Plateformes de recrutement et logiciels RH

• Regulation (EU) 2016/679 — GDPR, Article 27
• Regulation (EU) 2024/1689 — AI Act, Annex III employment
• Directive 2019/1152 on transparent working conditions

Qui doit le désigner

Fournisseurs établis en dehors de l'Union offrant des systèmes de recrutement ou de RH aux employeurs dans l'UE. L'employeur est généralement le responsable du traitement et le fournisseur un sous-traitant, mais toute utilisation des données des candidats pour l'entraînement de modèles ou le benchmarking fait du fournisseur un responsable du traitement à cette fin et déclenche ses propres obligations.

Seuils et exemptions

Pas de seuil RGPD. En vertu de la loi sur l'IA, les systèmes utilisés pour recruter, filtrer les candidatures, évaluer les candidats, attribuer des tâches ou surveiller la performance sont considérés comme à haut risque au titre de l'annexe III, avec des obligations s'appliquant à partir du 2 août 2026.

Ce qui doit figurer sur l’étiquette

Non physique. L'identité du représentant dans l'avis de confidentialité et dans la documentation contractuelle fournie aux clients employeurs. Lorsque l'IA est utilisée, les candidats doivent être informés et l'employeur doit être en mesure d'expliquer la logique impliquée.

Champs des marketplaces

Les employeurs de l'UE demandent la classification selon la loi sur l'IA, l'analyse de transfert et le représentant dans le cadre des achats, et les comités d'entreprise en Allemagne, en Autriche et aux Pays-Bas bloquent fréquemment le déploiement lorsque les réponses sont insatisfaisantes.

Documents à conserver

Registres de l'article 30, conditions de traitement de l'article 28, désignation de l'article 27, une évaluation d'impact sur la protection des données couvrant le profilage des candidats, des règles de conservation distinguant les candidats non retenus des embauchés, et le mécanisme de transfert. Pour l'IA à haut risque : documentation technique, gestion des risques, gouvernance des données abordant les biais, journalisation et évaluation de la conformité.

Normes et essais

L'évaluation des biais et de l'exactitude est effectivement requise : la loi sur l'IA oblige les fournisseurs à examiner les données d'entraînement pour les biais et à déclarer les niveaux d'exactitude, et le droit de la discrimination s'applique indépendamment.

Exigences linguistiques

Informations destinées aux candidats dans la langue des demandeurs, et documentation de l'employeur dans la langue du marché.

À partir de quand

Le représentant avant le début du traitement. Obligations à haut risque de la loi sur l'IA à partir du 2 août 2026, l'employeur en tant que déployeur ayant également des devoirs, y compris informer les travailleurs.

Durée de conservation

Données des candidats non retenus uniquement aussi longtemps que nécessaire, ce que plusieurs autorités interprètent comme six à douze mois en l'absence d'une période de réclamation spécifique. Les pools de talents indéfinis sans base sont une constatation récurrente.

En cas de manquement

Jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires en vertu du RGPD, et jusqu'à 15 millions d'euros ou 3 % en vertu de la loi sur l'IA pour les obligations à haut risque. Les réclamations pour discrimination se déroulent en parallèle devant les tribunaux du travail nationaux.

Qui contrôle

Autorités de protection des données, autorités de surveillance du marché de la loi sur l'IA, organismes d'égalité et, en pratique, comités d'entreprise.

Où se situe la limite

Le rejet automatisé sans intervention humaine engage l'article 22 du RGPD, qui restreint les décisions entièrement automatisées ayant des effets juridiques ou similaires significatifs. L'inférence émotionnelle lors des entretiens est interdite dans le contexte du travail en vertu de l'article 5 de la loi sur l'IA, de sorte que certains produits commercialisés aujourd'hui ne peuvent pas être légalement vendus dans l'Union.

Les questions qu’on nous pose

Nous ne sommes qu'un sous-traitant pour les employeurs — avons-nous besoin d'un représentant ?

Si vous traitez des données de candidats de personnes dans l'Union et que vous n'avez pas d'établissement dans l'UE, oui. Et toute utilisation de ces données à vos propres fins fait de vous un responsable du traitement.

Le filtrage de CV est-il à haut risque ?

Le filtrage ou le classement des candidatures est mentionné dans l'annexe III, donc oui, avec des obligations à partir d'août 2026.