Dans un communiqué daté du 23 septembre 2026, l’Agence espagnole de protection des données (AEPD) a fait savoir qu’elle avait adressé un avertissement à une entreprise qui envisageait d’utiliser l’intelligence artificielle pour trier et noter des candidatures. L’outil n’était pas encore en service et aucune infraction n’a été constatée : il s’agit d’une mesure préventive, dont l’autorité a de nouveau fait état le 6 octobre à propos de deux municipalités souhaitant doter leur vidéosurveillance d’une analyse automatisée des images. Le message est clair : en attendant une loi espagnole sur l’IA, qui n’était toujours pas en vigueur à la mi-août, c’est le RGPD qui encadre déjà ces usages.
Un outil de recrutement contrôlé avant même son lancement
Selon le communiqué de l’AEPD, l’entreprise, dont le nom n’a pas été rendu public, envisageait un système chargé d’analyser les CV, de leur attribuer une note et, le cas échéant, de classer les candidatures, aussi bien pour les embauches que pour la mobilité interne. Le dispositif n’avait pas encore été activé, mais le personnel avait été informé de son arrivée prochaine. L’agence s’est appuyée sur l’article 58.2.a du RGPD, qui prévoit ce type d’avertissement préventif.
L’AEPD précise la portée de cette décision : un avertissement ne vaut pas constat d’infraction. Mais le choix de communiquer publiquement sur un projet encore à l’étude montre que le régulateur entend peser en amont, au moment où les choix techniques restent réversibles.
Les garanties rappelées par l’autorité
L’agence souligne qu’un tel outil pourrait peser directement sur l’accès à l’emploi et sur les promotions. Elle en tire plusieurs exigences :
- intégrer la protection des données dès la conception du projet et par défaut ;
- évaluer les risques pour les candidats et les salariés, et prévoir des mesures techniques et organisationnelles adaptées ;
- réaliser une analyse d’impact préalable si le traitement présente un risque élevé pour les droits et libertés ;
- informer les personnes de façon claire et compréhensible sur le traitement et sur le rôle exact de l’outil.
Le point le plus instructif concerne l’intervention humaine. L’entreprise assurait que la décision finale reviendrait à une personne. L’AEPD répond que ce décideur doit examiner la note de façon critique et trancher lui-même, sans se contenter d’entériner le résultat de la machine. Quant au droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, lorsqu’elle produit des effets juridiques ou affecte la personne de manière significative, son application éventuelle dépendra du fonctionnement réel de l’outil et du degré d’intervention humaine.
Même méthode pour la vidéosurveillance municipale
Le 6 octobre, l’autorité a publié un communiqué sur les garanties à respecter pour ajouter de l’IA aux systèmes de vidéosurveillance, après avoir adressé des avertissements à deux mairies dont les projets prévoyaient une analyse automatisée des images, selon la liste des communiqués de l’AEPD. Le texte détaillé de ce second communiqué n’a pas pu être consulté. L’outil choisi est le même : intervenir avant la mise en service plutôt que sanctionner après coup.
Pourquoi l’AEPD est en première ligne
Au 9 août 2026, l’Espagne ne disposait toujours pas de loi sur l’IA en vigueur, relève le site spécialisé Upliora dans une analyse publiée le 13 août. Un projet de loi organique avait été approuvé en Conseil des ministres le 26 mai 2026 puis publié au bulletin officiel des Cortes le 12 juin ; à cette date, il était encore examiné en commission, et son adoption exigera la majorité absolue. L’Agence espagnole de supervision de l’IA (AESIA), installée à La Corogne, exerce la surveillance du marché depuis le 2 août 2026, mais la loi qui doit préciser le régime national de sanctions n’était pas encore adoptée. L’AEPD, elle, dispose d’un pouvoir de sanction opérationnel au titre du RGPD, qui s’applique à tout traitement de données personnelles, y compris lorsqu’il est confié à une IA.
Le calendrier européen renforce ce rôle. Les systèmes de recrutement et de sélection figurent parmi les usages à haut risque de l’annexe III de l’AI Act, dont les obligations ont été repoussées au 2 décembre 2027 par l’omnibus numérique, selon Upliora. D’ici là, pour toute entreprise qui recrute en Europe à l’aide d’un outil d’IA, l’avertissement de l’AEPD constitue une feuille de route assez précise de ce qu’une autorité de protection des données exige déjà, avant même l’échéance européenne.
Questions fréquentes
L’entreprise visée par l’AEPD a-t-elle été sanctionnée ?
Non. Elle a reçu un avertissement préventif, qui ne constate aucune infraction. L’outil n’était pas encore utilisé au moment de l’intervention de l’autorité.
Suffit-il qu’un recruteur valide la note proposée par l’IA ?
Non, selon l’AEPD. Le recruteur doit analyser la note de manière critique et décider par lui-même ; une validation de principe ne constitue pas une véritable intervention humaine.
L’AI Act s’applique-t-il déjà aux outils de recrutement ?
Les obligations propres aux systèmes à haut risque, dont relèvent ces outils, ont été repoussées au 2 décembre 2027. Le RGPD s’applique en revanche déjà, avec ses exigences d’analyse d’impact, de transparence et de garanties contre les décisions entièrement automatisées.
Sources
- La Agencia recuerda las garantías para utilizar IA en el análisis de currículums — AEPD, 2026-09-23
- Notas de prensa de l'AEPD (communiqué du 6 octobre 2026 sur l'IA et la vidéosurveillance) — AEPD, 2026-10-06
- España aún no tiene ley de IA: quién puede sancionar a tu empresa en 2026 y quién no — Upliora, 2026-08-13
- Annexe III du règlement européen sur l'IA (systèmes à haut risque) — artificialintelligenceact.eu, 2024-07-12