Risques juridiques inhérents aux outils de recrutement automatisés au Canada

Risques juridiques inhérents aux outils de recrutement automatisés au Canada

Le 5 juillet 2023, la nouvelle loi de l’État de New York régissant les outils de prise de décision automatisée en matière d’emploi (la « loi régionale 144 ») est entrée en vigueur. Elle oblige notamment les employeurs qui ont recours à ces outils à en aviser les employés et les candidats et à réaliser des audits de résultats biaisés[1].

Certains clients nous ont demandé de l’information sur la réglementation visant les outils de recrutement automatisés au Canada. Le présent bulletin donne un aperçu des avantages et inconvénients liés à l’utilisation de ces outils, et inclut un résumé de deux textes de loi qui pourraient avoir une incidence importante sur l’utilisation des outils de recrutement automatisés (la loi 25 du Québec[2] et le projet de loi C-27[3]).

Qu’est-ce qu’un outil de recrutement automatisé et pourquoi est-ce si attrayant?

Dans le présent bulletin, le terme « outil de recrutement automatisé » s’entend de tout outil d’aide à la prise de décision d’embauche, même si l’entrevue d’embauche est réalisée par un humain. Il existe toute une panoplie d’outils de recrutement automatisés, chacun laissant une place plus ou moins grande à l’intervention humaine. Par exemple :

• L’outil peut se fonder sur des algorithmes pour déterminer l’emplacement opportun où publier une offre d’emploi, ce qui peut avoir une incidence sur le bassin de candidats.
• Les outils de vérification préliminaire des curriculum vitæ permettent d’éliminer ceux qui ne respectent pas certaines exigences ou conditions.
• Les systèmes intelligents de suivi des candidats analysent le contenu des demandes d’emploi afin d’évaluer quel pourrait être le rendement d’un candidat au poste en fonction de mots-clés, de données sur ses antécédents professionnels ou d’algorithmes.
• Les outils d’entrevue par vidéo axés sur l’IA se targuent de pouvoir évaluer les candidats grâce à l’analyse de l’expression du visage.

Les deux principales raisons qui poussent les employeurs à se munir d’outils de recrutement automatisés : gagner en efficience et réduire les partis pris.

C’est particulièrement vrai dans les industries où il y a peu d’obstacles à l’entrée, alors que les entreprises peuvent recevoir des centaines, voire des milliers d’offres d’emploi, et que l’équipe de recrutement est incapable de passer en revue cette avalanche de demandes d’emploi. Certaines sources pensent que le volume de demandes continuera d’augmenter, les candidats étant de plus en plus nombreux à utiliser des outils d’IA générative gratuits comme ChatGPT, qui facilitent la rédaction de lettres de motivation ou de curriculum vitæ[4]. Les outils de recrutement automatisés permettent de réduire les coûts et d’écarter les méthodes arbitraires de priorisation des candidats (p. ex., la date de la demande ou la première lettre du nom du candidat). En principe, ces outils peuvent classer les candidats de façon à ce que les meilleurs candidats se retrouvent en tête de liste.

Lorsqu’ils sont correctement gérés, les outils de recrutement automatisés permettent également de réduire les partis pris et d’obtenir de meilleurs résultats d’embauche. La recherche a démontré que les décisions en matière d’embauche prises par un humain sont souvent teintées de partis pris inconscients[5]. Les outils de recrutement automatisés peuvent contribuer à réduire ces partis pris (encore que, comme nous le verrons plus loin, l’automatisation puisse créer ou renforcer les partis pris si elle est mal gérée).

Risques liés aux outils de recrutement automatisés

Bien qu’ils présentent de réels avantages, les outils de recrutement automatisés peuvent également soulever des risques juridiques. Par exemple :

• Les lois sur la protection de la vie privée s’appliquent à l’utilisation de cette technologie si les systèmes traitent des renseignements personnels.
• Les lois sur les droits de la personne s’appliquent dans la mesure où l’utilisation des systèmes peut donner lieu à de la discrimination.
• Au Canada, des dispositions législatives régissent les outils de prise de décision automatisée; elles ont été adoptées avec la loi 25 du Québec et elles entreront en vigueur le 22 septembre 2023.
• La Loi sur la protection de la vie privée des consommateurs en sa version actuelle (« LPVPC»), un volet du projet de loi C-27 actuellement à l’étude au Parlement, impose des exigences supplémentaires concernant les outils de prise de décision, de prédiction ou de recommandation automatisés[6].
• Enfin, la Loi sur l’intelligence artificielle et les données (la « LIAD»), un autre volet du projet de loi C-27, peut s’appliquer aux outils de recrutement automatisés si ces outils correspondent à la définition de « système d’IA ». Dans un précédent bulletin, nous vous avons présenté les dates d’entrée en vigueur des différents volets de la LIAD.

Les outils de recrutement automatisés peuvent créer des obligations au titre des lois sur la protection de la vie privée

Au Canada, lorsque les lois sur la protection de la vie privée s’appliquent à la relation d’emploi, l’employeur doit veiller à les respecter s’il utilise des outils de recrutement automatisés[7]. Ainsi, il doit obtenir un consentement valide, le cas échéant, protéger les renseignements personnels par des mécanismes appropriés et restreindre la collecte, l’utilisation et la communication des renseignements personnels aux fins pertinentes.

En règle générale, les lois canadiennes sur la protection de la vie privée obligent les organisations à obtenir le consentement de la personne concernée avant de recueillir, d’utiliser ou de communiquer ses renseignements personnels. L’analyse du contenu d’une demande d’emploi au moyen d’un outil de recrutement automatisé exigerait très certainement le consentement du demandeur. En outre, l’organisme québécois de réglementation de la vie privée a déjà jugé que l’utilisation d’un système de prédiction algorithmique visant à attribuer une « note » à une personne constituait une nouvelle collecte de renseignements personnels, qui nécessitait un nouveau consentement[8].

La Loi sur la protection des renseignements personnels et les documents électroniques (« LPRPDE ») et d’autres lois relativement semblables de la Colombie-Britannique et de l’Alberta prévoient certaines exceptions à l’obligation d’obtenir le consentement de la personne concernée pour toute collecte, utilisation ou communication de renseignements personnels raisonnable (« nécessaire » dans la LPRPDE) en vue d’établir ou de gérer la relation d’emploi ou d’y mettre fin. L’utilisation d’un outil de recrutement automatisé pour évaluer un candidat serait-elle raisonnable ou nécessaire aux fins d’établir la relation d’emploi? La réponse dépendra sans doute du contexte. Cependant, l’utilisation de la demande d’emploi d’un candidat donné dans le but d’entraîner un système automatisé en vue de son utilisation ultérieure échapperait certainement à ces exceptions et exigerait le consentement du candidat en question.

Les outils de recrutement automatisés soulèvent un risque de violation des lois sur les droits de la personne

L’un des risques importants associés aux outils de recrutement automatisés est celui des partis pris et de la discrimination biaisant les résultats. Non seulement les partis pris nuisent parfois aux décisions d’embauche, mais ils peuvent aussi engager la responsabilité de l’employeur si ce dernier contrevient aux lois sur les droits de la personne, qui interdisent la discrimination en emploi fondée sur certains motifs protégés comme la race, l’origine ethnique, l’identité de genre, l’âge, etc.

La qualité des outils de recrutement automatisés dépend entièrement de l’ensemble de données ayant servi à les entraîner. Si les données d’entraînement sous-jacentes comportent des éléments biaisés, les résultats peuvent être d’autant plus biaisés. Par exemple, un système entraîné à l’aide de données tirées des demandes d’emploi d’anciens candidats retenus pourrait favoriser le groupe démographique qui est surreprésenté dans le milieu de travail. Ce résultat biaisé pourrait être difficile à déceler, car l’outil de recrutement automatique peut aussi trouver d’autres renseignements identifiant indirectement le groupe démographique. Par exemple, un algorithme fondé sur un apprentissage machine pourrait donner la priorité à certains candidats en fonction de leur lieu de résidence (données identifiant indirectement le groupe culturel ou racial des candidats), ou de leur choix de langue (qui peut être indirectement lié au genre ou au bagage culturel).

Si la formule de prise de décision sous-jacente est trop complexe ou difficile à cerner, comme dans le cas des modèles d’IA complexes (« boîte noire »), seul un audit réalisé par des professionnels permettra d’évaluer les résultats biaisés du modèle.

Les employeurs qui prennent des décisions d’embauche et d’emploi défavorables en se fondant, ne serait-ce qu’un peu, sur des motifs protégés pourront difficilement échapper à leur responsabilité en rejetant le blâme sur la personne qui a développé leur outil de recrutement automatisé. Ils doivent donc impérativement s’assurer que leurs outils de recrutement automatisés sont scrupuleusement évalués à intervalles réguliers.

Les lois à venir en matière de transparence pourraient s’appliquer aux outils de recrutement automatisés

Le problème de la transparence se fera de plus en plus sentir au fur et à mesure qu’entreront en vigueur les nouvelles lois sur la protection de la vie privée, et plus particulièrement les obligations de transparence de l’article 12.1 de la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (la « LPRPSP (Québec) ») (qui entre en vigueur le 22 septembre 2023), et les articles 62 et 63 de la LPVPC projetée, actuellement à l’étude au Parlement.

Article 12.1 de la LPRPSP (Québec) (22 septembre 2023)

Quand l’article 12.1 entrera en vigueur, les employeurs de la province qui utilisent des renseignements personnels pour rendre une décision fondée exclusivement sur un traitement automatisé de ceux-ci devront en informer la personne concernée au plus tard au moment où ils l’informent de cette décision. Ils devront aussi, à la demande de la personne concernée, l’informer :

1. des renseignements personnels utilisés pour rendre la décision;
2. des raisons, ainsi que des principaux facteurs et paramètres, ayant mené à la décision;
3. de son droit de faire rectifier les renseignements personnels utilisés pour rendre la décision[9].

Il doit être donné à la personne concernée l’occasion de présenter ses observations à un membre du personnel de l’entreprise en mesure de réviser la décision.

Précisons que seules les décisions qui reposent entièrement sur un traitement automatisé sont assujetties à ces exigences. Si un être humain participe au processus décisionnel de façon significative, les exigences ne s’appliquent pas.

Reste à savoir si cette obligation d’information s’appliquera lorsqu’un employeur écarte une demande d’emploi sans en informer le candidat. Si l’on s’en tient strictement au libellé de la loi, tant que la personne concernée n’est pas informée de la décision d’écarter sa candidature, l’obligation d’information n’entre pas en jeu.

Articles 62 et 63 de la Loi sur la protection de la vie privée des consommateurs

Précisons d’emblée que la LPVPC ne s’appliquera qu’à certaines catégories de relations d’emploi. Comme la LPRPDE (la loi qu’elle remplacerait), la LPVPC ne s’appliquerait qu’aux candidats à un poste auprès d’un employeur sous réglementation fédérale et aux entrepreneurs indépendants dans les provinces où il n’existe aucune loi essentiellement semblable[10].

Dans la version actuelle de la LPVPC, un « système décisionnel automatisé » s’entend d’une technologie utilisant des systèmes basés sur des règles, l’analyse de régression, l’analytique prédictive, l’apprentissage automatique, l’apprentissage profond, des réseaux neuronaux ou d’autres techniques afin d’appuyer ou de remplacer le jugement de décideurs humains[11]. Si le projet de loi C-27 est adopté dans sa version actuelle, l’article 62 de la LPVPC obligera les organisations à rendre facilement accessibles des renseignements expliquant comment elles utilisent les systèmes décisionnels automatisés pour faire des prédictions, formuler des recommandations ou prendre des décisions visant des personnes concernées lorsqu’elles peuvent avoir une incidence importante sur ces dernières[12].

De plus, si une organisation utilise un tel système à ces fins et que la personne concernée en subit les conséquences, elle doit, à la demande de cette personne, fournir une explication de sa décision[13]. L’explication doit inclure :

1. les types de renseignements personnels ayant servi à faire la prédiction, à formuler la recommandation ou à prendre la décision;
2. la source des renseignements personnels;
3. les motifs ou les principaux facteurs sur lesquels s’appuie la prédiction, la recommandation ou la décision.

Les exigences de la LPVPC sont nettement différentes de celles énoncées à l’article 12.1 de la LPRPSP (Québec). Premièrement, le champ d’application de la LPVPC est plus large, puisqu’elle s’applique aux outils de recrutement automatisés qui remplacent ou aident les décideurs humains, et outre les décisions, elle englobe également les prédictions et les recommandations. Elle s’applique donc aux outils de recrutement automatisés même lorsqu’un être humain fait partie de l’équation.

Elle a toutefois un champ d’application plus limité que l’article 12.1 de la LPRPSP (Québec), puisqu’elle s’applique seulement à l’utilisation de systèmes décisionnels automatisés qui ont une incidence importante sur les personnes concernées. Le terme « incidence importante » n’est pas défini, mais il est difficile de concevoir une incidence plus importante que celle d’une décision portant sur l’emploi d’une personne; cette restriction ne devrait donc pas changer grand-chose à la façon dont les lois s’appliquent aux outils de recrutement automatisés.

De plus, contrairement à l’article 12.1 de la LPRPSP (Québec), qui oblige les employeurs à notifier les candidats personnellement, la LPVPC les obligerait à communiquer des renseignements généraux au public; par contre, il incomberait aux candidats et aux employés de demander des renseignements supplémentaires précisant si l’employeur a utilisé des systèmes décisionnels automatisés à leur égard. La LPVPC se démarque de l’article 12.1 de la LPRPSP (Québec) sur un autre aspect : elle ne confère pas aux personnes concernées le droit de demander un réexamen de la décision (ou de la prédiction ou recommandation).

Les outils de recrutement automatisés pourraient constituer un « risque élevé » au sens de la LIAD

Si la LIAD est adoptée sous sa forme actuelle, elle pourrait imposer d’importantes obligations aux employeurs qui utilisent des outils de recrutement automatisés, si ces outils correspondent à la définition de « système d’IA » de la LIAD[14].

Comme nous le soulignons dans notre bulletin sur le sujet, le document complémentaire d’ISDE sur la LIAD indique que le gouvernement a plus particulièrement à l’œil les « systèmes de présélection qui ont une incidence sur l’accès aux services ou à l’emploi ». Si l’on tient compte de l’incidence grave, du manque de levier économique des personnes concernées et de l’impossibilité pour elles de se retirer du système, les systèmes d’IA utilisés dans le processus de recrutement pourraient bien constituer des systèmes à « incidence élevée » au sens où ce terme est utilisé dans la LIAD, ce qui les assujettirait à une kyrielle d’exigences (qui restent à définir) en matière de surveillance et de supervision humaine, de transparence, de justice et d’équité, de sécurité, de responsabilité et de validité et robustesse[15].

Reste à savoir si la LIAD s’appliquera aux relations d’emploi, étant donné la répartition des pouvoirs entre les gouvernements fédéral et provinciaux et le libellé même de la LIAD. Les exigences de la LIAD concernent pour la plupart les échanges commerciaux et le commerce international ou interprovincial. Selon toute évidence, la LIAD s’appliquera donc au développement commercial et à la vente de systèmes d’IA spécialisés en emploi, mais sa portée sera-t-elle assez large pour inclure l’utilisation de ces systèmes par l’employeur?

Points à retenir

Les outils de recrutement automatisés comportent des avantages et des risques pour les employeurs canadiens. Ils offrent la possibilité de gagner en efficience et de réduire les résultats biaisés dans le processus de recrutement, mais ils peuvent aussi poser des risques de violation du droit à la vie privée et des droits de la personne. Les employeurs doivent donc impérativement respecter les lois sur la protection de la vie privée, obtenir les consentements nécessaires et atténuer le risque de discrimination en faisant réaliser les audits et les examens judiciaires qui s’imposent.

Les nouvelles lois en matière de transparence, comme l’article 12.1 de la LPRPSP (Québec) et les articles 62 et 63 de la LPVPC projetée, imposeront des exigences supplémentaires aux employeurs qui ont recours aux outils de recrutement automatisés. De plus, la LIAD pourrait imposer d’autres obligations associées à l’utilisation des outils de recrutement automatisés. La violation de ces nouvelles lois pourrait ouvrir la porte à un litige, à une enquête réglementaire, à une atteinte à la réputation et à des sanctions administratives pécuniaires ou des amendes. Il est recommandé aux employeurs de suivre de près l’actualité juridique et d’évaluer l’incidence que pourraient avoir ces outils sur leurs pratiques de recrutement.

Si votre entreprise développe ou utilise des outils de recrutement automatisés, les équipes Technologies et Droit de l’emploi de McMillan pourront vous aider à évaluer et à minimiser vos risques juridiques.

[1] Simone R.D. Francis et Zachary V. Zagger, « New York City Adopts Final Rules on Automated Decision-making Tools, AI in Hiring » (avril 2023) National Law Review, disponible ici.
[2] Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, LQ 2021, c 25. [Loi 25]
[3] Projet de loi C-27, Loi édictant la Loi sur la protection de la vie privée des consommateurs, la Loi sur le Tribunal de la protection des renseignements personnels et des données et la Loi sur l’intelligence artificielle et les données et apportant des modifications corrélatives et connexes à d’autres lois, connu sous le titre abrégé Loi de 2022 sur la mise en œuvre de la Charte du numérique. [Projet de loi C-27]
[4] Voir par exemple Morgan Smith, « ChatGPT can help you write a standout CV in seconds, job experts say: It’s ‘the ultimate resume-writing cheat code’ » (22 mars 2023), CNBC, en ligne ici.
[5] Truc Ngyuyen, « What’s in a name? We talk to experts about racial bias in hiring and how to work to change it » (13 septembre 2018), CBC, en ligne ici.
[6] Projet de loi du gouvernement (Chambre des communes) C-27 (44-1), première lecture (16 juin 2022), partie 1, Loi sur la protection de la vie privée des consommateurs, disponible ici. [CPPA]
[7] À l’heure actuelle, les employés sous réglementation fédérale, les entrepreneurs indépendants et les employés en Colombie-Britannique, en Alberta et au Québec sont assujettis aux lois sur la protection de la vie privée dans le secteur privé, quoique les principes de la protection de la vie privée s’appliquent aussi aux relations d’emploi dans les autres provinces sous le régime des délits en matière de protection de la vie privée (par exemple, voir les bulletins de McMillan sur le délit en matière de présentation trompeuse et le délit d’intrusion dans l’intimité).
[8] Centre de services scolaire du Val-des-Cerfs (anciennement Commission scolaire du Val-des-Cerfs), Commission d’accès à l’information du Québec, 1020040-S, disponible ici.
[9] LPRPSP (Québec), art 12.1, promulgué par la loi 25 (entrée en vigueur le 22 septembre 2023).
[10] LPVPC, art 6.
[11] LPVPC, art 2.
[12] LPVPC, art 62.
[13] LPVPC, art 63(3).
[14] Défini ainsi dans la loi : « Système technologique qui, de manière autonome ou partiellement autonome, traite des données liées à l’activité humaine par l’utilisation d’algorithmes génétiques, de réseaux neuronaux, d’apprentissage automatique ou d’autres techniques pour générer du contenu, faire des prédictions ou des recommandations ou prendre des décisions » : Projet de loi C-27 au 24 avril 2023, partie 3, art 2, « système d’intelligence artificielle », disponible ici.
[15] Innovation, Sciences et Développement économique Canada, Loi sur l’intelligence artificielle et les données (LIAD) – Document complémentaire (13 mars 2023), accessible ici.

par Robbie Grant, Ioana Pantis et David Adjei (étudiant d’été en droit)

Mise en garde

Le contenu du présent document ne fournit qu’un aperçu du sujet et ne saurait en aucun cas être interprété comme des conseils juridiques. Le lecteur ne doit pas se fonder uniquement sur ce document pour prendre une décision, mais devrait plutôt obtenir des conseils juridiques précis.

© McMillan S.E.N.C.R.L., s.r.l. 2023