Un logiciel de recrutement conforme au RGPD et à l'EU AI Act
Le recrutement par IA est classé « haut risque » par la réglementation européenne. R.V. a été conçu pour cette exigence dès le départ : transparence, anti-discrimination, traçabilité et hébergement souverain en Europe.
RGPD natif
Droits candidats, consentement, anonymisation et conservation maîtrisée — intégrés, pas en option.
EU AI Act
Système haut risque assumé : disclosure candidat, journal des décisions IA, supervision humaine.
IA souveraine
IA et données hébergées dans l'Union européenne. Aucune donnée nominative de candidat ne sort de l'Europe.
Anti-discrimination
Chaque traitement IA interdit explicitement la prise en compte de critères discriminatoires.
RGPD : les droits des candidats par défaut
R.V. ne se contente pas de « cocher la case » RGPD. Les obligations légales sont intégrées au cœur du produit :
EU AI Act : la transparence et la traçabilité intégrées
Le recrutement assisté par IA relève de l'Annexe III de l'EU AI Act (systèmes à haut risque). R.V. applique les exigences correspondantes :
Une IA souveraine, hébergée en Europe
La donnée de recrutement est sensible. C'est pourquoi R.V. fait le choix d'une infrastructure européenne :
- Application et base de données hébergées dans l'Union européenne.
- Intelligence artificielle souveraine hébergée en Europe — pas de transfert de données nominatives vers des serveurs hors UE.
- Masquage des données personnelles (e-mails, téléphones) avant tout traitement par les modèles d'IA, par minimisation des données (RGPD Art. 5).
Vous voulez le détail de notre conformité ? Écrivez-nous ou consultez nos politique de confidentialité et tarifs.
Ce que le RGPD impose à un logiciel de recrutement
Une base de candidats est un fichier de données personnelles à gérer selon le RGPD. Douze obligations RH s'appliquent, et les outils doivent les gérer, et les logiciels et outils de recrutement doivent les rendre tenables au quotidien plutôt que de les laisser à votre charge.
Le recrutement repose sur l'intérêt légitime de l'entreprise ou sur des mesures précontractuelles. L'ATS doit tracer laquelle s'applique à chaque traitement de données.
Deux ans à compter du dernier contact pour un candidat non retenu à un emploi, selon la CNIL. Passé ce délai, la candidature reçue sur l'offre est supprimée ou anonymisé — automatiquement, pas à la main.
Au dépôt de sa candidature sur votre site, la personne doit savoir quelles informations sont collectées, pourquoi, pour combien de temps et qui y accède.
Accès, rectification, effacement, opposition. Chaque demande doit trouver réponse sous un mois, ce qui suppose de retrouver et d'exporter une candidature en quelques clics.
Seules les informations nécessaires au poste sont collectées. Pas de données de santé, d'origine, de situation familiale ni de conviction — ni dans les champs de l'ATS, ni dans les notes libres.
L'accès aux dossiers des candidats se restreint aux personnes qui en ont besoin, et chaque accès par un recruteur se trace. C'est une exigence, pas une option.
Hébergeur, fournisseur d'IA, service d'e-mail : chacun est un sous-traitant au sens du RGPD. Leur liste et leur localisation doivent être documentées par l'entreprise.
Le processus de recrutement figure au registre des traitements de l'entreprise. Un éditeur sérieux peut vous aider en fournissant les éléments à y reporter plutôt que de vous laisser les deviner.
Le candidat doit savoir qu'un traitement automatisé intervient, sur quoi il porte et qu'un recruteur reste décisionnaire.
Aucune candidature ne peut être écartée par une décision entièrement automatisée. Les outils classent et documentent ; les recruteurs tranchent.
Les critères de tri ne doivent reproduire aucun des 26 critères de discrimination prohibés par le code du travail. La protection des données et contre ce risque se vérifie sur les données d'entraînement comme sur les résultats.
Les obligations en pratique
Informer au bon moment
L'information doit être donnée au moment de la collecte des données personnelles, pas enfouie dans des conditions générales. En pratique : une mention claire sous le formulaire de candidature, et un rappel dans l'accusé de réception de la candidature. C'est aussi ce que les candidats attendent d'un employeur.
- Qui collecte, et pour quelle finalité
- Combien de temps les données sont conservées
- Comment exercer ses droits, et auprès de qui
Purger sans y penser
La mise à jour et la purge des données du processus de recrutement est l'obligation la plus souvent oubliée, parce qu'elle demande une action que personne n'a envie de faire. Un logiciel qui l'applique automatiquement, avec un avertissement avant, règle le problème à la source.
- Compteur remis à zéro à chaque entretien ou contact réel
- Alerte avant la mise en suppression ou anonymisation
- Trace conservée de l'opération
Restreindre et tracer les accès. Tous les recruteurs n'ont pas à consulter l'ensemble des dossiers. Des droits par utilisateur RH, un manager limité à ses propres postes, un historique des consultations : ces trois outils suffisent à respecter un contrôle.
- Habilitations par rôle RH et par périmètre
- Journal des consultations et des exports
- Révocation immédiate au départ d'un collaborateur
Répondre aux demandes des candidats. Accès, rectification, effacement : un mois pour répondre à la demande. Sans outil adapté, retrouver l'ensemble des données d'une personne dans plusieurs fichiers prend des heures. Avec un logiciel qui centralise, l'export tient en quelques clics depuis le tableau de bord.
- Recherche d'une candidature par nom ou par e-mail
- Export complet des données le concernant
- Suppression tracée, avec demande de confirmation
Ce que l'EU AI Act ajoute
Le règlement européen sur l'intelligence artificielle classe le recrutement parmi les usages à haut risque. Trois obligations s'ajoutent alors à celles du RGPD.
Transparence envers le candidat
La personne doit savoir qu'un système d'intelligence artificielle intervient dans le traitement de sa candidature, et sur quoi il porte. Chez R.V., l'entretien mené par IA l'annonce explicitement avant de commencer, et le candidat peut demander à ne pas l'utiliser.
Traçabilité des décisions. Les systèmes à haut risque doivent conserver un journal de leurs décisions. Concrètement : ce qui a produit un score de rapprochement, quand, sur quelles données. Ce registre sert par exemple autant à un contrôle des processus qu'à comprendre un résultat surprenant.
Supervision humaine effective. Un score de matching classe des profils de candidats ; il n'écarte personne. Cette limite n'est pas un choix commercial mais une obligation, et elle est en lien avec l'article 22 du RGPD sur les décisions automatisées.
Le calendrier importe : les obligations pour les systèmes à haut risque s'appliquent depuis août 2026. Un éditeur qui ne peut pas vous dire où il en est sur ce point vous expose.
La conformité, un argument commercial autant qu'une obligation
Les directions juridiques et les équipes RH posent désormais la question avant de signer : où sont les données, combien de temps sont-elles conservées, que fait l'IA exactement. Un éditeur RH incapable de répondre perd des appels d'offres et des clients, et un cabinet incapable de rassurer son client perd des mandats auprès des entreprises.
Cette exigence s'est installée en quelques années. Elle porte sur trois points que tout logiciel de recrutement devrait documenter : la gestion des données de candidats, la place de l'automatisation dans la décision, et la neutralité des critères utilisés.
Pour un cabinet de recrutement, pouvoir présenter ces éléments à un client est un avantage concret. Pour un service RH, c'est ce qui permet de faire valider un outil par le juridique sans six mois d'échanges.
Le respect du RGPD améliore aussi l'expérience proposée aux candidats. Informer clairement, répondre à tous, y compris par une réponse négative soignée, supprimer les données quand c'est nécessaire : ces gestes construisent une réputation d'employeur autant qu'ils remplissent une obligation.
À l'inverse, un processus de recrutement opaque se voit. Les candidats en parlent, et les candidats en parlent : les avis circulent sur les réseaux professionnels. La conformité n'est pas seulement défensive : elle fait partie de ce qui donne envie de postuler chez vous.
Nos guides détaillent chaque point : le RGPD appliqué au recrutement, l'EU AI Act, les outils du marché et la méthode des entretiens structurés. Pour voir comment R.V. applique tout cela, le plus simple reste une démonstration — et nos tarifs sont publics.
Les bonnes pratiques RGPD au quotidienQuelques habitudes simples évitent l'essentiel des difficultés.
Limitez les informations que vous notez sur un candidat. Les notes libres dans l'ATS échappent souvent à la vigilance des équipes RH : ils font pourtant partie des données personnelles du candidat, qui peut en demander la communication. Une note sur les compétences est nécessaire et légitime ; une remarque sur la situation familiale ne l'est pas, et elle apparaîtra dans l'export.
Utilisez la mise à jour automatique à chaque recrutement clos. Les candidatures reçues sur une offre d'emploi pourvue ne servent plus à ce poste, mais ces profils gardent une valeur pour les recrutements suivants — à condition d'avoir informé les candidats de cette conservation. C'est l'usage le plus courant, et le plus souvent mal documenté.
Enfin, associez et accompagnez votre équipe. La conformité tombe rarement parce que les outils sont mal conçus ; elle tombe parce qu'un fichier a circulé par e-mail. Une heure pour accompagner l'équipe RH vaut mieux qu'une procédure que personne ne lit.
Côté site, les cookies relèvent d'un régime distinct du RGPD : le consentement doit être recueilli avant l'utilisation de tout cookie de mesure d'audience, et refuser les cookies doit être aussi simple que les accepter. Un formulaire de candidature sur un site carrière n'y échappe pas.
Pensez aux entreprises clientes si vous êtes cabinet de recrutement. Transmettre un dossier de compétences suppose une base légale à respecter et une information du candidat : les meilleurs logiciels de recrutement assurent le suivi de ces transmissions plutôt que de les laisser se faire par pièce jointe.
Ces pratiques ne demandent pas de temps supplémentaire aux recruteurs une fois installées. Elles protègent votre marque employeur autant que votre responsabilité juridique, et elles rassurent des candidats qui demandent de plus en plus ce que deviennent leurs données.
Conformité et outils de recrutement : ce qu'il faut vérifierChoisir un ATS conforme ne dispense pas les équipes RH de vérifier quelques points concrets. Les logiciels de recrutement du marché n'offrent pas les mêmes garanties, et la différence se voit rarement dans les plaquettes commerciales.
Demandez où sont hébergées les données personnelles, quels sous-traitants interviennent dans le traitement des données, et si les durées de conservation s'appliquent automatiquement. Demandez aussi comment se fait l'export complet d'une candidature : c'est ce dont vous aurez besoin le jour où un candidat exercera ses droits.
Sur l'intelligence artificielle, la question à poser est simple : que fait-elle exactement, et pouvez-vous comprendre ses résultats ? Un score automatique sans explication est inutilisable en cas de contestation, et le règlement européen impose cette transparence aux systèmes utilisés en recrutement.
Vérifiez enfin la gestion des habilitations. Dans une équipe RH, tous les recruteurs n'ont pas à voir toutes les candidatures ; dans un cabinet, les consultants n'ont pas à accéder facilement aux dossiers de leurs collègues. Cette granularité est un bon indicateur du sérieux d'un éditeur.
Ces vérifications prennent par exemple une heure en démonstration. Elles évitent des mois de discussions avec un service juridique, et elles vous protègent au moment où une entreprise cliente vous demandera vos garanties.
Le respect de ces règles devient un critère de choix au même titre que les fonctionnalités. Sur un marché où les offres d'emploi et les candidatures circulent en ligne, la confidentialité et la protection des informations des candidats font partie du service rendu.
Ressources sur la conformité
RGPD et recrutementLe guide complet des obligations.
Décision automatisée, article 22Ce que le RGPD interdit vraiment.
EU AI Act et recrutementCe qui change en 2026.
Les biais en recrutementLes dix plus fréquents et comment les éviter.
Le guide du logiciel ATSDéfinition et critères de choix.
Logiciel de CVthèqueGérer sa base de candidats dans les règles.
L'entretien structuréÉvaluer sur des critères identiques.
Répondre à un candidatSix modèles de réponse négative.
Les outils de recrutementPanorama des six familles.
L'entretien mené par IACe que la préqualification change.
Mettre son processus de recrutement en conformité, concrètement
La conformité ne se décrète pas : elle se construit dans les gestes quotidiens du recrutement. Voici les quatre chantiers qui font la différence lors d'un contrôle, et la manière dont un outil bien conçu vous y aide.
Cartographier ses bases de données
Beaucoup d'équipes découvrent lors du premier audit que leurs candidats vivent dans quatre endroits : l'ATS, un tableur, les boîtes mail des recruteurs et un dossier partagé. Réunir la gestion des dossiers sur une plateforme unique est le premier acte de mise en conformité — et le plus rentable, puisqu'il fait aussi gagner du temps au quotidien.
Documenter les finalités et les durées
Chaque traitement doit indiquer pourquoi la donnée est collectée et combien de temps elle est conservée. Pour le sourcing, la sélection, les entretiens et les tests d'évaluation menés dans l'ATS, la CNIL retient deux ans après le dernier contact. Les fonctionnalités de purge automatique évitent d'avoir à le faire à la main, et permettent d'assurer que la règle est réellement appliquée, plutôt qu'écrite dans un registre puis oubliée dans un tableur parallèle.
Former celles et ceux qui vont utiliser l'outil
La meilleure configuration ne résiste pas à une mauvaise habitude. Une formation courte suffit généralement : ce qu'on peut noter dans un compte rendu, ce qu'on ne doit jamais y écrire, à qui l'on peut transmettre un dossier. Chez un cabinet, la transmission aux clients doit se limiter aux informations nécessaires à la décision.
Prouver, pas seulement respecter
Le principe de responsabilité impose de démontrer sa conformité : journal des accès, historique des consentements, registre et politique de sécurité forment ce dossier de preuve, que vous pouvez nous demander à tout moment.
Grâce à ces quatre chantiers, la conformité cesse d'être une contrainte subie pour devenir une manière de travailler. Vos recrutements y gagnent en clarté — et vous pouvez découvrir la plateforme pour voir comment chaque garantie se traduit dans l'interface.
Questions fréquentes
Un logiciel de recrutement peut-il être « certifié RGPD » ?
Non, et méfiez-vous de qui l'affirme. Le RGPD ne prévoit pas de certification d'outil : c'est l'usage qui est conforme ou non. Un éditeur peut en revanche fournir les garanties techniques et documentaires qui vous permettent, vous, d'être en règle.
Combien de temps peut-on garder un CV ?
La CNIL retient deux ans à compter du dernier contact avec le candidat pour un profil non retenu. Au-delà, il faut supprimer ou anonymiser, sauf accord explicite de la personne pour une conservation plus longue.
L'IA a-t-elle le droit de trier des candidatures ?
Trier et classer, oui. Écarter seule, non : l'article 22 du RGPD interdit qu'une décision produisant des effets significatifs repose sur un traitement entièrement automatisé. Le recruteur doit rester celui qui décide.
Où sont hébergées les données des candidats ?
Chez R.V., les données personnelles sont hébergées en Europe et l'IA utilisée est française. Ce point se vérifie systématiquement avant de choisir un outil : la localisation détermine le régime juridique applicable.
Qui est responsable en cas de manquement ?
L'entreprise qui recrute est responsable de traitement ; l'éditeur du logiciel est sous-traitant. La responsabilité principale vous incombe donc, ce qui rend le choix des logiciels et la documentation qu'il fournit d'autant plus importants.
Faut-il un DPO pour recruter ?
Pas systématiquement. Un DPO devient obligatoire pour les organismes publics et pour les entreprises dont l'activité implique un suivi régulier de candidatures et à grande échelle de personnes. En dehors de ces cas, désigner un référent au sein de l'équipe reste une bonne pratique.
Sources officielles
- CNIL — Le guide du recrutement.
- CNIL — Recrutement et gestion du personnel.
- CNIL — Durées de conservation des données.
- EUR-Lex — Règlement général sur la protection des données, articles 5, 13 et 22.
- EUR-Lex — Règlement européen sur l'intelligence artificielle, annexe III.
- Légifrance — Code du travail, article L1132-1 : critères de discrimination prohibés.
- Défenseur des droits — Discrimination à l'embauche.