Le CEPD cible l'IA de recrutement pour sa 6e action coordonnée
Le CEPD fait de la décision automatisée, dont l'IA de présélection des candidats, le thème de sa 6e action coordonnée, lancée en 2027. Si vous triez des CV par algorithme, c'est pour vous.
Le Comité européen de la protection des données (CEPD) a retenu la décision automatisée — et explicitement les outils d'IA de présélection des candidats — comme thème de sa sixième action coordonnée (CEF). La CNIL l'a annoncé le 12 novembre, après la plénière du CEPD du 10 novembre 2026. L'action sera menée au cours de l'année 2027. Si vous exploitez un outil de tri de candidatures assisté par algorithme ou IA, vous êtes dans le périmètre, et il vaut mieux auditer vos traitements avant que votre autorité ne le fasse.
Ce qui change et quand
Le CEF est le mécanisme par lequel les autorités de protection européennes enquêtent en parallèle sur un même thème. Pour la sixième édition, le contrôle portera sur le respect du droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé (article 22 du RGPD) et du droit d'accès associé, lorsque des outils de présélection automatisés, y compris fondés sur l'IA, sont utilisés dans le recrutement. Les autorités rejoindront l'action sur une base volontaire « dans les semaines à venir » ; le lancement effectif est prévu en 2027.
Qui est concerné
Tout employeur ou prestataire RH qui automatise une étape de sélection : scoring de CV, classement de candidats, filtrage par mots-clés ou modèles de langage. Le point de contrôle n'est pas « utilisez-vous de l'IA », mais la décision est-elle prise exclusivement de façon automatisée, et le candidat peut-il obtenir une intervention humaine, une explication et exercer son droit d'accès sur la logique appliquée. Les sous-traitants qui fournissent ces outils sont exposés au même titre que les responsables de traitement qui les déploient.
Que faire
- Cartographiez vos traitements de recrutement automatisés et identifiez ceux qui relèvent de l'article 22.
- Documentez l'intervention humaine : une validation humaine réelle, pas une simple case à cocher, suffit à sortir du « exclusivement automatisé ».
- Préparez le droit d'accès : soyez en mesure d'expliquer la logique, les critères et le poids des facteurs d'un score de candidat.
- Révisez vos contrats de sous-traitance et les analyses d'impact (AIPD) des outils IA de présélection.
Les deux autres textes de la plénière
Le CEPD a aussi adopté la déclaration 2/2026 sur le premier réexamen de l'adéquation de la Corée du Sud. Le Comité y salue les amendements à la loi coréenne PIPA : droit de retrait du consentement, droit de suspension du traitement, droit d'opposition aux décisions automatisées — y compris assistées par IA — ou d'en obtenir une explication, et recours à des mécanismes de transfert spécifiques. La décision d'adéquation initiale date du 17 décembre 2021 ; la Commission a publié son premier rapport de réexamen le 23 juillet 2026, et le CEPD soutient un réexamen « tous les quatre ans ». Il s'agit d'une déclaration, pas d'une décision contraignante.
Le CEPD a enfin publié la version finale de ses recommandations 1/2026 sur les BCR-P (règles d'entreprise contraignantes pour les sous-traitants). Elles « s'appliquent désormais à tous les titulaires de BCR-P ». Titulaires actuels, nouveaux demandeurs et demandes en cours doivent aligner leurs BCR-P, soit pendant la procédure, soit lors de la mise à jour annuelle de 2028, selon leur situation.
Lecture entre les lignes
La CNIL précise que sa page est une traduction automatique et que la version anglaise du communiqué du CEPD fait foi. Retenez le signal pour les praticiens : après les lignes directrices, la phase de contrôle de l'IA de recrutement arrive. 2027 laisse le temps de se mettre en conformité, pas de l'ignorer.