Le RGPD interdit les entretiens IA — vrai ou faux ?

Le règlement ne contient aucun article interdisant spécifiquement l'intelligence artificielle en recrutement. Il encadre le traitement des données personnelles, quel que soit l'outil — ATS, formulaire papier ou IA vocale.

L'enjeu est donc de qualité de mise en œuvre : information du candidat, contrat de sous-traitance (DPA) avec l'éditeur, registre des traitements à jour, et politique de conservation réaliste.

Un refus systématique « pour cause RGPD » sans analyse documentée expose paradoxalement l'entreprise à des processus informels moins traçables.

Pour un entretien de préqualification dans un processus de recrutement, la base la plus courante est l'article 6.1.b — exécution de mesures précontractuelles prises à la demande du candidat. Le candidat postule ou accepte l'invitation : il demande à être évalué pour un poste.

L'intérêt légitime (6.1.f) peut s'appliquer dans certains contextes internes ou mobilité, mais est plus difficile à faire valoir en recrutement externe. Évitez le consentement (6.1.a) comme base principale : il doit être libre, et un candidat ne peut pas être contraint d'accepter sous peine d'élimination.

Documentez la base retenue dans le registre et la politique de confidentialité candidat.

Avant que le candidat ne lance l'entretien, il doit recevoir les informations obligatoires de l'article 13 — idéalement dans l'email d'invitation et sur la page d'accueil de l'entretien.

• Identité du responsable de traitement et contact DPO.
• Finalités : préqualification pour le poste X, réf. annonce.
• Base légale : art. 6.1.b RGPD.
• Destinataires : RH, manager, sous-traitant HiLucy (hébergement UE si applicable).
• Durée de conservation : ex. 6 mois après clôture du processus.
• Droits : accès, rectification, effacement, limitation, opposition, réclamation CNIL.
• Existence d'une évaluation automatisée et logique utilisée (voir Art. 22).

L'article 22 interdit les décisions fondées uniquement sur un traitement automatisé produisant des effets juridiques ou une affection significative — sauf exceptions contractuelles, droit membre ou consentement explicite.

Un entretien IA qui produit une synthèse et un score pour revue humaine n'est en principe pas une décision purement automatisée : le recruteur lit, peut écarter le score et décide. C'est de l'aide à la décision.

Le risque juridique apparaît si vous configurez un rejet automatique sous un seuil sans revue humaine — pratique à proscrire contractuellement et dans votre paramétrage ATS.

Durée de conservation recommandée : 6 à 12 mois après la fin du processus de recrutement pour les enregistrements et transcriptions, sauf obligation légale ou litige en cours. Au-delà, suppression ou anonymisation.

Le DPA avec votre prestataire IA doit couvrir : objet et durée, nature des données, instructions documentées, aide aux AIPD, notification de violation, sous-traitants ultérieurs, sort des données en fin de contrat.

Une AIPD (analyse d'impact) est recommandée — et souvent exigée — pour les traitements à risque élevé : évaluation systématique de candidats à grande échelle, données sensibles potentielles, ou décisions significatives sur l'accès à l'emploi.

Voici un modèle d'entrée que votre DPO peut adapter :

Nom du traitement : Entretiens de préqualification vocale IA (HiLucy). Finalité : évaluer l'adéquation des candidats aux critères du poste avant entretien manager. Base légale : Art. 6.1.b RGPD. Catégories de données : identité, coordonnées, audio, transcription, évaluation critériée. Personnes concernées : candidats externes. Destinataires : équipe RH, manager recruteur, HiLucy (sous-traitant). Conservation : 6 mois post-processus. Mesures de sécurité : chiffrement en transit et au repos, accès restreint, logs. Transferts hors UE : aucun / ou mécanisme documenté si applicable.