Nous avons conçu un seul audit de biais pour satisfaire six lois sur l'IA de recrutement. Il a échoué la semaine même de sa mise en production.
La première chose que j'ai dû expliquer à une directrice des ressources humaines l'hiver dernier, c'est que son entreprise enfreignait désormais la loi d'une manière que personne dans son équipe n'avait le vocabulaire pour décrire.
Elle gérait le recrutement à New York, Chicago, Denver, Austin et dans un bureau londonien. Sa pile technologique était banale — un système de suivi des candidatures, une couche de présélection par IA greffée dessus, un prestataire d'entretiens vidéo, un chatbot de planification. Des achats standards de 2024. Le problème, c'est qu'entre octobre 2025 et août 2026, six gouvernements différents ont décidé, plus ou moins indépendamment, que précisément cette pile constituait une activité à haut risque réglementée. Et chacun d'eux a rédigé les règles un peu différemment.
Voici à quoi ressemble vraiment aujourd'hui la conformité de l'IA de recrutement : non pas une seule loi à suivre, mais un amoncellement de lois qui se chevauchent et se contredisent parfois, posé sur un pipeline de recrutement qui n'a jamais été conçu pour être inspecté. Quand j'ai commencé à creuser le sujet, je pensais que le travail consistait à mener un bon audit de biais. J'avais tort, et la manière dont j'avais tort constitue toute l'histoire.
La DRH soumise à six régimes avant le déjeuner
Laissez-moi exposer ce à quoi elle était réellement confrontée, car c'est la convergence que l'on sous-estime.
Les amendements FEHA de la Californie sur les systèmes de décision automatisée sont entrés en vigueur le 1er octobre 2025 — quatre ans de conservation obligatoire de chaque entrée, sortie et résultat de test de biais, et une responsabilité qui s'applique que la discrimination ait été intentionnelle ou non, pour tout employeur recrutant en Californie, quel que soit le lieu de son siège social. La loi HB 3773 de l'Illinois est entrée en vigueur le 1er janvier 2026, et elle interdit explicitement l'usage des codes postaux comme approximations de catégories protégées. Le TRAIGA du Texas est entré en vigueur le même jour — sauf que le Texas a délibérément rejeté l'impact disparate en tant que théorie et ne sanctionne que la discrimination intentionnelle, avec des amendes allant de $12,000 pour une violation régularisable à $200,000 pour une qui ne l'est pas — avec une fenêtre de 60 jours pour régulariser avant que la sanction ne se durcisse, un détail qui change la façon dont on trie un avis du Texas par rapport à un de New York. La loi sur l'IA du Colorado prend effet le 30 juin 2026. Le règlement européen sur l'IA classe le recrutement comme activité à haut risque au titre de l'annexe III à compter du 2 août 2026, avec des sanctions atteignant 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial.
Ainsi, une seule entreprise ayant des bureaux dans ces cinq villes et à Londres répond à six régimes, dont trois déjà en vigueur et trois qui entreront en action avant la fin de l'été. La même décision de recrutement. Six définitions différentes de ce qui la rend illégale.
Une entreprise qui recrute à New York, Chicago, Denver, Austin et Londres ne mène pas un seul processus de recrutement. Elle mène un seul processus que six gouvernements estiment chacun leur appartenir.
Et puis vient la partie qui a fait taire toute la salle : ce sur quoi la plupart d'entre elles s'appuyaient pour rester en sécurité venait de cesser de fonctionner.
« Notre prestataire affirme que ce n'est pas un AEDT » est-il encore un argument de défense ?
Pendant deux ans, la stratégie discrète à New York était ce que des chercheurs ont baptisé Null Compliance — et une fois qu'on la repère, on la voit partout. La Local Law 144 de la ville de New York laisse l'employeur décider si son outil « aide substantiellement » à une décision de recrutement. Les employeurs ont donc décidé que non. Une étude de Cornell, Data & Society et Consumer Reports présentée à FAccT en 2024 a interrogé 391 employeurs new-yorkais utilisant ces outils et a constaté que seulement 4,6 % avaient publié l'audit de biais exigé par la loi. Seulement 3,3 % avaient affiché l'avis de transparence. Les autres s'étaient, de fait, auto-classés hors du champ d'application.
C'était une note. Quelque part au service juridique, il y avait une note d'une page datant de 2024 disant notre prestataire nous a dit que ce n'est pas un AEDT, donc la LL144 ne s'applique pas. Cette note constituait, à elle seule, le programme de conformité.
Puis est arrivé le 2 décembre 2025. Le contrôleur des comptes de l'État de New York a audité l'application de la loi par la ville et a constaté 17 violations potentielles de la LL144 dans le même échantillon de 32 entreprises où la propre agence de la ville n'en avait trouvé qu'une. Soixante-quinze pour cent des appels de plainte avaient été mal aiguillés. L'agence a admis, officiellement, que son personnel n'avait pas l'expertise technique nécessaire pour évaluer ces outils — et a accepté de passer à une application proactive et fondée sur la recherche. La structure des sanctions n'a pas changé : jusqu'à $1,500 par jour et par violation. Faites fonctionner en continu un seul outil non audité à New York et vous risquez plus d'un demi-million de dollars par an avant même qu'une action en justice privée ne soit engagée.
La « Null Compliance » n'a jamais été une position juridique. C'était un pari sur le fait que personne ne vérifiait. Le 2 décembre 2025, quelqu'un s'est mis à vérifier.
Je me souviens d'avoir lu le PDF de l'audit du contrôleur un dimanche en me disant : chacune de ces notes d'auto-classification de 2024 venait de devenir une pièce produite dans la phase de discovery. Ce qui, en fin de compte, n'est pas une métaphore.
Les procès qui réécrivent discrètement qui est responsable
Car l'autre phénomène qui se produit en parallèle, c'est que les tribunaux démantèlent l'idée selon laquelle l'avis du prestataire vous protège.
Dans l'affaire Mobley v. Workday, la juge Rita F. Lin a refusé de rejeter l'affaire, estimant qu'un prestataire d'IA de recrutement peut être directement responsable en tant qu'« agent » de l'employeur lorsque son outil recommande ou filtre des candidats — quoi que la note de l'employeur prétende que l'outil fasse. Le tribunal a accordé une certification collective préliminaire en mai 2025, et la fenêtre d'adhésion (opt-in) pour les candidats de plus de 40 ans s'est refermée le 7 mars 2026. Puis la juge a ordonné à Workday de produire une liste exhaustive de tous les employeurs ayant activé ses produits de présélection HiredScore, rejetant la tentative de tenir les outils issus de l'acquisition à l'écart de l'affaire. Selon les propres calculs du tribunal, plus d'un milliard de candidats sont peut-être passés par ce pipeline.
Et le 20 janvier 2026, un nouveau front s'est ouvert. Kistler v. Eightfold pose une question que personne dans les technologies RH ne voulait voir posée : ces plateformes sont-elles des agences de renseignements sur les consommateurs au sens du Fair Credit Reporting Act ? La plainte allègue qu'Eightfold a aspiré des données de LinkedIn, GitHub et Stack Overflow, a constitué des dossiers de candidats à partir de « plus de 1,5 milliard de points de données mondiaux » et a produit un score de « probabilité de réussite » de 0 à 5 sans notification du candidat, sans divulgation, sans procédure de contestation. Si un tribunal lui donne raison, chaque plateforme similaire devra à chaque candidat noté un avis de décision défavorable et un moyen de le contester — et les dommages-intérêts légaux prévus par le FCRA vont de $100 à $1,000 par consommateur et par violation. Multipliez cela par chaque candidat qu'une plateforme a jamais noté.
Voilà donc le paysage dans lequel se trouvait ma cliente. Six régimes, deux procès en cours redéfinissant la responsabilité, un régulateur qui venait d'apprendre à auditer. Mon instinct — et je l'assume, car cela m'a coûté un mois — était que la solution résidait dans un très bon audit de biais universel.
L'audit universel qui ne pouvait pas exister
Ce que j'ai construit en premier mérite d'être décrit, car c'est précisément là que toute l'approche a échoué.
Le plan était élégant : une analyse rigoureuse d'impact défavorable, menée selon la méthodologie qu'utilisent des auditeurs indépendants comme DCI Consulting et ORCAA, que nous déclinerions sur les six juridictions. La réussir une fois, bien la documenter, satisfaire tout le monde. Nous avons construit le pipeline, extrait les données de recrutement, calculé les ratios d'impact des quatre cinquièmes, et même réalisé les découpages intersectionnels race par sexe que New York exige spécifiquement.
Puis je me suis attelé à mettre en correspondance ce résultat unique avec les six régimes, et tout s'est effondré sous mes yeux.
New York exige des ratios d'impact intersectionnels. Le Colorado demande un « soin raisonnable » sans aucune exigence intersectionnelle. Le Texas ne reconnaît même pas l'impact disparate en tant que théorie, de sorte que tout l'exercice statistique y est juridiquement hors de propos — seule l'intention compte. Le règlement européen sur l'IA n'a pas de règle des quatre cinquièmes ; il impose une obligation de représentativité des données au titre de l'article 10. Un seul audit, mené d'une seule façon, produit un livrable qui est correct pour une juridiction et soit insuffisant, soit hors de propos pour les autres.
Le plus profond — celui qui m'a véritablement arrêté — était le code postal. La loi HB 3773 de l'Illinois interdit explicitement d'utiliser les codes postaux comme approximations de catégories protégées ; supprimez-les, et vous êtes en conformité. Mais l'article 10(3) du règlement européen sur l'IA exige que les données d'entraînement soient « pertinentes, représentatives et exemptes d'erreurs », et la couverture géographique qui rend un jeu de données représentatif est souvent précisément ce que codent les codes postaux. Retirez le champ, et vous échouez au test de représentativité de l'Europe. Conservez-le, et vous êtes en infraction avec l'Illinois.
Le même champ de données est de la contrebande en Illinois et une preuve obligatoire à Bruxelles. Il n'existe aucune version du jeu de données qui soit irréprochable dans les deux endroits à la fois.
On ne peut pas se sortir par un audit d'une contradiction inscrite dans la loi. J'avais passé des semaines à construire un outil pour répondre à une question, et le vrai problème, c'était que la question avait six réponses correctes différentes, dont deux étaient mutuellement exclusives. Ce fut le tournant. Le produit n'était pas un meilleur moteur d'audit. Le produit, c'était l'élément qui se situe au-dessus des audits et les réconcilie — et qui vous dit honnêtement quels conflits ne peuvent pas être réconciliés, afin que votre directeur juridique puisse prendre une décision de stratégie juridique au lieu de faire comme si le conflit n'existait pas.
Le risque qu'aucun audit de biais ne détectait
Une fois que j'ai cessé d'essayer de construire un audit unique, j'ai commencé à voir les lacunes que les audits ne couvraient jamais. Deux d'entre elles sont importantes.
La première est l'accessibilité, et elle constitue son propre univers juridique. En mars 2025, l'ACLU a déposé une plainte au nom d'une candidate sourde autochtone, « D.K. », alléguant qu'un processus d'entretien vidéo piloté par IA l'avait discriminée au titre de l'ADA, du Title VII et de la loi sur les droits civiques du Colorado. Retirez les textes de loi et le préjudice est évident : une candidate qualifiée a été écartée parce que la machine, littéralement, ne pouvait pas l'entendre — et personne aux RH n'a jamais vu ce rejet se produire. La réalité technique qui sous-tend cette accusation est brutale : la reconnaissance automatique de la parole reste bien moins performante sur la parole des personnes handicapées. Le modèle Whisper d'OpenAI affiche un taux d'erreur sur les mots environ trois fois plus élevé sur la parole multilingue et non standard, et même l'équipe gagnante du Interspeech Speech Accessibility Project Challenge 2025 — entraînée sur plus de 400 heures provenant de plus de 500 locuteurs présentant des troubles de la parole — a atteint un taux d'erreur sur les mots de 8,11 % sur la parole altérée, soit encore plusieurs fois le niveau de référence de l'anglais standard. Un audit de biais vérifiant les ratios d'impact selon la race et le sexe validera un outil qui, systématiquement, ne peut pas comprendre une candidate sourde, parce qu'il s'agit d'une théorie juridique différente, avec un test différent que presque personne n'effectue. Je considère désormais les tests d'accessibilité comme une discipline à part entière, dotée de son propre livrable, parce que c'en est une.
La seconde est la sécurité, et j'ai appris à la mettre sur la table après McHire. En juin 2025, les chercheurs Ian Carroll et Sam Curry ont découvert que la plateforme de recrutement de McDonald's, bâtie sur Paradox.ai, avait exposé les dossiers d'environ 64 millions de candidats — noms, adresses e-mail, numéros de téléphone, transcriptions complètes d'entretiens par chatbot. La cause première était un compte administrateur de test de 2019 dont le nom d'utilisateur et le mot de passe étaient tous deux 123456, sans aucune authentification multifacteur, plus une faille d'API qui permettait à quiconque de parcourir les identifiants des candidats. Votre dispositif de conformité se moque bien que le maillon faible ait été le compte de test oublié d'un prestataire. L'obligation de notification de violation, l'exposition aux recours collectifs, la perte de base légale pour continuer à traiter ces données — tout cela retombe sur l'employeur. Après cette révélation, le RSSI est à la table pour chaque achat de technologie RH, et une attestation SOC 2 générique n'est pas un examen de sécurité tenant compte de l'IA.
Pourquoi ne pouvez-vous pas simplement acheter un outil pour cela ?
On me pose toujours une variante de cette question : ne puis-je pas simplement acheter un outil pour cela ? Et je comprends ce réflexe, car le marché regorge d'options d'apparence crédible. La réponse honnête est non, et il vaut la peine de savoir pourquoi avant de dépenser.
Les plateformes de gouvernance dédiées — FairNow, Holistic AI, Credo AI, qui a levé environ $45 million — sont réellement bonnes dans ce qu'elles font. Mais chacune propose pour l'essentiel une seule méthodologie et fonctionne sur vos données ; aucune ne se place entre vous et Workday pour en extraire ce que votre contrat de prestataire protège réellement et ce qu'il ne protège pas. Les auditeurs indépendants comme DCI et ORCAA produisent un excellent travail pour $50,000 à $200,000 par système et par an, mais c'est un instantané à cadence annuelle, pas une réponse permanente à six régimes mouvants. Et les Big Four accepteront tout à fait la mission — pour $500,000 à plusieurs millions — avec des équipes de conseil qui ne construisent pas de technologie et ne peuvent pas entrer dans le détail technique des raisons pour lesquelles votre modèle de présélection se comporte comme il le fait.
La lacune n'est pas l'absence d'un prestataire d'audit. C'est que personne sur votre liste restreinte ne peut se placer à la fois entre la DRH, le directeur juridique, le RSSI et chaque prestataire de technologie RH — et n'est prêt à vous dire là où la loi ne peut tout simplement pas être satisfaite.
Ce que nous avons construit chez Veriprajna, c'est l'élément qui occupe cette lacune : une pratique de réconciliation entre juridictions et de due diligence AEDT qui inventorie chaque outil intervenant dans votre recrutement, mène le bon audit pour chaque régime dont vous relevez au lieu d'un seul audit générique, teste l'accessibilité et la sécurité comme des disciplines à part entière, et fournit à votre directeur juridique les chiffres de coûts et les calendriers de contentieux nécessaires pour défendre le budget auprès d'un directeur financier. Non pas une assurance que vous espérez ne jamais utiliser — une documentation que vous serez très heureux d'avoir lorsque l'application proactive de New York, ou la liste de discovery de Mobley, viendra frapper à votre porte.
Les 120 jours qui décideront de tout
Si je tiens un compte à rebours là-dessus, ce n'est pas par goût du drame. C'est que le calendrier est exceptionnellement impitoyable en ce moment. L'échéance du Colorado est à environ douze semaines. Les obligations « haut risque » de l'UE tombent environ quatre semaines plus tard. La posture d'application de New York a déjà basculé. La procédure de discovery de Mobley est en train de produire la liste des employeurs à l'instant même où vous lisez ces lignes.
Ce qui a changé ma propre façon de penser, et ce que je voudrais qu'une DRH ou un directeur juridique retienne de tout cela, est étroit et précis : l'ancienne parade — laisser le prestataire définir l'outil comme hors du champ d'application, mener un seul audit, classer la note — n'a jamais été un programme de conformité. C'était un pari sur le fait que personne doté de compétences techniques ne regardait. Tout le monde regarde à présent, depuis six directions, et deux de ces directions ne s'accordent même pas sur ce que vous êtes censé faire. Le travail ne consiste plus à réussir un audit. Il consiste à savoir, régime par régime, exactement où vous en êtes — y compris là où la réponse honnête est que la loi se contredit elle-même et que quelqu'un doit décider de quel côté pencher. Ce n'est pas un outil que l'on achète. C'est un jugement qu'il faut réellement mériter en faisant le travail. Vous pouvez voir comment nous procédons ici.
