IA et droit du travail suisse : limites légales du scoring de candidats

Un outil puissant, des risques réels

Une PME vaudoise de 30 employés paramètre un outil d'IA pour trier 200 candidatures en 48 heures. L'outil classe automatiquement, pondère les mots-clés du CV et attribue un score de 0 à 100 à chaque candidat. Résultat : gain de temps évident, mais aussi deux candidats discriminés sur la base de critères que l'employeur n'a jamais choisis explicitement — l'adresse postale et une inférence sur l'origine ethnique à partir du prénom. En Suisse, ce scénario engage la responsabilité de l'employeur, pas celle de l'éditeur du logiciel.

L'intelligence artificielle appliquée au recrutement n'est pas interdite en droit suisse. Mais elle est encadrée par trois corpus normatifs qui s'articulent : la nouvelle loi sur la protection des données (nLPD), le Code des obligations pour ce qui touche au contrat de travail, et les règles de non-discrimination issues notamment de la loi sur l'égalité. Ignorer cette superposition, c'est s'exposer à des sanctions administratives, civiles, voire pénales.

Le cadre nLPD : ce qui change pour le traitement des données de candidature

Principes de base applicables dès la réception d'un CV

En vigueur depuis le 01.09.2023, la nLPD (RS 235.1) s'applique à tout traitement de données personnelles de personnes physiques — y compris les candidats non encore engagés. Un CV est une donnée personnelle. Un score attribué par un algorithme à partir de ce CV est une donnée dérivée, tout aussi protégée. Les principes clés sont :

• Licéité : le traitement doit reposer sur une base légale, un intérêt prépondérant ou le consentement. Dans le recrutement, la base habituelle est l'intérêt prépondérant de l'employeur (art. 31 al. 1 nLPD). Mais cet intérêt cesse d'être prépondérant dès que le traitement automatisé produit des décisions ayant un effet juridique ou significativement similaire sur le candidat.
• Proportionnalité et finalité : les données ne peuvent être traitées qu'à la finalité déclarée. Utiliser un outil de scoring qui, par effet de bord, analyse le réseau social LinkedIn ou déduit des données sensibles (état de santé, origine, convictions religieuses) dépasse la finalité d'une simple sélection de CV.
• Données sensibles : l'art. 5 let. c nLPD liste les données sensibles — dont l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses, la santé, la vie sexuelle. Tout scoring qui infère ou pondère ces éléments, même indirectement, requiert un consentement exprès ou une autre base légale spécifique.

Décisions entièrement automatisées : le droit d'explication

L'art. 21 nLPD introduit un droit spécifique : lorsqu'une décision est prise exclusivement sur la base d'un traitement automatisé et produit des effets juridiques ou des effets significatifs sur la personne concernée, celle-ci peut demander qu'un être humain revoie la décision. L'employeur doit alors informer le candidat de cette possibilité et y donner suite dans un délai raisonnable. Dans un contexte de recrutement, un refus de candidature basé uniquement sur un score IA — sans aucune validation humaine — constitue précisément ce type de décision. L'obligation de l'employeur est double : informer (généralement dans la politique de confidentialité ou lors de la collecte des données) et agir si le candidat réclame une révision humaine.

Obligation de déclaration et registre des activités de traitement

Les PME de plus de 250 employés ont l'obligation formelle de tenir un registre des activités de traitement (art. 12 nLPD). En dessous de ce seuil — ce qui couvre la quasi-totalité des entreprises visées ici — l'obligation ne s'applique pas, sauf si le traitement présente des risques élevés pour les droits fondamentaux des personnes. Le scoring de candidats par IA, par nature automatisé et potentiellement discriminant, entre souvent dans cette catégorie de risque élevé. Tenir un registre même sans obligation formelle constitue une bonne pratique qui protège l'employeur en cas de contestation.

Code des obligations et contrat de travail : obligations précontractuelles

La relation de travail naît avec le contrat, mais le droit suisse protège aussi la phase précontractuelle. L'art. 328 CO, qui impose à l'employeur de protéger la personnalité du travailleur, est interprété par le Tribunal fédéral comme s'appliquant dès les premières interactions — y compris le processus de sélection. Une candidature traitée via un algorithme qui produit un score fondé sur des critères discriminatoires porte atteinte à la personnalité du candidat et peut fonder une action en dommages-intérêts, même en l'absence de contrat signé.

Par ailleurs, l'art. 340 CO (sur les clauses de non-concurrence) et, plus généralement, les règles sur les informations que l'employeur peut collecter limitent les questions autorisées lors de l'embauche. Un outil d'IA qui extrait des données non pertinentes — situation familiale, religion, données de santé inférées — dépasse ces limites, même si l'employeur ne les a pas expressément demandées. La responsabilité reste chez l'utilisateur de l'outil, pas chez son éditeur.

Loi sur l'égalité et non-discrimination : les risques de biais algorithmiques

Discrimination directe et indirecte

La loi fédérale sur l'égalité entre femmes et hommes (LEg) interdit toute discrimination fondée sur le sexe dans le recrutement. Un outil d'IA entraîné sur des données historiques peut perpétuer des biais existants : si, historiquement, les postes techniques d'une entreprise étaient occupés à 90 % par des hommes, l'algorithme peut apprendre à valoriser des signaux corrélés au genre masculin (formulation du CV, type d'établissement de formation, lacunes de carrière associées aux congés maternité). Ce biais ne constitue pas une discrimination directe — il n'y a pas d'intention déclarée — mais il peut constituer une discrimination indirecte au sens de l'art. 3 LEg, qui est tout aussi actionnable.

La discrimination indirecte est définie comme une mesure apparemment neutre qui désavantage de manière disproportionnée l'un des sexes sans justification objective. Un algorithme de scoring peut remplir tous les critères de cette définition. La charge de la preuve est allégée pour la victime en matière d'égalité : il suffit de rendre la discrimination vraisemblable, non de la prouver. Un écart statistique significatif dans les scores attribués selon le genre peut suffire.

Autres critères de discrimination

Au-delà du genre, la Constitution fédérale (art. 8 Cst.) interdit la discrimination fondée sur l'origine, la race, la langue, la situation sociale, le mode de vie, les convictions religieuses ou politiques, ou une déficience corporelle, mentale ou psychique. Ces protections s'appliquent directement aux rapports entre particuliers dans certains cas et orientent l'interprétation des lois civiles. Un outil qui pénalise systématiquement les candidats portant des prénoms à consonance étrangère — phénomène documenté dans plusieurs études européennes — crée un risque réel même en Suisse, où la jurisprudence sur la discrimination à l'embauche reste moins développée qu'en France ou en Allemagne, mais évolue.

Ce que l'IA peut légalement faire dans le recrutement

L'IA n'est pas bannie du processus de recrutement suisse. Voici ce qui est légalement défendable, à condition de respecter les principes nLPD :

• Tri sur critères objectifs et déclarés : filtrer automatiquement les candidatures selon des critères non-discriminatoires préalablement définis (diplôme requis, langue, permis de travail, expérience minimale en années), à condition qu'un humain valide l'étape suivante.
• Aide à la structuration des entretiens : générer des grilles de questions, homogénéiser les critères d'évaluation entre plusieurs recruteurs pour réduire les biais humains.
• Analyse de texte limitative : identifier des mots-clés de compétences dans un CV, à condition que ces mots-clés soient directement liés au poste et documentés dans le cahier des charges.
• Validation humaine obligatoire : toute décision d'exclusion d'un candidat doit être revue et validée par une personne physique identifiée. C'est la ligne rouge imposée par l'art. 21 nLPD.

Ce qui est problématique, même sans l'interdire formellement : les scores de personnalité inférés depuis des données textuelles (analyse de style d'écriture), l'évaluation vidéo automatisée (micro-expressions, tonalité de voix), et tout traitement de données issues de réseaux sociaux sans consentement explicite du candidat. Ces pratiques ne sont pas encore formellement interdites par une loi suisse spécifique à l'IA — la Suisse n'a pas d'équivalent de l'AI Act européen — mais elles heurtent frontalement les principes de la nLPD et créent un risque juridique élevé.

Cas pratique : Menuiserie Rochat SA, Yverdon-les-Bains, 18 employés

Situation : en mars 2024, la menuiserie Rochat SA cherche un contremaître d'atelier. Marc Rochat, directeur, reçoit 87 candidatures via un portail d'emploi et utilise un outil de scoring IA intégré à la plateforme (score sur 100 basé sur CV + lettre de motivation). Il élimine automatiquement les 52 candidats en dessous de 60 points sans les lire.

Parmi les éliminés : Fatima Boukhalfa, 34 ans, 10 ans d'expérience en menuiserie industrielle, score de 54 — pénalisée par l'algorithme car son diplôme marocain n'est pas reconnu dans la base de données de l'outil, et car elle a eu une lacune de 14 mois (congé maternité non identifié comme tel). Et Stefan Brügger, 52 ans, score de 58 — pénalisé par un biais d'âge non documenté dans les pondérations de l'outil.

Ce qui est illicite dans ce scénario :

1. Aucune politique de confidentialité ne mentionne l'usage d'un outil de scoring IA — violation de l'obligation d'information de la nLPD (art. 19).
2. Aucun être humain n'a examiné les 52 dossiers rejetés — violation de l'art. 21 nLPD (décision entièrement automatisée).
3. La lacune de Fatima liée à la maternité constitue potentiellement une discrimination indirecte fondée sur le sexe (art. 3 LEg).
4. Marc Rochat n'a pas audité les critères de pondération de l'outil — il est donc incapable de démontrer l'absence de discrimination si Fatima conteste.

Procédure corrective recommandée :

1. Mettre à jour la politique de confidentialité du site carrière pour mentionner explicitement l'usage d'outils de scoring automatisés, les données traitées, et le droit de révision humaine.
2. Définir les critères de scoring dans un document interne avant tout lancement de campagne (cahier des charges du poste traduit en paramètres objectifs).
3. Fixer un seuil d'intervention humaine systématique : tout candidat entre 50 et 70 points est relu par le responsable RH ou le dirigeant.
4. Conserver les logs de l'outil (scores, critères, version de l'algorithme utilisée) pendant 10 ans — délai de prescription de l'action en discrimination (art. 128 CO pour les créances contractuelles, référence utile même en contexte précontractuel).
5. En cas de contestation par un candidat : lui communiquer les critères utilisés dans un délai de 30 jours, conformément au droit d'accès (art. 25 nLPD).

Coût potentiel d'un litige : une action en dommages-intérêts fondée sur la LEg peut déboucher sur une indemnité allant jusqu'à 6 mois de salaire du poste concerné (art. 5 al. 2 LEg). Pour un contremaître à CHF 7 500/mois, cela représente jusqu'à CHF 45 000 — sans compter les frais de procédure si l'affaire va au Tribunal des prud'hommes.

Récapitulatif opérationnel

• Avant tout déploiement d'un outil de scoring IA : documenter les critères de pondération et leur lien direct avec les exigences du poste. Ce document doit être conservé.
• Mettre à jour la politique de confidentialité du site carrière ou de toute plateforme de dépôt de candidature pour mentionner explicitement le traitement automatisé et le droit de révision humaine (art. 19 et 21 nLPD).
• Exiger qu'un humain identifié valide chaque décision d'exclusion — le scoring ne peut servir qu'à prioriser la lecture, pas à remplacer la décision.
• Exclure explicitement des paramètres de scoring toute donnée sensible au sens de l'art. 5 let. c nLPD : origine, religion, santé, situation familiale, genre.
• Tester l'outil sur un échantillon de candidatures historiques pour détecter des biais statistiques par genre, âge ou origine avant tout usage opérationnel.
• Tenir un registre interne des outils IA utilisés dans le recrutement : nom de l'outil, version, dates d'utilisation, critères paramétrés, responsable RH désigné.
• Si un candidat demande une révision humaine ou l'accès à son score : répondre dans un délai de 30 jours avec les éléments demandés (art. 25 nLPD).
• Vérifier que le contrat avec l'éditeur de l'outil comporte une clause de sous-traitance de traitement de données conforme à la nLPD — l'éditeur est un sous-traitant, la responsabilité reste chez l'employeur.
• Consulter le Préposé fédéral à la protection des données et à la transparence (PFPDT) en cas de doute sur la licéité d'un outil spécifique — il publie des recommandations pratiques et peut être consulté à titre préventif.

Un outil comme SynHR permet de centraliser la gestion RH et de documenter les étapes de recrutement, créant ainsi la traçabilité nécessaire en cas de contestation.

Sources

• Loi fédérale sur la protection des données (nLPD, RS 235.1) — fedlex.admin.ch — Texte consolidé de la nLPD en vigueur depuis le 01.09.2023, incluant les art. 19, 21 et 25 sur les décisions automatisées et le droit d'accès.
• Loi fédérale sur l'égalité entre femmes et hommes (LEg, RS 151.1) — fedlex.admin.ch — Art. 3 (interdiction de discrimination) et art. 5 (sanctions, indemnité jusqu'à 6 mois de salaire).
• Préposé fédéral à la protection des données et à la transparence (PFPDT) — Recommandations, prises de position et guides pratiques sur la nLPD, dont les traitements automatisés de données personnelles.
• Secrétariat d'État à l'économie (SECO) — Informations sur le droit du travail suisse, les conditions d'embauche et les obligations de l'employeur en matière de protection de la personnalité (art. 328 CO).
• Code des obligations (CO, RS 220) — fedlex.admin.ch — Art. 328 (protection de la personnalité) et dispositions sur les obligations précontractuelles de l'employeur.