Vous déposez votre CV sur un outil d'IA qui affiche « conforme RGPD ». La société est française ou européenne, la mention est bien visible, vous passez à la suite. Regardez l'infrastructure et vous trouverez souvent OpenAI, AWS us-east-1, Azure West US. L'entreprise est en Europe. Vos données, non.
Ce que « conforme RGPD » couvre, et ce qu'il ne dit pas
La conformité recouvre deux choses très différentes qu'il est facile de confondre. La première est organisationnelle : contrat de sous-traitance, politique de confidentialité, DPO désigné, procédure de notification en cas de violation. La plupart des acteurs s'en acquittent.
La seconde est plus exigeante : le transfert des données lui-même. Les articles 44 à 49 du RGPD encadrent la sortie de données personnelles hors de l'Union. Quand une société européenne envoie votre CV à un modèle hébergé en Virginie, elle déclenche un transfert transfrontalier. Sa licéité dépend des clauses contractuelles types signées avec le sous-traitant. Savoir si c'est ce à quoi vous consentiez est une autre question.
Le problème pratique est là : la mention figure presque toujours dans la politique de confidentialité, à la rubrique des sous-traitants ultérieurs. Personne ne la lit.
Comment vérifier en deux minutes
Sur n'importe quel outil, cherchez la page « politique de confidentialité » puis la liste des sous-traitants. Les noms qui comptent sont ceux des fournisseurs de modèles et d'hébergement : OpenAI, Anthropic, Google, Amazon Web Services, Microsoft Azure. Si l'un d'eux apparaît sans mention explicite d'une région européenne, votre CV sort de l'Union. Une entreprise immatriculée à Paris qui appelle un modèle américain reste une entreprise française, mais vos données, elles, ont voyagé.
Second réflexe : cherchez le pays d'hébergement. « Serveurs en Europe » ne dit rien du modèle qui traite le texte. Ce sont deux couches distinctes, et c'est le modèle qui lit votre CV.
Pourquoi un CV est un document particulièrement sensible
Un CV concentre une densité inhabituelle de données personnelles : identité complète, coordonnées, ville de résidence, historique d'emploi daté avec les noms des employeurs, formation, souvent des éléments permettant de déduire l'âge, parfois des informations familiales ou de santé dans la lettre de motivation.
Pour un cadre qui postule dans un secteur régulé, banque, assurance, santé, défense, l'historique d'emploi lui-même peut être sensible : les entreprises servies, les postes occupés, les projets menés. Tout cela figure dans le fichier que vous déposez sur un service tiers.
La CNIL rappelle régulièrement que les données de candidature relèvent d'une finalité précise et d'une durée de conservation limitée. Un outil qui envoie votre CV à un modèle américain pour l'analyser ne viole pas nécessairement ce principe, mais il allonge la chaîne, et chaque maillon supplémentaire est un maillon que vous ne contrôlez plus.
Le règlement européen sur l'IA ajoute une couche
Entré en vigueur en août 2024, il classe les systèmes d'IA utilisés dans l'emploi et le recrutement comme à haut risque. Cette qualification impose des obligations de transparence, de documentation et de supervision humaine. Les outils qui analysent des CV ou notent des candidats entrent pleinement dans cette catégorie. Recourir à un modèle non européen ne rend pas automatiquement non conforme, mais complique la chaîne de responsabilité le jour où quelque chose se passe mal.
Ce que souveraineté veut dire concrètement
Souverain ne désigne pas l'adresse du siège social, mais chaque couche de la chaîne technique. Pour Job-Agent :
Le modèle : Mistral Small, conçu par Mistral AI, société française fondée à Paris en 2023. L'inférence tourne sur Scaleway Generative APIs, dans des centres de données français. Le modèle relève du droit français et européen, sans dépendance à une infrastructure cloud américaine.
L'infrastructure : Scaleway, hébergeur français opérant uniquement en régions européennes. Base de données de production, stockage objet et conteneurs sont à Paris.
Résultat : quand vous déposez un CV et une annonce, l'analyse complète, lecture de l'offre, évaluation du profil, réécriture du CV, se déroule dans l'Union. Vos données ne sortent pas.
Ce que cela nous coûte, honnêtement
Mistral Small est un modèle de 24 milliards de paramètres, pas de 200 milliards. Obtenir des résultats fiables demande davantage de travail : un pipeline en plusieurs appels, des consignes très contraintes, et surtout des vérifications déterministes écrites en code plutôt que confiées au modèle. C'est un choix d'ingénierie plus lourd, assumé.
La raison est simple : nos utilisateurs sont majoritairement des professionnels européens qui postulent à des postes européens, et faire transiter leurs CV par une infrastructure américaine parce qu'un modèle américain s'intègre un peu plus vite nous semblait le mauvais arbitrage.
À qui cela s'adresse
Si vous postulez en Europe et que la destination de vos données vous importe, ou si votre employeur actuel encadre les outils que vous avez le droit d'utiliser, la question mérite d'être posée à chaque service auquel vous confiez un CV. Pas seulement au nôtre.
Nous ne sommes pas la seule option pour adapter un CV avec de l'IA. Nous sommes probablement la seule où le modèle, l'inférence et la base de données sont tous les trois en Europe.