IA et recrutement en Suisse : sécurité des données (LPD) et éthique

Si l’intelligence artificielle promet de doper l’efficacité du recrutement, elle manipule aussi des données hautement sensibles qui décident de l’avenir professionnel d’un candidat. En Suisse, le cadre est strict : la LPD, le Code des obligations et les directives des agences de placement exigent une transparence totale. La règle d’or ? Une gouvernance proportionnée, documentée et, surtout, intelligible pour les postulants.

Qu’il s’agisse de passer au crible des dizaines de CV, de fouiller le web à la recherche de profils, de transcrire automatiquement un entretien ou de classer les candidatures, chaque action implique un traitement de données personnelles. Et la technologie, aussi innovante soit-elle, ne modifie en rien la règle fondamentale : l’employeur doit se limiter aux seules informations strictement nécessaires pour évaluer l’aptitude au poste. Autrement dit, plus l’outil se montre intrusif — qu’il s’agisse d’analyser la voix, le comportement en vidéo ou d’esquisser un profil psychologique — plus le risque de violer la sphère privée du candidat grimpe en flèche.

LPD (ex-nLPD) : Les règles du jeu incontournables en 2026

En vigueur depuis le 1er septembre 2023, la loi fédérale révisée sur la protection des données (souvent encore surnommée « nLPD ») fixe désormais le cap. Pour tout employeur, cela signifie jongler rigoureusement avec les principes de licéité, de proportionnalité, de finalité, de transparence, d’exactitude et de sécurité. À cela s’ajoutent des obligations très concrètes à vérifier au cas par cas : tenue d’un registre des traitements, analyse d’impact, signalement des violations ou encore information proactive lors d’une décision automatisée.

Attention aux fausses croyances : héberger ses données en Suisse facilite grandement les démarches, mais ce n’est ni une obligation absolue, ni un blanc-seing. Dès lors que des informations franchissent les frontières, l’entreprise doit s’assurer du niveau de protection du pays de destination ou, à défaut, déployer les garanties qu’exige la LPD. Le contrat qui vous lie à votre fournisseur doit être blindé : gestion des sous-traitants, protocoles de sécurité, effacement garanti des données, assistance en cas de demande d’accès et, point crucial, les conditions éventuelles de réutilisation de vos données pour entraîner leurs propres modèles d’IA.

Le consentement du candidat n’est pas une solution magique

S’il semble rassurant de simplement demander l’accord du candidat, le consentement doit impérativement rester libre et éclairé. Or, dans le contexte d’une recherche d’emploi, le rapport de subordination – même potentiel – altère souvent cette notion de liberté. Le Préposé fédéral à la protection des données et à la transparence (PFPDT) est clair sur ce point : l’article 328b du Code des obligations autorise avant tout les traitements de données qui portent sur l’aptitude du travailleur ou qui s’avèrent strictement nécessaires à l’exécution du contrat. La mission de l’entreprise est donc de définir précisément la base légale et la nécessité réelle du traitement, plutôt que de multiplier les cases à cocher par pur réflexe.

La communication envers les postulants, quant à elle, doit être limpide. Elle doit détailler sans ambiguïté les catégories de données récoltées, les finalités poursuivies, les personnes qui y auront accès et les pays de destination éventuels. Surtout, cette information doit être délivrée et comprise avant même que le candidat ne transmette son dossier, et ne doit jamais être noyée dans les abysses de conditions générales interminables.

Décision 100 % automatisée : L’indispensable garde-fou humain

Dès lors qu’une décision est prise de manière totalement autonome par un algorithme et qu’elle entraîne des conséquences juridiques ou affecte significativement une personne (comme un refus d’embauche), la LPD impose une obligation d’information spécifique. Le candidat recalé doit pouvoir exprimer son point de vue et exiger qu’un être humain révise la décision, sous réserve des exceptions prévues par la loi.

Attention : rajouter un simple bouton de validation cliqué machinalement par le recruteur ne suffit pas à constituer une véritable « revue humaine ». Pour être valable, ce contrôle manuel exige que la personne en charge dispose de toutes les informations pertinentes, du pouvoir réel d’inverser le résultat de la machine, ainsi que du temps et de la formation nécessaires pour le faire. En cas de refus, l’entreprise gagne d’ailleurs à documenter des justifications tangibles liées aux exigences du poste et à offrir un canal de contestation facilement accessible.

Chasser les biais algorithmiques (sans pour autant promettre la lune)

Soyons clairs : aucun audit technologique ne pourra garantir un algorithme totalement dénué de biais. L’objectif, bien plus pragmatique, est de savoir détecter ces dérives, d’en comprendre la source et de les rectifier continuellement. Par exemple, une IA nourrie à l’historique de vos recrutements passés aura naturellement tendance à pénaliser les profils atypiques, les interruptions de carrière ou certaines tournures de phrases. Parfois, un simple bug d’extraction de texte peut transformer un léger souci technique en une exclusion ferme et définitive du processus.

• Cibler l’essentiel : Définir les compétences véritablement requises et bannir toute variable déconnectée de la réalité du poste.
• Tester à grande échelle : Évaluer les taux de sélection et de faux positifs sur des groupes de candidats pertinents (en s’appuyant sur un regard juridique si nécessaire).
• Pousser le système dans ses retranchements : Intégrer volontairement des parcours atypiques et des cas extrêmes lors des phases de test précédant le lancement.
• Surveiller sans relâche : Mettre en place un contrôle régulier pour suivre l’évolution de l’algorithme, des données traitées et des méthodes internes de recrutement.
• Garantir un droit de regard : Offrir systématiquement la possibilité de corriger une information erronée et d’obtenir un réexamen manuel en cas de contestation.

Audit du fournisseur tech : Les 10 points de contrôle obligatoires

1. La finalité exacte du système et les critères algorithmiques utilisés.
2. La typologie et les sources exactes des données récoltées.
3. La localisation des serveurs de traitement et la liste des transferts internationaux.
4. La chaîne de sous-traitance et les clauses encadrant tout changement de prestataire.
5. Les durées de conservation et la garantie d’une procédure de suppression vérifiable.
6. La clause d’entraînement : vos données servent-elles (ou non) à nourrir les modèles de l’éditeur ?
7. Le bouclier cyber : les mesures de sécurité déployées et le protocole en cas de faille.
8. Les droits des utilisateurs : procédures d’explication, de rectification et d’exportabilité des données.
9. Les crash-tests : résultats des évaluations portant sur les biais, l’exactitude et la fiabilité de l’outil.
10. L’option de débrayage : la possibilité technique de couper l’automatisation pour repasser en mode manuel.

Foire Aux Questions (FAQ)

Peut-on soumettre des CV à un outil public d’IA générative ?

Jamais sans une analyse préalable des conditions d’utilisation, de la gestion des accès, des transferts de données et de leur potentielle réutilisation. L’anonymisation stricte des documents couplée à un environnement d’entreprise sécurisé et sous contrat permet de mitiger ces risques, sans pour autant les effacer totalement.

Un recruteur est-il tenu de dévoiler le fonctionnement complet de son algorithme ?

Non, la transparence n’équivaut pas à livrer le code source de l’outil. Cependant, l’entreprise doit être en mesure d’expliquer clairement le rôle du système, de lister les données exploitées et les critères déterminants, tout en rappelant les droits du candidat face à ce traitement spécifique.

Une certification de cybersécurité est-elle suffisante pour être en conformité ?

En aucun cas. Si une certification atteste du sérieux technique du prestataire et de certains de ses contrôles, c’est bien l’employeur qui demeure le seul et unique responsable légal de la finalité du traitement, des données injectées dans le système, du paramétrage de l’outil et de l’usage qui est fait des résultats.

Article d’information générale. Une analyse juridique et de protection des données adaptée à votre dispositif reste indispensable avant toute mise en production.