Conformité CNIL et AI Act : pourquoi 2026 devient une année commerciale pour les cabinets de recrutement

La CNIL a placé le recrutement en priorité de contrôle pour 2026

Le 3 avril 2026, la Commission nationale de l'informatique et des libertés a publié sa liste de thématiques prioritaires de contrôle. Le recrutement figure en première place, aux côtés du répertoire électoral unique et des fédérations sportives [1]. La CNIL le dit sans ambiguïté : « Ces contrôles viseront prioritairement les grandes entreprises et les cabinets de recrutement, compte tenu de la multiplicité des candidatures qu'ils reçoivent et des sélections qu'ils opèrent. » [1].

Le motif est simple. Les cabinets concentrent des volumes importants de CV, utilisent des outils de tri et de scoring, et traitent des données sensibles (situation familiale, adresse, prétentions salariales). Trois ans après la publication du guide recrutement de la CNIL en janvier 2023, l'organisme de régulation passe de la pédagogie au contrôle [1]. La phase « expliquez-moi comment vous faites » est terminée. La phase « montrez-moi ce que vous faites » est ouverte.

AI Act : le recrutement est désormais une IA à haut risque

Le règlement européen sur l'intelligence artificielle, dit AI Act, classe les systèmes d'IA utilisés pour le recrutement et la sélection de personnes dans la catégorie « IA à haut risque » (annexe III, point 4 a) [2]. Cette classification impose des obligations renforcées aux opérateurs : supervision humaine effective, transparence vis-à-vis des candidats, gestion documentée des biais. L'analyse d'impact sur les droits fondamentaux prévue à l'article 27, elle, ne vise pas tous les déployeurs : elle s'applique surtout aux organismes publics, aux entités privées assurant des missions de service public, et à certains usages comme le crédit ou l'assurance. Un cabinet de recrutement privé n'y est donc pas soumis de ce seul fait.

Pour un cabinet de 5 à 15 personnes, cela change la donne. L'AI Act ne s'applique plus seulement aux grands éditeurs. Dès lors qu'un cabinet utilise un outil d'aide à la présélection, au scoring ou au matching de CV, il devient « déployeur » au sens du règlement et doit pouvoir démontrer la conformité de l'usage qu'il fait de l'outil [2]. Ne pas avoir de DPO ne dispense pas de l'obligation. À noter : le règlement est entré en vigueur le 1er août 2024 et s'applique par étapes. Les obligations de transparence de l'article 50 s'appliquent depuis le 2 août 2026, et les obligations de haut risque de l'annexe III à compter du 2 décembre 2027, après le report prévu par le règlement (UE) 2026/1744 [2].

Ces contrôles viseront prioritairement les grandes entreprises et les cabinets de recrutement, compte tenu de la multiplicité des candidatures qu'ils reçoivent et des sélections qu'ils opèrent.

Les donneurs d'ordre posent de plus en plus la question de la conformité

Le mouvement vient aussi du côté commercial. La conformité devient un critère de sélection dans certaines consultations : la question n'est plus seulement « combien vous facturez ? », elle devient de plus en plus souvent « pouvez-vous montrer que vos outils respectent le RGPD et qu'un humain décide sur chaque candidat ? ». Cette exigence n'est pas encore systématique, et elle n'est pas documentée par une étude publique, mais elle progresse.

Cette tendance n'est plus marginale. Selon Hellowork, 78 % des recruteurs français utilisaient l'IA générative dans leur métier en 2025, presque le double de l'année précédente [3]. Du côté des candidats, un sur deux s'en sert aussi pour au moins une étape de sa candidature, et 73 % pour rédiger leur lettre de motivation [3]. Plus le volume de candidatures dopées à l'IA augmente, plus les clients grands comptes attendent de leurs cabinets une chaîne de décision traçable, documentée, conforme.

Les quatre documents à avoir prêts avant un contrôle

Étape et contenu de la suite

Étape	Ce qui est fait
Premier livrable	Le registre des traitements, tenu à jour, qui liste les finalités, les bases légales, les durées de conservation et les sous-traitants. La CNIL le demande depuis 2018 ; beaucoup de cabinets l'ont préparé une fois et ne l'ont plus touché depuis.
Deuxième livrable	L'analyse d'impact relative à la protection des données (AIPD), que le RGPD recommande pour un traitement de CV à grande échelle. À ne pas confondre avec l'analyse d'impact sur les droits fondamentaux prévue par l'AI Act (article 27) : celle-ci ne concerne, en principe, ni un cabinet de recrutement privé ni la plupart de ses usages.
Troisième livrable	La mention d'information candidat, qui précise l'usage éventuel d'une IA, le délai de conservation des données, et le droit d'opposition. Elle doit figurer sur le site carrières, dans les formulaires de candidature et dans les e-mails de premier contact.
Quatrième livrable	La procédure de validation humaine. Toute décision affectant un candidat (rejet, mise en shortlist, envoi au client) doit passer par un clic tracé d'un consultant identifié. L'article 22 du RGPD l'exige : une décision exclusivement automatisée produisant un effet juridique significatif sur une personne est interdite sans intervention humaine.

Hébergement des données : un critère qui peut peser dans les appels d'offres

La question de la localisation des données peut peser dans certaines consultations. Beaucoup d'éditeurs du marché stockent les CV en dehors de l'Union européenne, sur des infrastructures soumises au CLOUD Act américain. Pour un cabinet français qui place des cadres, des dirigeants ou des profils sensibles (santé, défense, finance), ce n'est plus acceptable.

La bonne pratique tient en deux points. D'abord, savoir où sont hébergées les données et qui peut y accéder : un hébergement européen ne suffit pas à écarter le CLOUD Act si le fournisseur est américain, car la loi américaine peut s'appliquer à ses filiales et sous-traitants. Ensuite, privilégier un hébergement dans l'Union européenne quand c'est possible, et documenter les éventuels transferts hors UE avec les garanties prévues par le RGPD. Pour un cabinet qui place des profils sensibles, c'est un point à vérifier au cas par cas avec le fournisseur, pas une case à cocher.

Transformer la contrainte en avantage commercial

Un cabinet qui arrive avec un dossier de conformité complet se distingue sur trois tableaux. Sur le plan juridique, il réduit l'exposition à une sanction CNIL, qui peut atteindre 4 % du chiffre d'affaires annuel mondial ou 20 millions d'euros. Sur le plan commercial, il rassure les directions des achats qui doivent elles-mêmes documenter leurs sous-traitants. Sur le plan opérationnel, il peut facturer un audit de conformité à ses clients entreprises comme une prestation à part entière.

Le calendrier est connu. Les contrôles CNIL sur le recrutement ont commencé en 2026 [1]. Les obligations AI Act pour les usages à haut risque listés à l'annexe III s'appliquent à compter du 2 décembre 2027 [2]. Tout cabinet qui prépare ses quatre documents, son hébergement européen et sa procédure de validation humaine avant la fin 2026 prend une longueur d'avance mesurable sur ses concurrents. Il transforme une contrainte réglementaire en critère de choix pour les clients grands comptes, et en argument de différenciation pour les prospects qui, eux aussi, commencent à recevoir les questionnaires de conformité de leurs donneurs d'ordre.

Un cabinet qui a mis en place sa documentation, choisi un hébergement en Europe et tracé la validation humaine sur chaque shortlist peut dire aujourd'hui à ses clients grands comptes : « voici mon registre des traitements, voici mon analyse d'impact, voici où sont stockés vos CV et ceux de vos candidats, voici la trace de la décision humaine finale. » Ce dossier-là, peu de cabinets en France peuvent le présenter en réunion commerciale. C'est ce que certains donneurs d'ordre demandent déjà, avant même que la question du prix ne soit posée.

La conformité devient un actif commercial quand elle est documentée, tenue à jour, et racontée au client. Un cabinet qui attend le premier contrôle CNIL pour s'y mettre paiera deux fois : une fois en stress, une fois en temps de consultant. Un cabinet qui s'y met avant la fin 2026 dépense une fraction de ce qu'il récupère en appels d'offres remportés et en image de sérieux.