Décision automatisée et article 22 du RGPD : ce qu'une IA RH ne peut pas décider seule

Au 4 novembre 2026, l'article 22 du RGPD pose le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé qui produit des effets juridiques ou affecte de manière significative la personne. Trois exceptions existent, et deux d'entre elles exigent au minimum une intervention humaine, la possibilité d'exprimer son point de vue et de contester la décision.

La règle de principe

L'article 22, paragraphe 1, vise les décisions fondées exclusivement sur un traitement automatisé, y compris un profilage, qui produisent des effets juridiques ou affectent la personne de manière significative. Les lignes directrices du G29, révisées le 6 février 2018, lisent cette disposition comme une interdiction générale et non comme un droit à invoquer. Elles rangent parmi les décisions probablement significatives celles qui privent une personne d'une possibilité d'emploi, et citent le recrutement en ligne sans aucune intervention humaine comme exemple typique. Refuser une candidature, fixer une prime ou proposer une sanction entre donc dans le champ.

Les trois exceptions

Le paragraphe 2 admet la décision automatisée si elle est nécessaire à la conclusion ou à l'exécution d'un contrat, si elle est autorisée par le droit de l'Union ou d'un État membre avec des garanties appropriées, ou si elle repose sur le consentement explicite de la personne. Dans les deux cas du contrat et du consentement, le paragraphe 3 impose au minimum le droit d'obtenir une intervention humaine, d'exprimer son point de vue et de contester. Le paragraphe 4 interdit de fonder ces décisions sur les données sensibles de l'article 9, sauf exceptions limitées.

Une intervention humaine réelle

Placer un humain qui valide sans examiner ne suffit pas. Le G29 exige que le contrôle soit effectué par une personne qui a l'autorité et la compétence pour modifier la décision, et qu'il ne soit pas un geste symbolique. Appliquer systématiquement le score produit par la machine reste une décision fondée exclusivement sur un traitement automatisé. Le valideur doit pouvoir consulter toutes les données pertinentes, comprendre ce que l'outil a produit et s'en écarter, avec une trace de son examen. La CNIL rappelle aussi le risque de biais d'automatisation.

Information et droit d'accès

L'article 13, paragraphe 2, point f, et l'article 15, paragraphe 1, point h, imposent d'informer la personne de l'existence d'une décision automatisée et de lui donner des informations utiles sur la logique sous-jacente ainsi que sur les conséquences prévues. La CNIL précise qu'une personne concernée peut demander l'intervention d'un humain, notamment pour réexaminer sa situation, exprimer son point de vue, obtenir une explication sur la décision et la contester. Côté candidats, l'article L1221-8 du Code du travail exige en outre une information expresse sur les méthodes d'aide au recrutement avant leur mise en œuvre.

À faire

1. Cartographier les étapes où un outil d'IA propose ou prend une décision sur une personne.
2. Désigner pour chaque étape un décideur humain compétent, capable de modifier le résultat.
3. Tracer l'examen humain : données consultées, motif de la décision finale.
4. Prévoir un canal pour contester une décision et demander un réexamen humain.
5. Exclure les données sensibles des critères utilisés par l'outil.
6. Décrire la logique de l'outil dans la note d'information des salariés et des candidats.

Textes de référence

• Article 22 du RGPD (CNIL, chapitre III)
• Lignes directrices du G29 sur la décision automatisée et le profilage (WP251 rév.01)
• CNIL : profilage et décision entièrement automatisée
• Article L1221-8 du Code du travail

Questions fréquentes

Contenu d'information générale, qui ne constitue pas un conseil juridique.