Un CV ne ressemble pas à un document anodin, mais c'est un concentré de données personnelles : nom, téléphone, adresse, parfois nationalité, situation familiale, photo. Au sens du RGPD, c'est une catégorie sensible. Et dès que vous le faites passer dans un outil tiers, vous engagez votre responsabilité de responsable de traitement.
L'objectif de ce guide n'est pas de vous faire peur. C'est de vous donner les 6 questions précises à se poser, avec les bonnes réponses à avoir. Si vous pouvez répondre aux six, vous êtes serein. Si vous bloquez sur l'une d'elles, vous savez ce qu'il faut creuser.
1. Quelle est la base légale du traitement ?
Le RGPD vous demande d'identifier pourquoi vous avez le droit de traiter ces données. Pour une analyse de CV dans le cadre d'un recrutement, la base légale est presque toujours l'exécution de mesures précontractuelles à la demande du candidat (article 6.1.b). En clair : le candidat vous a envoyé son CV pour postuler, il s'attend à ce que vous le lisiez.
En revanche, ce n'est pas parce que vous avez le droit de lire qu'il a accepté que vous lui fassiez passer une IA. Soyez transparent dans votre annonce ou dans votre processus : indiquez que l'analyse peut être assistée par un outil d'intelligence artificielle. C'est une obligation d'information qui vous évite des contestations.
2. Les données sont-elles stockées chez le fournisseur ?
C'est la question numéro 1 à poser à n'importe quel outil. Trois cas de figure :
Cas dangereux : le fournisseur stocke les CV de manière persistante (« pour améliorer le service », « pour vous fournir l'historique »...). Ces données existent quelque part, et un incident de sécurité chez eux devient votre problème, parce que vous êtes responsable du traitement.
Cas acceptable : stockage temporaire (quelques heures) avec suppression automatique programmée. À ce moment-là, demandez la durée exacte et l'engagement écrit dans le contrat.
Cas idéal : aucun stockage. Le CV est traité en mémoire vive, le résultat est renvoyé, la mémoire est libérée. C'est notre cas. Aucun CV ni résultat d'analyse n'existe sur nos serveurs au-delà de la requête elle-même.
3. Vos données sont-elles utilisées pour entraîner d'autres modèles ?
Les grands modèles d'IA grand public (ChatGPT, Claude, Gemini en version personnelle) utilisent par défaut les conversations pour améliorer leurs modèles. Concrètement, votre CV peut servir à entraîner une version future du modèle. C'est documenté dans leurs CGU, et c'est généralement incompatible avec une utilisation professionnelle pour traiter des données candidats.
Les versions Enterprise / API de ces mêmes modèles excluent normalement le réentraînement, mais il faut le vérifier dans votre contrat. Les outils spécialisés comme le nôtre passent par ces API en mode no-training par défaut.
4. Où sont hébergées les données ?
Le RGPD encadre les transferts hors Union Européenne. Si votre fournisseur d'IA héberge les données aux États-Unis ou ailleurs hors UE, vous devez vérifier l'existence de garanties (Privacy Framework, clauses contractuelles type, etc.).
Le plus simple, c'est de choisir un outil qui héberge en Europe. C'est notre cas : société française, infrastructure européenne. Aucun transfert hors UE de données candidats. Vous évitez tout un pan de complexité juridique.
5. Avez-vous signé un contrat de sous-traitance (DPA) ?
Dès qu'un outil tiers traite des données pour votre compte, vous êtes obligé de signer un Data Processing Agreement (article 28 du RGPD). C'est un document qui définit :
- Quelles données sont traitées et dans quel but
- Combien de temps elles sont conservées
- Les mesures de sécurité techniques mises en place
- Les obligations en cas d'incident de sécurité
- Vos droits d'audit
Pour les outils sérieux, le DPA est accessible publiquement ou disponible sur demande. Si on vous répond « on n'a pas de DPA », fuyez. Côté R·Evolutio, nous avons un DPA disponible sur simple demande à contact@r-evolutio.fr.
6. Les candidats sont-ils informés ?
Côté candidat, le RGPD impose l'information préalable. Concrètement, votre formulaire de candidature, votre offre d'emploi ou votre processus de recrutement doit indiquer :
- Que les CV sont analysés (assistance IA possible)
- La durée de conservation des candidatures
- Les droits du candidat (accès, rectification, suppression, opposition à une décision automatisée)
- Le contact du DPO de votre entreprise
À noter : si la décision de retenir ou non un candidat est entièrement automatisée, l'article 22 du RGPD s'applique et donne des droits supplémentaires au candidat. Dans la pratique, un outil comme R·Evolutio donne une aide à la décision, mais le recruteur garde la décision finale. C'est important pour éviter de tomber sous ce régime.
Le récap pour votre DPO
| Question | Outil grand public | R·Evolutio |
|---|---|---|
| Base légale documentée | À vous de gérer | Documenté dans la doc produit |
| Stockage des CV | Souvent oui par défaut | Aucun (analyse éphémère) |
| Réentraînement sur vos données | Oui sur plan perso, à vérifier en pro | Non |
| Hébergement | Souvent USA | Europe |
| DPA disponible | Parfois | Sur demande |
| Information candidat | À gérer côté entreprise | À gérer côté entreprise |
Ce qu'il faut retenir
Le RGPD n'interdit pas d'utiliser une IA pour analyser des CV. Il vous demande de choisir un outil conçu pour ce cas d'usage (et pas un outil généraliste détourné), d'avoir un DPA en main, et d'informer les candidats.
Le bon réflexe, avant de mettre un outil en production : envoyez-vous un mail récapitulatif de ces 6 questions/réponses pour votre DPO. Si vous avez les bonnes réponses sur la moitié, mais des trous sur l'autre moitié, on est dispo pour vous aider à compléter, sans engagement : contact@r-evolutio.fr.
Et si vous voulez tester R·Evolutio sur vos vrais CV en toute conformité, 3 analyses sont offertes sans carte bancaire. C'est le meilleur moyen de vérifier de vos propres yeux ce qu'on raconte.
Ce guide fait partie d'une série sur l'analyse de CV par IA. À lire aussi : R·Evolutio vs ChatGPT : le comparatif honnête.
Ce guide est rédigé à titre d'information générale et ne remplace pas un avis juridique adapté à votre situation. Pour des cas spécifiques (candidats mineurs, données de santé liées à une RQTH, etc.), consultez votre DPO ou un avocat spécialisé.