Deux textes européens redessinent les règles du sourcing en 2026 : le RGPD, que tout le monde connaît mais que peu de cabinets appliquent correctement pour le sourcing IA, et l'IA Act, entré en vigueur progressivement depuis 2024 et dont les premières obligations concrètes touchent les RH dès cette année. Ce guide ne prétend pas remplacer un conseil juridique. Mais il pose les bases pratiques que tout consultant en recrutement doit maîtriser avant de signer un contrat avec un fournisseur d'outil de sourcing automatisé.
Calendrier 2025-2027 : les dates qui changent tout
L'IA Act européen suit un calendrier d'application échelonné qu'il est utile de maîtriser.
Août 2024 : entrée en vigueur de l'IA Act. Les pratiques explicitement interdites (manipulation comportementale à l'insu de l'utilisateur, scoring social généralisé) tombent immédiatement sous le coup de la loi.
Février 2025 : interdiction formelle de certains systèmes à risque inacceptable. Pour les RH, cela inclut les systèmes d'inférence d'état émotionnel dans des contextes professionnels.
Août 2026 : les règles pour les systèmes à "haut risque" deviennent pleinement applicables. Le recrutement automatisé figure explicitement dans cette catégorie (Annexe III, point 4 de l'IA Act).
2027 : extension aux systèmes d'IA générale (General Purpose AI models). Les outils de sourcing qui utilisent des grands modèles de langage sont concernés.
"Les cabinets qui attendent 2026 pour se mettre en conformité seront en retard. Les fournisseurs sérieux construisent leur conformité maintenant — et vos contrats fournisseurs doivent le refléter."
Le RGPD, lui, s'applique déjà intégralement depuis 2018. Le problème n'est pas l'ignorance du texte mais son application incomplète dans le contexte spécifique du sourcing IA, où les pratiques ont évolué beaucoup plus vite que les procédures internes des cabinets.
RGPD pour le sourcing : les 4 principes que les cabinets oublient
Les cabinets de recrutement traitent des données personnelles à grande échelle — ce qui les soumet aux mêmes obligations que n'importe quel acteur du marché. Quatre points sont régulièrement négligés.
1. La base légale pour le traitement des profils LinkedIn. Scraper ou importer un profil LinkedIn dans votre ATS sans base légale explicite est une violation du RGPD — même si le profil est public. La base légale la plus solide pour le sourcing est l'"intérêt légitime" (Article 6.1.f), mais elle doit être documentée, proportionnée, et ne pas primer sur les droits fondamentaux du candidat. La CNIL a rappelé ce point dans ses lignes directrices sur le recrutement numérique.
2. L'information des candidats sourcés. Un candidat passif que vous ajoutez à votre base doit être informé que ses données sont traitées — idéalement dès le premier contact, au plus tard lors de ce premier échange. L'information doit couvrir l'identité du responsable de traitement, la finalité, la durée de conservation, et les droits du candidat. Un email d'approche sans cette mention est techniquement non conforme.
3. La durée de conservation. La CNIL recommande une durée maximale de deux ans pour les candidats non retenus à partir de leur dernier contact avec votre cabinet. Beaucoup de bases de données de cabinets contiennent des profils de 5, 7 ou 10 ans jamais purgés. Un audit annuel des données inactives n'est pas une option — c'est une obligation.
4. L'Article 22 et les décisions automatisées. Si votre système de matching IA produit un score de pertinence qui détermine, seul, si un candidat passe ou non à l'étape suivante, vous êtes potentiellement dans le champ de l'Article 22 du RGPD (décisions entièrement automatisées avec effet significatif). Le candidat a alors le droit à une intervention humaine. En pratique, assurez-vous qu'un consultant valide toujours la shortlist — même visuellement — avant qu'elle soit présentée au client.
IA Act : pourquoi le sourcing IA est classé à haut risque
L'annexe III de l'IA Act liste explicitement les systèmes d'IA à "haut risque" dans le domaine de l'emploi. Sont concernés : les systèmes utilisés pour le recrutement ou la sélection de personnes, notamment ceux qui classent des profils, filtrent des candidatures ou prédisent la performance professionnelle.
Ce classement "haut risque" entraîne des obligations concrètes pour les utilisateurs (cabinets) et pour les fournisseurs de ces outils. KPMG Law a publié une analyse détaillée des implications pour les RH, dont les points clés sont :
Pour les fournisseurs (éditeurs d'ATS, plateformes de sourcing) : obligation de documentation technique complète, gestion des risques, transparence sur les données d'entraînement, enregistrement dans la base de données UE des systèmes à haut risque.
Pour les déployeurs (cabinets qui utilisent ces outils) : due diligence sur les fournisseurs, surveillance humaine du système, conservation des logs d'utilisation, formation minimale des utilisateurs sur les limites du système.
Eversheds Sutherland et Kooku ont tous deux publié des analyses applicables aux cabinets indépendants — des lectures utiles pour aller plus loin.
Tableau : ce qui est interdit, obligatoire, toléré
| Pratique | Statut | Fondement |
|---|---|---|
| Filtrer automatiquement des CV sans intervention humaine sur la décision finale | Risqué | Art. 22 RGPD — droits du candidat à contestation humaine |
| Inférer l'âge, l'origine, ou l'état émotionnel d'un candidat via IA | Interdit | Art. 9 RGPD + IA Act Art. 5 |
| Conserver des CV sans durée de conservation définie | Non conforme | Art. 5.1.e RGPD — limitation de conservation |
| Utiliser un score IA pour trier les profils, avec validation humaine systématique | Toléré / Recommandé | IA Act — surveillance humaine requise pour systèmes à haut risque |
| Informer les candidats sourcés via un modèle d'information standardisé | Obligatoire | Art. 14 RGPD — information des personnes dont les données ne sont pas collectées directement |
| Tenir un registre des activités de traitement pour le sourcing | Obligatoire | Art. 30 RGPD — registre obligatoire pour les traitements à grande échelle |
| Former les consultants sur les limites et biais des outils IA utilisés | Obligatoire (depuis août 2025) | IA Act Art. 4 — literacy en IA pour les déployeurs |
5 questions à poser à vos fournisseurs IA avant de signer
Le contrat avec un fournisseur d'outil de sourcing IA n'est pas qu'une affaire commerciale — c'est un contrat de sous-traitance au sens du RGPD. Le fournisseur devient votre sous-traitant et doit offrir des garanties suffisantes. Voici cinq questions concrètes à poser :
1. Où sont hébergées les données ? Un hébergement hors UE (AWS us-east, GCP us-central, etc.) nécessite des garanties spécifiques de transfert international (clauses contractuelles types, décision d'adéquation). Demandez l'emplacement exact des serveurs.
2. Quel est votre statut au regard de l'IA Act ? Le fournisseur est-il enregistré comme fournisseur de système à haut risque ? A-t-il réalisé une évaluation des risques ? Dispose-t-il d'une documentation technique conforme ?
3. Comment gérez-vous les demandes de droits des candidats ? Droit d'accès, de rectification, d'effacement — le fournisseur doit vous permettre de répondre à ces demandes dans les 30 jours imposés par le RGPD. Un SLA contractuel sur ce point est utile.
4. Sur quelles données votre modèle a-t-il été entraîné ? Des modèles entraînés sur des jeux de données biaisés (surreprésentation de profils masculins dans certains secteurs, par exemple) reproduiront ces biais. Demandez la documentation ou les rapports d'audit disponibles.
5. Que se passe-t-il avec nos données à la résiliation du contrat ? Exportabilité des données en format standard, délai de destruction, confirmation écrite : ces points doivent figurer dans le contrat, pas seulement dans la documentation commerciale.
"Un fournisseur qui ne peut pas répondre à ces cinq questions n'est pas prêt pour le marché européen en 2026. Cela ne veut pas dire que son outil est mauvais — cela veut dire que votre cabinet prend un risque contractuel et réglementaire en le déployant."
Le cas particulier du sourcing LinkedIn
LinkedIn est la source principale de sourcing passif pour la plupart des cabinets français. La plateforme a ses propres conditions d'utilisation — et elles créent une tension réelle avec les pratiques courantes.
Le scraping automatisé de profils LinkedIn (extraction en masse via des scripts ou des extensions non officielles) viole les CGU de LinkedIn et expose à des sanctions. La CNIL n'a pas publié de position spécifique sur le sourcing LinkedIn, mais ses lignes directrices générales sur la collecte de données accessibles publiquement s'appliquent : le caractère "public" d'une donnée ne justifie pas n'importe quel usage.
Ce qui est généralement considéré comme acceptable : l'import manuel ou semi-manuel de profils via une extension officielle (LinkedIn Recruiter, ou un connecteur officiel dans un ATS), avec information du candidat lors du premier contact.
Ce qui est risqué : les outils tiers qui promettent d'extraire des milliers de profils automatiquement en contournant les limites de l'API officielle. Même si la donnée est "publique", le mode d'extraction peut violer les CGU de LinkedIn, et le traitement massif sans base légale claire peut attirer l'attention de la CNIL.
Pour approfondir votre connaissance des outils disponibles, notre comparatif des meilleurs outils de sourcing IA en Europe présente uniquement des solutions avec API officielle et conformité déclarée. Vous pouvez aussi consulter notre guide sur le fonctionnement du matching vectoriel pour comprendre la technologie derrière ces outils.
Si vous évaluez le retour sur investissement d'un changement de solution, notre calculateur ROI ATS intègre les paramètres spécifiques aux cabinets européens. Et pour voir comment Yena approche ces questions de conformité dans la pratique, la page dédiée aux cabinets de chasse détaille notre architecture de données.
Questions fréquentes
Un cabinet de moins de 10 personnes est-il vraiment concerné par l'IA Act ?
Oui, en tant que déployeur. Les obligations allégées s'appliquent aux fournisseurs PME pour la documentation technique, mais les cabinets utilisateurs restent soumis aux obligations de surveillance humaine, de formation à l'IA literacy, et de gestion des risques dès lors qu'ils utilisent un système classé à haut risque. La taille ne crée pas d'exemption totale.
Doit-on avoir un DPO pour faire du sourcing IA ?
L'obligation de désigner un DPO (Délégué à la Protection des Données) dépend de la taille et de la nature des traitements. Un cabinet qui traite des données à "grande échelle" ou qui effectue un "suivi régulier et systématique des personnes à grande échelle" est concerné. Pour la plupart des cabinets de moins de 50 personnes, la désignation n'est pas obligatoire — mais avoir un référent RGPD interne ou externe est fortement conseillé.
Comment tenir un registre de traitement pour le sourcing ?
Le registre doit documenter : nom et coordonnées du responsable de traitement, finalité du traitement (sourcing de candidats), catégories de personnes concernées (candidats passifs sourcés), catégories de données (identité, expériences, coordonnées), destinataires (client final, éventuellement), transferts hors UE, et durée de conservation. Un fichier Excel suffit — l'important est qu'il existe et soit tenu à jour.
Que faire si un candidat demande la suppression de son profil de notre base ?
Vous devez honorer la demande dans les 30 jours (Article 17 RGPD, droit à l'effacement). Si le candidat a consenti explicitement à la conservation de son profil, le retrait du consentement déclenche l'obligation d'effacement. Votre ATS doit permettre la suppression complète d'un profil — vérifiez que c'est le cas, y compris dans les sauvegardes.
L'IA Act s'applique-t-il si notre fournisseur est américain ?
Oui. L'IA Act a une portée extraterritoriale comparable au RGPD : tout système dont les effets se font sentir sur le territoire européen (y compris l'utilisation par des cabinets européens) est concerné, quelle que soit la nationalité du fournisseur. Un fournisseur américain qui commercialise en Europe doit se conformer.
Yena est conçu pour le marché européen. Hébergement UE, conformité RGPD native, surveillance humaine systématique sur le matching IA, documentation fournisseur disponible sur demande. Consultez notre offre pour les cabinets de recrutement ou les tarifs — et posez-nous directement vos cinq questions de conformité.