La CNIL vise les IA RH a l'automne : le checklist que les DRH devraient exiger de leur editeur

Contrôles CNIL, AI Act et gouvernance de l’IA en entreprise : le réveil des DRH

La gouvernance de l’IA en entreprise bascule d’un sujet d’innovation vers un sujet de responsabilité juridique et de conformité réglementaire. Pour une direction des ressources humaines, la gouvernance ne se limite plus à la gestion des talents ; elle encadre désormais des systèmes d’intelligence artificielle classés à haut niveau de risque par l’AI Act (règlement européen sur l’IA), avec des sanctions pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial en cas de non-conformité, conformément aux plafonds prévus pour les systèmes à haut risque à l’article 71 dans la version consolidée du texte. Cette nouvelle donne impose un cadre de gouvernance robuste, couvrant le cycle de vie complet des modèles, depuis la collecte des données jusqu’à la mise en œuvre opérationnelle dans les processus RH.

Les systèmes de recrutement, d’évaluation et de mobilité interne reposent sur des modèles d’intelligence artificielle qui traitent des données sensibles, ce qui renforce les enjeux de protection des données et de sécurité. Dans ce contexte, la gouvernance de l’entreprise doit articuler un cadre réglementaire clair, une gouvernance des données exigeante et une gestion des risques documentée, en particulier pour les organisations qui externalisent leurs systèmes à des éditeurs d’ATS ou de SIRH. La place de la gouvernance IA en entreprise devient ainsi un sujet de gouvernance globale, au même titre que la conformité financière ou la cybersécurité, avec des attentes renforcées de la CNIL en matière de transparence, de minimisation des données et de respect des principes du RGPD (articles 5 et 25 sur la protection des données dès la conception et par défaut).

Pour les DRH, les études sectorielles (par exemple rapports Deloitte et McKinsey publiés entre 2021 et 2023, dont les méthodologies restent variables) évoquent une hausse moyenne d’environ 25 à 30 % de l’efficacité opérationnelle des fonctions RH grâce à l’intelligence artificielle, mais ces chiffres doivent être interprétés avec prudence et replacés dans leur contexte méthodologique. La promesse de performance ne suffit plus sans transparence sur les processus algorithmiques. La gouvernance responsable impose de relier chaque cas d’usage à un retour sur investissement mesurable, mais aussi à un niveau de risque acceptable pour l’entreprise et pour les collaborateurs concernés. C’est cette articulation entre performance, conformité réglementaire et confiance qui redéfinit la gouvernance IA en entreprise dans les grandes organisations.

Checklist DRH : accès, explicabilité, biais et supervision humaine

Avant tout déploiement, une DRH doit exiger un registre de traitement détaillé pour chaque système d’intelligence artificielle utilisé sur le parcours candidat ou collaborateur. Ce registre doit décrire les données sources, les finalités, les décisions automatisées ou assistées, les mécanismes de supervision humaine et le cadre de gouvernance appliqué à chaque modèle, afin de démontrer une gestion des risques structurée. À titre d’exemple, une ligne de registre pour un outil de présélection de CV pourrait servir de modèle réutilisable et mentionner : « Finalité : tri des candidatures ; Base légale : intérêt légitime (article 6, paragraphe 1, f) du RGPD) ; Catégories de données : CV, lettres de motivation, métadonnées de candidature ; Décisions : classement automatisé, validation humaine obligatoire avant rejet ; Mesures : tests de biais trimestriels, revue managériale documentée ». Sans cette transparence, la gouvernance de l’entreprise reste théorique et la confiance des salariés comme des représentants du personnel se fragilise.

Le deuxième pilier de la gouvernance IA en entreprise concerne l’explicabilité des modèles et la traçabilité des décisions. Une DRH doit pouvoir obtenir, de la part de l’éditeur, une documentation claire sur les critères utilisés par les algorithmes, les tests de biais menés, les jeux de données d’entraînement et les mécanismes de protection des données personnelles, y compris pour les versions successives des systèmes. Cette exigence d’explicabilité s’inscrit dans un cadre réglementaire qui impose une conformité renforcée pour les systèmes RH à haut risque, avec des normes éthiques explicites et des recommandations de la CNIL sur l’information des personnes, le droit d’accès (article 15 du RGPD) et la limitation de la durée de conservation, régulièrement rappelées dans ses lignes directrices sur l’IA et l’emploi.

Enfin, la supervision humaine ne peut pas être un simple bouton « override » ajouté en fin de processus de décision. La gouvernance responsable impose de définir, dans l’organisation, qui valide les décisions sensibles, à quel niveau de risque, avec quels délais et quelles preuves d’audit conservées dans les systèmes de gestion des dossiers. Par exemple, un processus robuste prévoit que tout rejet de candidature fondé sur un score algorithmique soit relu par un recruteur, avec une justification écrite et un contrôle périodique par la conformité interne, sur la base d’un scénario type de revue de dossier. Sans cette supervision humaine structurée, la place de la gouvernance IA en entreprise reste un affichage, et non un véritable levier de protection pour l’entreprise et ses collaborateurs.

Ce que les éditeurs n’assument pas : tri sémantique de CV, biais et frontière décisionnelle

La plupart des éditeurs d’ATS mettent en avant des modèles de tri sémantique de CV sans détailler leur gouvernance des données ni leur gestion des risques. Pour une DRH, le sujet n’est pas seulement la performance du service client ou la fluidité du processus de recrutement ; il s’agit de démontrer que les systèmes d’intelligence artificielle ne produisent pas de discriminations systémiques, notamment sur le genre, l’âge, l’origine ou le lieu de résidence. La gouvernance IA en entreprise impose donc de demander des rapports de tests de biais documentés, répétés dans le temps et alignés sur des normes éthiques explicites, en cohérence avec les principes de non-discrimination rappelés par la CNIL, le Code du travail (article L1132-1) et la jurisprudence prud’homale, qui sanctionnent les pratiques discriminatoires directes ou indirectes.

Le tri sémantique de CV illustre parfaitement la tension entre efficacité et responsabilité dans la gouvernance de l’entreprise. Un modèle peut améliorer la gestion des candidatures et réduire les délais, tout en introduisant des risques cachés si les données historiques reflètent des pratiques de recrutement biaisées, ce qui est fréquent dans de nombreuses organisations. Une DRH doit exiger un cadre de gouvernance qui inclut des tests de sensibilité, des scénarios de stress et une supervision humaine systématique sur les décisions de présélection. Un cas d’audit typique consiste, par exemple, à comparer les taux de présélection par genre ou tranche d’âge avant et après déploiement de l’outil, à documenter ces résultats dans un rapport de test de biais et à ajuster les paramètres ou les règles métiers en conséquence.

La frontière entre aide à la décision et décision automatisée devient alors centrale pour la gouvernance IA en entreprise. Si le système propose un classement mais que le recruteur conserve une marge d’appréciation réelle, avec des justifications écrites, le niveau de risque juridique reste maîtrisable pour l’entreprise. Si, en pratique, les décisions suivent automatiquement le score du modèle sans contrôle humain effectif, la responsabilité de l’organisation augmente fortement, notamment en cas de recours prud’homal, où l’absence de contrôle humain effectif et de traçabilité des critères peut être analysée à la lumière des exigences de l’AI Act (articles 9 et 14 sur la gestion des risques et la supervision humaine) et du RGPD.

Responsabilité juridique, clauses contractuelles et cadre de gouvernance

Les juristes spécialisés en droit social rappellent que, même en présence d’un prestataire technologique, l’employeur reste responsable des décisions de recrutement et de gestion des carrières. La gouvernance IA en entreprise doit donc se traduire dans les contrats par des clauses précises sur la conformité réglementaire, la protection des données, la sécurité des systèmes et la transparence des modèles utilisés. Sans ces clauses, l’entreprise porte seule les risques en cas de contentieux, malgré les promesses commerciales des éditeurs, et peut se retrouver en difficulté pour répondre à un contrôle de la CNIL ou à une demande d’explication d’un candidat.

Une clause contractuelle robuste devrait préciser le cadre réglementaire applicable, les obligations de l’éditeur en matière de gouvernance des données, les modalités de gestion des risques et les engagements sur la supervision humaine intégrée aux processus. Elle devrait aussi prévoir un droit d’audit sur les systèmes d’intelligence artificielle, un accès aux rapports de tests de biais et un mécanisme de mise à jour du cadre de gouvernance en fonction de l’évolution des normes éthiques et des recommandations de la CNIL. À titre d’illustration, une clause type peut prévoir : « Le prestataire s’engage à réaliser au minimum un test de biais annuel documenté, à notifier le client de toute modification substantielle du modèle, à conserver la documentation technique pendant toute la durée du contrat et à permettre un audit externe sur les données d’entraînement et les métriques de performance ». Ce type de gouvernance responsable permet de sécuriser le retour sur investissement tout en limitant l’exposition de l’entreprise à des sanctions lourdes.

Pour les DRH, la responsabilité ne se joue pas seulement dans les contrats, mais aussi dans l’acculturation des équipes et la clarté des processus internes. La gouvernance IA en entreprise doit être comprise par les recruteurs, les managers et les représentants du personnel, avec des formations spécifiques sur les décisions assistées par l’IA, les droits d’accès des candidats et les mécanismes de recours. Un cas pratique utile consiste, par exemple, à simuler une demande d’explication d’un candidat non retenu et à vérifier que l’organisation est capable de fournir une réponse claire, documentée et conforme aux recommandations de la CNIL, notamment sur le droit à l’explication des décisions automatisées, en s’appuyant sur des éléments concrets issus du registre de traitement et des rapports de tests de biais.

Checklist opérationnelle pour DRH : du registre de traitement au ROI mesurable

Une checklist opérationnelle de gouvernance IA en entreprise commence par la cartographie des traitements et des systèmes utilisés sur le parcours candidat et collaborateur. Chaque outil doit être rattaché à un registre de traitement, à un cadre de gouvernance précis et à un niveau de risque évalué, en intégrant la nature des données, la criticité des décisions et la présence de supervision humaine. Cette approche permet à la gouvernance de l’entreprise de piloter l’ensemble du cycle de vie des modèles, depuis la conception jusqu’à la mise en œuvre et au retrait éventuel, en cohérence avec les principes de « privacy by design » et de « risk management » posés par l’AI Act pour les systèmes d’IA à haut risque.

Le deuxième volet de cette checklist concerne la protection des données et la sécurité des systèmes, avec des exigences claires sur le chiffrement, la pseudonymisation, la durée de conservation et les accès internes ou externes. Une DRH doit s’assurer que la gouvernance des données couvre aussi bien les environnements de test que les environnements de production, afin d’éviter des fuites ou des usages détournés de données de CV ou d’évaluations de performance. Cette vigilance renforce la confiance des collaborateurs et contribue à une gouvernance responsable, alignée sur les attentes des autorités de contrôle, qui insistent sur la limitation des accès, la journalisation des opérations et la sécurisation des transferts de données hors UE.

Enfin, la gouvernance IA en entreprise doit relier chaque cas d’usage à un retour sur investissement objectivé, au-delà des discours marketing des éditeurs. Une DRH peut suivre des indicateurs comme le temps moyen de recrutement, la qualité des embauches, la satisfaction du service client interne et le nombre de contestations liées aux décisions assistées par l’IA, afin de mesurer l’impact réel sur le chiffre d’affaires et sur la marque employeur. Un tableau de bord équilibré croise ainsi des KPI de performance (délai de recrutement, coût par embauche) avec des indicateurs de conformité (nombre de demandes d’accès, incidents de sécurité, alertes internes), sans quoi la place de la gouvernance IA en entreprise reste un principe abstrait, loin des arbitrages budgétaires et des priorités stratégiques des organisations.