IA en recrutement : la FPF et LinkedIn, Workday, UKG actualisent leur référentiel de risque

La Future of Privacy Forum (FPF) et cinq éditeurs RH de premier plan — Dayforce, LinkedIn, UKG, Workday et Beamery — ont publié le 5 août 2026 une version actualisée de leurs bonnes pratiques pour l'IA dans le recrutement et l'emploi. Trois ans après le référentiel fondateur de 2023, le document introduit un véritable cadre d'évaluation des risques taillé pour l'IA générative et agentique. Pour les organisations qui déploient ces outils en Europe, la grille de lecture recoupe largement les logiques déjà à l'œuvre dans l'AI Act et le RGPD.

Ce qui s'est passé

Le premier référentiel FPF de 2023 posait quatre piliers pour l'IA en contexte professionnel : non-discrimination, transparence, sécurité des données et supervision humaine. Trois ans plus tard, le groupe de travail constate que ces principes ne suffisent plus face à des systèmes agentiques capables d'exécuter des workflows multi-étapes avec des degrés d'autonomie variables — présélection de candidats, génération de questions d'entretien, évaluation de performance.

La mise à jour abandonne l'idée d'un usage RH « à risque faible » ou « à risque élevé » de façon binaire. Elle propose à la place une échelle de vigilance construite sur quatre facteurs qui font monter le niveau de risque : la sensibilité des données traitées et des inférences produites, le degré d'autonomie du système, sa proximité avec la décision finale, et la gravité de l'impact sur la personne concernée (un licenciement pèse plus lourd qu'une simple présélection). Aucun facteur n'est déterminant isolément — c'est leur combinaison qui doit guider le niveau de garde-fous à mettre en place.

Pourquoi c'est important pour les DPO européens

Ce référentiel n'a aucune valeur contraignante en Europe : c'est un document d'origine américaine, construit autour du NIST AI Risk Management Framework, de l'ISO/IEC 42001 et 42005. Mais son architecture — cartographie des systèmes, évaluation graduée du risque, responsabilités partagées entre développeurs et déployeurs — est structurellement proche de ce qu'impose déjà le RGPD via son article 22 sur les décisions individuelles automatisées, et de ce que l'AI Act formalise pour les systèmes RH classés à haut risque (annexe III).

Cette convergence n'est pas un hasard de calendrier. Les autorités européennes travaillent le même sujet depuis plusieurs mois : l'EDPS et l'EDPB ont consacré une conférence entière à l'embauche algorithmique, et l'ICO britannique a publié un rapport sévère sur le manque de contrôle humain réel dans les décisions automatisées en recrutement. Le référentiel FPF ne remplace aucune de ces obligations réglementaires, mais il donne aux équipes RH et juridiques un vocabulaire commun avec leurs fournisseurs — plusieurs des signataires (LinkedIn, Workday, UKG) équipent directement des entreprises françaises.

Ce que ça change concrètement pour les organisations

Pour un DPO ou un responsable conformité qui pilote des outils RH assistés par IA, trois réflexes découlent directement de cette publication :

Cartographier avant d'évaluer. Le référentiel insiste sur le fait que le risque dépend du contexte et de la configuration, pas seulement de la nature de l'outil. Un même logiciel de tri de CV peut être à faible risque en simple pré-filtrage et à haut risque s'il influence directement la décision finale — d'où l'intérêt de documenter précisément chaque usage avant de le classer.

Formaliser la supervision humaine à plusieurs niveaux. Le document décrit des « niveaux d'autorité » gradués plutôt qu'un simple interrupteur humain/machine, ce qui rejoint les exigences de contrôle humain effectif — et non simplement formel — pointées par l'ICO comme par la CNIL.

Documenter l'AIPD en amont. Pour les systèmes RH à fort impact (embauche, évaluation, licenciement), une analyse d'impact relative à la protection des données reste le bon outil pour tracer cette gradation du risque et documenter les mesures correctrices — le référentiel FPF peut d'ailleurs servir de grille d'entrée pour qualifier le niveau de risque avant de lancer l'AIPD elle-même.

Ce que Leto pense de cette décision

Ce référentiel confirme une tendance de fond : les grands cadres de gouvernance IA — NIST, ISO 42001, AI Act, et maintenant les bonnes pratiques sectorielles américaines — convergent tous vers la même logique de risque gradué et contextuel. C'est une bonne nouvelle opérationnelle pour les équipes conformité, qui peuvent enfin s'appuyer sur un langage commun avec leurs éditeurs plutôt que de négocier outil par outil. Mais il faut garder à l'esprit que ce texte reste une auto-régulation portée par les fournisseurs eux-mêmes, sans opposabilité en Europe. Pour un DPO français, il complète l'outillage réglementaire — RGPD, AI Act, doctrine CNIL — sans jamais s'y substituer.

Sources : Future of Privacy Forum — communiqué de presse, 5 août 2026