Trois ans après avoir publié un guide pédagogique sur le recrutement, la CNIL change de posture. En 2026, elle inspecte.
En bref :
- La CNIL a inscrit le recrutement parmi ses thématiques prioritaires de contrôle pour 2026, remplaçant sa posture pédagogique de 2023 par des inspections réelles.
- Trois axes sont vérifiés : les outils de décision automatisée (tri IA, scoring, matching), l’information délivrée aux candidats, et la durée de conservation des données (deux ans maximum pour un vivier).
- Toutes les entreprises qui recrutent peuvent être contrôlées, quelle que soit leur taille, même si les grandes structures et cabinets de recrutement sont en tête des cibles.
- Ce contrôle anticipe l’entrée en application de l’AI Act européen en août 2026, qui classe le recrutement par IA parmi les usages à haut risque.
- Trois réflexes à adopter maintenant : auditer son ATS, revoir l’information candidat, et purger les CV de plus de deux ans.
Sommaire
Une thématique prioritaire, pas un simple rappel
Le 3 avril 2026, la CNIL a classé le recrutement parmi ses thématiques prioritaires de contrôle pour l’année, aux côtés du répertoire électoral unique et des fédérations sportives.
La différence avec son guide de 2023 est nette : à l’époque, l’objectif était d’accompagner les recruteurs vers la conformité. Aujourd’hui, la CNIL vérifie que cette conformité existe réellement.
Capital a confirmé la recrudescence annoncée des inspections sur le terrain.
Trois points systématiquement vérifiés
La CNIL a annoncé trois axes de contrôle précis.
D’abord, l’usage d’outils de décision automatisée : tri par intelligence artificielle, scoring, matching de CV. Ces outils, de plus en plus présents dans les ATS, sont désormais scrutés pour vérifier qu’ils n’introduisent pas de biais et qu’ils restent explicables.
Ensuite, l’information délivrée aux candidats. Elle doit être complète, claire et accessible dès le formulaire de candidature, pas noyée dans des mentions légales illisibles en bas de page.
Enfin, la durée de conservation des données. La règle reste celle du guide 2023 : deux ans maximum à compter du dernier contact, pour les candidats non retenus dont les données alimentent un vivier, à condition qu’ils en aient été informés. Passé ce délai, direction la corbeille.
Qui est vraiment ciblé
Les grandes entreprises et les cabinets de recrutement arrivent en tête des cibles, logique vu le volume de candidatures qu’ils traitent.
Mais les PME ne sont pas exemptées pour autant : la CNIL peut contrôler n’importe quelle structure qui recrute, quelle que soit sa taille.
Le vrai enjeu derrière : l’AI Act arrive
Cette thématique 2026 n’est pas un coup isolé. Elle préfigure le rôle que la CNIL va endosser comme autorité de surveillance de l’IA dans le champ du travail, au titre du règlement européen sur l’intelligence artificielle (AI Act, règlement UE 2024/1689), applicable dès août 2026.
Ce texte classe les systèmes d’IA utilisés en recrutement parmi les usages à haut risque.
Autrement dit : ce contrôle 2026 est un galop d’essai avant un cadre encore plus contraignant.
Ce que ça change concrètement pour vous
Si vous recrutez, trois réflexes à prendre maintenant : vérifiez ce que votre ATS fait réellement de vos données candidats et s’il utilise du tri automatisé, relisez l’information transmise aux candidats au moment du dépôt de candidature, et purgez les CV de plus de deux ans qui traînent dans vos dossiers.
Et si vos pratiques RH vous exposaient à des risques que vous ne voyez pas ?
Accédez à un audit gratuit en ligne pour les identifier avant qu’ils ne vous coûtent.
Demander un audit RH gratuitNotre position chez La Recrue
Tool4staffing, l’ATS que nous utilisons avec l’ensemble de nos clients, respecte pleinement ces obligations : information candidat claire dès la candidature, durées de conservation encadrées, et aucun tri automatisé opaque.
Si vous êtes accompagnés par l’un de nos HRBP, ce sujet est déjà pris en charge.
Si vous recrutez seul avec un outil que vous n’avez jamais audité sous cet angle, c’est le bon moment de le faire.
Sources : CNIL, controles-prioritaires-2026 (3 avril 2026) · Règlement UE 2024/1689 (AI Act) · Guide CNIL recrutement (2023)
Cécile, Dirigeante chez La Recrue
« Notre rôle chez La Recrue : aider les dirigeants de PME et start-up à structurer leur RH avec méthode et efficacité »
