Introduction

Thierry a une idée : « Si on donnait à l’IA tous les comptes rendus d’entretiens annuels, elle nous dirait qui risque de partir. » Il a entendu parler de ce type de projet à un salon professionnel.

Hélène sait que la technique n’est pas la première question. Pourquoi faire exactement ? Avec quelles données ? Les salariés le savent-ils ? Cet usage a-t-il seulement été prévu quand ces entretiens ont eu lieu ?

Le RGPD s’applique déjà à tout usage de données RH, avec ou sans IA. Ce chapitre donne la grille à poser sur chaque projet. Il offre des repères pratiques et ne remplace pas un conseil juridique pour une situation particulière.

1. Qui répond de quoi

Avant les principes, il faut savoir qui est responsable.

Le responsable de traitement décide du pourquoi et du comment. La CNIL cite un exemple : l’employeur qui met en place un traitement pour ses recrutements. Autrement dit, vous, même si vous utilisez l’outil d’un éditeur.

Le sous-traitant traite les données pour votre compte, selon vos instructions. C’est souvent le rôle de l’éditeur du SIRH ou de l’assistant professionnel. Un contrat écrit est obligatoire. La qualification dépend des faits, pas de ce qu’écrit le contrat. S’il décide lui-même de finalités et de moyens, l’éditeur peut devenir responsable pour cette partie.

Conséquence pratique : le choix d’un éditeur connu ne vous décharge pas. La CNIL le rappelle : un responsable de traitement ne peut pas se décharger de ses obligations, même face à un prestataire plus puissant.

Avec l’IA. Demandez à un assistant de préparer une liste de questions à poser à un éditeur sur son rôle : ce qu’il fait des données, s’il les réutilise, qui y accède. Le chapitre 7.1 revient sur le contrat.

Exemples :

• Responsable : Rochebrune Industrie, pour ses recrutements.
• Sous-traitant : l’éditeur du logiciel, tant qu’il suit ses instructions.
• À clarifier : un éditeur qui veut réutiliser vos données pour améliorer son produit.

2. Finalité et minimisation : pourquoi et avec quoi

La finalité. Une donnée se collecte pour un objectif précis, fixé à l’avance. La CNIL demande une finalité déterminée dès la conception d’un système d’IA. Un entretien annuel a été mené pour faire le point avec un salarié. S’en servir ensuite pour prédire les départs est un autre objectif : sa compatibilité est loin d’être acquise.

La minimisation. On ne traite que ce qui est nécessaire à cet objectif. Pour rédiger une procédure, aucune donnée individuelle. Pour préparer un recrutement, le Code du travail pose une règle proche : les informations demandées à un candidat doivent présenter un lien direct et nécessaire avec l’emploi proposé ou avec l’évaluation de ses aptitudes (article L1221-6).

Un piège avec l’IA : « plus on lui donne, mieux c’est ». Cette idée va à l’inverse du principe. Partez de la tâche et demandez-vous ce qui est vraiment utile.

Exemples :

• Finalité claire : « résumer une procédure interne pour la rendre lisible ».
• Finalité floue : « voir ce que l’IA peut tirer de nos dossiers ».
• Minimisation : un tableau de compétences sans nom pour étudier les écarts d’une équipe.

3. Conservation : ce qui reste dans l’outil

Une donnée ne se garde pas indéfiniment. La CNIL a publié un référentiel des durées de conservation pour les RH. Il n’est pas obligatoire en tant que tel, mais certaines durées qu’il cite le sont, car elles viennent de textes.

Pour un candidat non retenu :

Situation	Repère CNIL
Vivier, si le candidat a été informé ou y a consenti	Deux ans au plus après le dernier contact
Archivage pour se défendre, par exemple en cas d’action pour discrimination	Cinq ans au plus après la clôture du recrutement

Avec l’IA, un endroit de plus à surveiller. Vos données peuvent se retrouver dans l’historique des conversations, la mémoire de l’assistant, des fichiers joints ou un espace partagé. Une durée fixée dans votre SIRH ne vaut rien si le CV reste dans une conversation.

Vérifiez donc : combien de temps l’outil garde les échanges, si vous pouvez les supprimer et ce que devient une donnée effacée. La note de juillet 2026 du Conseil de l’IA et du numérique de la CNIL souligne que ce contrôle se complique quand plusieurs agents et mémoires interviennent.

Avec l’IA. Demandez un modèle de tableau de suivi : outil, données concernées, durée, personne responsable, date de la dernière purge. Complétez-le vous-même à partir du référentiel de la CNIL.

Exemples :

• Vivier : une candidature conservée avec l’accord de la personne, à revoir sous deux ans.
• Oubli fréquent : le CV de 2023 toujours présent dans une conversation.
• Bon réflexe : une purge trimestrielle des espaces de travail de l’assistant.

4. Sécurité et accès

Chacun n’accède qu’à ce dont il a besoin. Quelques mesures simples couvrent déjà beaucoup de risques :

• un compte par personne, pas de mot de passe partagé ;
• une double authentification quand l’outil la propose ;
• des droits d’accès revus avant de connecter un assistant à vos documents ;
• des accès retirés le jour d’un départ ;
• une conduite à tenir en cas d’erreur de saisie.

L’erreur de saisie, justement. Si Yanis colle par erreur un dossier dans un compte personnel, il doit pouvoir le dire tout de suite, sans crainte. Une violation de données peut devoir être notifiée à la CNIL. Prévoyez qui est prévenu et qui évalue la situation.

Avec l’IA. Demandez une procédure d’une demi-page : « Que faire si un salarié colle par erreur des données personnelles dans un assistant ? » Faites-la relire par la personne chargée de la protection des données ou de la sécurité.

Exemples :

• Bon usage : un compte professionnel nominatif pour chaque membre du service RH.
• Risque : le compte de l’assistant partagé par trois personnes.
• Procédure : Yanis prévient Hélène dans l’heure ; la conversation est supprimée et l’incident noté.

5. Informer et documenter

Informer. Les candidats et les salariés doivent savoir qui traite leurs données, pourquoi, sur quelle base légale, avec qui, combien de temps et quels sont leurs droits. La mention doit aussi signaler, le cas échéant, une prise de décision automatisée. Le chapitre 2.5 donne le détail.

La base légale. Le consentement n’est en général pas adapté : pour la CNIL, le consentement d’un candidat ne peut en général pas être considéré comme libre, car un refus pourrait nuire à ses chances d’obtenir le poste.

Le registre. Chaque usage récurrent de données RH s’inscrit au registre des traitements. Si votre organisme a un délégué à la protection des données, associez-le dès le départ.

L’analyse d’impact (AIPD). Elle est obligatoire pour un traitement susceptible d’engendrer un risque élevé. La liste de la CNIL vise les traitements qui établissent des profils à des fins RH et donne des exemples très concrets :

• la détection de « hauts potentiels » ;
• la facilitation du recrutement, notamment grâce à un algorithme de sélection ;
• la proposition de formations personnalisées grâce à un algorithme ;
• la détection et la prévention des départs de salariés à partir de corrélations.

L’idée de Thierry coche ce dernier cas. Hélène lui répond donc : pas d’essai tant que cette analyse et la question de la finalité ne sont pas traitées.

Exemples :

• Registre : « Assistant d’IA pour rédiger des modèles RH, sans donnée individuelle. »
• AIPD à prévoir : un outil qui classe les candidatures.
• Pas d’AIPD a priori : une reformulation de procédure, sans donnée individuelle.

Résumé

Vous restez responsable de traitement, même avec l’outil d’un éditeur, qui agit le plus souvent comme sous-traitant, sous contrat.

Chaque usage a une finalité précise. On ne traite que le nécessaire. Les durées de conservation s’appliquent aussi à l’historique et à la mémoire de l’assistant. Les accès sont limités et une erreur de saisie a sa procédure.

On informe les personnes et on inscrit l’usage au registre. Une analyse d’impact s’impose pour les traitements à risque élevé : la liste de la CNIL vise notamment les algorithmes de sélection et la prévision des départs.

Questions fréquentes

Combien de temps garder le CV d’un candidat non retenu ?

La CNIL donne un repère de deux ans au plus après le dernier contact pour un vivier, avec information ou consentement du candidat selon le cas. L’archivage à des fins de preuve obéit à une autre durée, de cinq ans au plus.

Faut-il le consentement des salariés pour utiliser l’IA ?

Le plus souvent, ce n’est pas la bonne base légale, car le lien de subordination pèse sur la liberté du choix. Identifiez la base adaptée avec votre référent.

Une analyse d’impact est-elle toujours obligatoire ?

Non. Elle l’est pour un risque élevé, en particulier si le traitement figure sur la liste de la CNIL ou remplit au moins deux des neuf critères européens.

Une petite entreprise est-elle concernée ?

Oui. Le RGPD s’applique quelle que soit la taille. Certaines obligations s’allègent, mais la gestion du personnel et des recrutements reste à documenter.

Termes clés

• Responsable de traitement : celui qui détermine pourquoi et comment les données sont traitées.
• Sous-traitant : prestataire qui traite les données pour le compte du responsable, selon ses instructions.
• Finalité : objectif précis pour lequel les données sont utilisées.
• Minimisation : limitation aux données nécessaires à cet objectif.
• Durée de conservation : temps pendant lequel une donnée peut être gardée.
• Registre des traitements : document qui recense les traitements de données de l’organisme.
• Analyse d’impact (AIPD) : étude menée avant un traitement à risque élevé, pour évaluer et réduire ses risques.

Références

• CNIL — RGPD : comment bien identifier son rôle (06/06/2025, consulté le 07/11/2026)
• CNIL — IA : comment être en conformité avec le RGPD ? (05/04/2022, consulté le 07/11/2026)
• CNIL — Référentiel des durées de conservation RH (02/04/2026, consulté le 07/11/2026)
• CNIL — Guide Recrutement (30/01/2023, consulté le 07/11/2026)
• CNIL — Recrutement et données personnelles dans les TPE/PME (30/01/2023, consulté le 07/11/2026)
• CNIL — Ce qu’il faut savoir sur l’analyse d’impact (consulté le 07/11/2026)
• CNIL — Liste des traitements pour lesquels une AIPD est requise (06/11/2018, consulté le 07/11/2026)
• Code du travail numérique — Article L1221-6 (consulté le 07/11/2026)
• Conseil de l’IA et du numérique, CNIL — IA agentique et protection des données personnelles (juillet 2026, consulté le 07/11/2026)

QCM (une seule bonne réponse par question)

Question 1 — Votre entreprise utilise le logiciel d’un éditeur pour ses recrutements. Elle est en principe :

1. Dégagée de toute responsabilité
2. Responsable de traitement
3. Simple utilisatrice sans obligation

Question 2 — Un contrat écrit avec un sous-traitant est :

1. Facultatif
2. Réservé aux grandes entreprises
3. Obligatoire

Question 3 — Réutiliser des comptes rendus d’entretiens annuels pour prédire les départs pose d’abord une question de :

1. Finalité
2. Mise en page
3. Vitesse de l’outil

Question 4 — La minimisation demande de :

1. Donner un maximum de données pour une meilleure réponse
2. Se limiter aux données nécessaires à l’objectif
3. Tout anonymiser dans tous les cas

Question 5 — Le repère de la CNIL pour un vivier de candidats est :

1. Deux ans au plus après le dernier contact
2. Dix ans
3. Sans limite si le candidat est intéressant

Question 6 — Les règles de conservation s’appliquent :

1. Uniquement au SIRH
2. Uniquement aux dossiers papier
3. Aussi à l’historique et à la mémoire de l’assistant

Question 7 — Pour la CNIL, le consentement d’un candidat :

1. Règle toutes les situations
2. Ne peut en général pas être considéré comme libre
3. Est obligatoire pour lire son CV

Question 8 — Quel traitement la liste de la CNIL cite-t-elle pour l’analyse d’impact ?

1. Une note de service reformulée
2. Un calendrier de congés
3. Un traitement facilitant le recrutement grâce à un algorithme de sélection

Voir les réponses et les explications

Réponses : 1→2 · 2→3 · 3→1 · 4→2 · 5→1 · 6→3 · 7→2 · 8→3

Explications.

1. C’est l’exemple donné par la CNIL : l’employeur qui recrute.
2. La CNIL rappelle cette obligation.
3. L’objectif n’est plus celui pour lequel l’entretien a eu lieu.
4. C’est la définition du principe.
5. C’est le repère du guide et du référentiel.
6. Une donnée dans une conversation reste une donnée conservée.
7. Un refus pourrait affecter ses chances d’obtenir le poste.
8. Elle figure parmi les exemples liés aux profils RH.

Exercices

Exercice — Passez ce projet à la grille (3 min) Projet fictif : « Faire résumer par un assistant les candidatures d’un recrutement ». Écrivez une ligne pour chaque point : finalité, données nécessaires, durée, accès, information des candidats.

Corrections des exercices

Exercice — Exemple d’Hélène. Finalité : aider le recruteur à lire, sans classer. Données : le CV et la lettre, sans autre source. Durée : celle du recrutement, puis purge ; deux ans au plus pour le vivier selon les conditions de la CNIL. Accès : Yanis et Hélène, dans l’outil validé. Information : mention ajoutée à l’annonce et au formulaire, avant usage. Le point à éclaircir : faut-il une analyse d’impact selon le fonctionnement réel de l’outil ?

Annexe — Carnet IA RH, page 5 : ma fiche d’usage

Question	Ma réponse
Quel usage, pour quelle finalité ?
Quelles données et pourquoi sont-elles nécessaires ?
Responsable et sous-traitant, contrat signé ?
Durée, historique et mémoire de l’outil ?
Qui accède, comment sont gérés les comptes ?
Personnes informées, comment ?
Inscrit au registre ?
Analyse d’impact à prévoir ?

Ce chapitre a été rédigé avec l’aide de l’IA, puis relu, amélioré et validé par Acadigit.