Workday et le RGPD / AI Act : recrutement IA, transferts et biais

Présentation et données traitées

Workday est une plateforme HCM américaine (recrutement, gestion des talents, performance, paie dans certains pays). Ses fonctions d'IA (Illuminate) assistent le tri, les recommandations et l'analyse RH à grande échelle.

Workday traite des données de candidats et de salariés à grande échelle (CV, évaluations, carrière, rémunération). Éditeur américain : hébergement/traitement potentiellement hors UE, avec exposition au CLOUD Act et au FISA.

Les risques pour votre entreprise

Deux risques se cumulent : transfert hors UE de données RH sensibles et biais algorithmiques dans le tri de candidatures. Le contentieux américain relatif à la présélection par IA rappelle l'exposition discriminatoire de ces outils.

Principaux risques RGPD :

• Transfert hors UE (CLOUD Act) ; garanties à établir (SCC, mesures supplémentaires).
• Recrutement IA : profilage/décision (article 22) et biais.
• Information des candidats/salariés ; conservation.
• Information-consultation du CSE (article L2312-38) et proportionnalité.

Les obligations RGPD

1. Signer le DPA Workday ; vérifier la localisation ; encadrer les transferts (SCC).
2. Encadrer le recrutement (transparence, supervision, contestation) et auditer les biais.
3. Informer candidats/salariés ; informer-consulter le CSE.
4. Inscrire au registre ; AIPD (recrutement à grande échelle).
5. Impliquer le DPO ; former les recruteurs. Pas de DPO ? Voir notre DPO externalisé.

Les obligations AI Act

L'Annexe III classe à HAUT RISQUE les usages RH algorithmiques (tri/évaluation des candidatures, décisions de recrutement, promotion, suivi de performance). Pleine application le 2 août 2026. Obligations du déployeur : notice, supervision humaine, surveillance, logs, information des personnes et information des travailleurs/représentants avant mise en service (article 26), FRIA (article 27). Interdiction : reconnaissance des émotions au travail. Voir le guide AI Act.

Risques AI Act : recrutement à haut risque insuffisamment encadré ; biais discriminatoires ; défaut d'information CSE/candidats ; modules d'analyse émotionnelle (interdits).

Cybersécurité et bonnes pratiques

Risques cyber : exfiltration de dossiers RH vers des serveurs hors UE ; accès à cloisonner ; NIS 2 selon la taille.

Bonnes pratiques : encadrer les transferts (SCC), pour les données très sensibles envisager des alternatives UE ; traiter le recrutement en haut risque (supervision, contestation, audit des biais) ; information CSE/candidats, exiger la déclaration de conformité de l'éditeur ; charte IA, registre, formation IA.

Checklist :

• DPA Workday + transferts encadrés (SCC), localisation vérifiée, recrutement traité en haut risque
• Audit des biais réalisé, CSE informé/consulté, candidats informés, AIPD réalisée
• Aucun module d'analyse émotionnelle, recruteurs formés

Sanctions, conclusion et recommandations

Sanctions cumulables : RGPD (jusqu'à 20 M€ ou 4 %) ; AI Act (jusqu'à 35 M€ ou 7 % / 15 M€ ou 3 % / 7,5 M€ ou 1 %). S'ajoutent risque prud'homal (discrimination) et délit d'entrave (CSE). Aux États-Unis, une action collective vise la présélection algorithmique de candidats pour des biais présumés (âge) : un signal fort sur l'exposition discriminatoire des outils de recrutement IA.

Recommandation : Workday est un HCM de référence, mais cumule transfert hors UE et recrutement à haut risque. Encadrez strictement les transferts, auditez les biais, supervisez et permettez la contestation, informez le CSE et réalisez une AIPD. Pour les données RH les plus sensibles, évaluez une alternative européenne comme SAP SuccessFactors. Voir le comparatif des outils d'IA.