.
Notre avis
Écrivez la mention avant de lancer l’outil. L’information est due à tout profil enregistré, et un classement par IA relève selon nous de la même question qu’un tri de candidatures.
Pourquoi
- Le guide de la CNIL refuse l’exception au cabinet qui enregistre des profils pour son vivier.
- L’exemple de la Commission porte sur un outil cherchant sur les réseaux, les jobboards et les CVthèques à partir de critères saisis.
- Le premier contact est le moment naturel pour informer, et un simple message n’y suffit pas sans les mentions utiles.
Ce qui change le choix
Si vous ne faites que consulter, sans rien enregistrer et sans suite, l’exemple de la CNIL admet une exception à l’information individuelle. Elle reste étroite et demande une information accessible au public.
L’ordre à suivre
- Simple consultation sans suite : pas d’information individuelle dans l’exemple de la CNIL, avec une mention publique accessible.
- Profil enregistré : information individuelle ; les deux exemples de la CNIL refusent l’exception pour ce geste, et les autres exceptions restent d’interprétation stricte.
- Outil qui repère et classe des profils : même information, plus analyse d’impact, et préparation au statut à haut risque.
Consulter, enregistrer, classer : qu’est-ce qui change ?
La CNIL oppose deux cas de cabinet. Le premier parcourt plusieurs centaines de profils, en garde quelques-uns et laisse les autres sans suite. Le second enregistre des profils pour enrichir son vivier, c’est-à-dire sa base de candidats pour de futurs postes. Le tableau ajoute le cas de l’outil.
| Geste | Information de la personne | Autres conséquences |
|---|---|---|
| Consultation sans enregistrement ni action | Exception admise dans l’exemple de la CNIL (RGPD, art. 14 §5 b), avec mention publique, par exemple sur le profil du cabinet | Exception à interpréter strictement |
| Enregistrement pour un poste | Individuelle, dès que possible, au plus tard dans le mois | Applicable : RGPD et guide de la CNIL |
| Enregistrement pour un vivier | Individuelle : la CNIL écarte l’exception | Durée de conservation à fixer |
| Liste produite par un outil d’IA | La même ; notre conseil : dites aussi qu’un outil a servi | Analyse d’impact selon la CNIL ; haut risque selon l’exemple proposé de la Commission, au 2 décembre 2027 |
Que doit dire la mention ?
Le guide demande les mentions habituelles : identité du responsable, délégué s’il existe, finalité, base juridique, destinataires, durée, droits, réclamation auprès de la CNIL. En cas de collecte indirecte, il ajoute les catégories de données et leur source, en précisant si elle est accessible au public. Voici un modèle, à faire relire par votre délégué :
« Nous avons trouvé votre profil sur [source, accessible au public ou non] le [date] et conservé [catégories de données] pour vous proposer [poste ou type de postes]. Responsable : [nom et contact] ; délégué à la protection des données : [contact, s’il existe]. Base : [base juridique retenue]. Destinataires : [équipes, client ou autres cabinets, s’il y en a]. Durée : [durée]. Outil : [nom de l’outil et rôle, par exemple propose une liste selon des critères saisis par nos recruteurs]. Vous pouvez accéder à ces données, les corriger, les faire supprimer ou vous opposer à leur traitement à [adresse], et saisir la CNIL. »
Le modèle ne préjuge pas de votre base juridique. Choisissez-la avant d’envoyer, selon votre situation.
Et le Code du travail ?
La CNIL en rapproche une autre règle : aucune information personnelle sur un candidat ne peut être collectée par un dispositif qui n’a pas été porté à sa connaissance au préalable. Elle l’applique notamment aux informations collectées sur Internet, et admet un seul support pour les deux obligations.
Le guide parle ici de candidats, et l’articulation avec une personne qui n’a pas encore postulé n’y est pas détaillée. Nous n’en tirons pas de règle générale : le plus prudent est d’annoncer sur votre site et dans vos offres que vous consultez des réseaux professionnels, et d’éviter les réseaux non professionnels, comme la CNIL le conseille.
Limites de cette page
Le projet de lignes directrices n’a été lu qu’à travers la page Employment de la Commission : version définitive non trouvée au 5 novembre 2026. Le texte du Code du travail n’a pas été lu sur Légifrance. Les conditions d’utilisation des réseaux et des plateformes ne sont pas traitées ici : vérifiez-les avant d’automatiser quoi que ce soit. Le texte du règlement 2026/1744 au Journal officiel n’a pas été lu : la date du 2 décembre 2027 vient de la version consolidée publiée par la Commission.
Prochaine action
Écrivez la mention, placez-la dans votre premier message, et notez pour chaque profil enregistré la date de collecte et celle de l’information. Si vous utilisez un outil qui classe, demandez à l’éditeur son classement écrit au titre du règlement sur l’IA. En sourcing manuel, gardez la mention et sautez cette dernière étape.
Preuves et sources
Lu le 5 novembre 2026 : guide Recrutement de la CNIL (30 janvier 2023), fiches sur l’information et sur les réseaux sociaux ; RGPD, article 14, reproduit par la CNIL ; annexe III et page Employment de l’AI Act Service Desk de la Commission, cette dernière à rattacher au projet de lignes directrices du 19 mai 2026.
Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun logiciel n’a été testé. Notre méthode, connexions relevées et prix relevés.
Fait lu. L’article 14 du RGPD prévoit une information dans un délai raisonnable ne dépassant pas un mois et, en cas de communication avec la personne, au plus tard lors de la première communication.
Portée : UE, applicable, reproduction de la CNIL.
Réserve : Réforme éventuelle du RGPD non recherchée.
- CNIL : RGPD, chapitre III non datée. Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Fait lu. Le guide de la CNIL fait courir le mois à compter de la consultation ou de la collecte selon ses passages, et demande d’informer au plus tôt, notamment au premier contact.
Portée : France, guide du 30 janvier 2023.
Réserve : Délai parfois plus court selon le guide.
- CNIL : Guide recrutement publié le 30 janvier 2023. Lu le 5 novembre 2026. Document d’origine.
Fait lu. Dans un exemple, un cabinet qui se contente de consulter certains profils peut invoquer l’article 14 §5 b) du RGPD sous réserve de rendre les mentions publiques ; dans un autre, un cabinet qui enregistre pour son vivier ne peut pas s’en prévaloir.
Portée : France, fiche réseaux sociaux.
Réserve : Exceptions d’interprétation stricte.
- CNIL : Guide recrutement publié le 30 janvier 2023. Lu le 5 novembre 2026. Document d’origine.
Fait lu. Le schéma du guide sur l’AIPD cite les traitements sur les réseaux sociaux et les bases publiques pour sélectionner des candidats potentiels à des postes à responsabilité et contacter les meilleurs.
Portée : France, guide de 2023.
Réserve : Liste connue à travers le guide.
- CNIL : Guide recrutement publié le 30 janvier 2023. Lu le 5 novembre 2026. Document d’origine.
Fait lu. La page Employment de la Commission présente un outil de sourcing par IA déployé par une agence comme relevant de l’annexe III point 4 a), sans dérogation de l’article 6 §3.
Portée : UE, exemple à traiter comme proposé.
Réserve : Non contraignant, aucun produit nommé.
- Commission européenne, AI Act Service Desk : Employment, explorateur des lignes directrices haut risque non datée. Lu le 5 novembre 2026. Document d’origine.
- Commission européenne : Draft Commission guidelines on the classification of high-risk AI systems publication 19 mai 2026, dernière mise à jour 23 juillet 2026. Lu le 5 novembre 2026. Document d’origine.
- Commission européenne, AI Act Service Desk : AI Act, annexe III consolidation au 27 juillet 2026. Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Fait lu. L’article 113 consolidé fixe au 2 décembre 2027 l’application des règles à haut risque de l’annexe III.
Portée : UE, adopté, non encore applicable.
Réserve : Journal officiel non lu.
- Commission européenne, AI Act Service Desk : AI Act, art. 113 consolidation au 27 juillet 2026. Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Fait lu. Le guide énumère les mentions dues, ajoute catégories et source en cas de collecte indirecte, et rappelle la règle du dispositif porté à la connaissance du candidat, admise sur un seul support.
Portée : France.
Réserve : Légifrance non lu.
- CNIL : Guide recrutement publié le 30 janvier 2023. Lu le 5 novembre 2026. Document d’origine.
Fait lu. Le guide conseille d’éviter de consulter les réseaux sociaux non professionnels des candidats.
Portée : France.
Réserve : Recommandation.
- CNIL : Guide recrutement publié le 30 janvier 2023. Lu le 5 novembre 2026. Document d’origine.
Notre méthode. Le modèle de mention et l’annonce sur le site sont une proposition de la rédaction, à relire par votre délégué.
Portée : Modèle à adapter.
Réserve : Ne fixe ni base juridique ni conformité.
Daté du 5 novembre 2026.