L'illusion des données synthétiques en RH : quand l'innovation rencontre le RGPD

Si les données synthétiques offrent aux RH un jumeau numérique idéal pour innover, elles n'échappent pas pour autant au RGPD , et exigent une stricte gouvernance.

L’accélération de la transformation digitale pousse les directions des ressources humaines vers un paradoxe intenable. D’un côté, le People Analytics, le recrutement prédictif et les modèles d'intelligence artificielle promettent d'optimiser la gestion des talents, de cartographier les compétences et d'anticiper le départ des collaborateurs. De l’autre, la manipulation de ces données, qui figurent parmi les plus sensibles de l’entreprise comme les salaires ou les évaluations, se heurtent à un cadre réglementaire et éthique extrêmement strict. C’est dans ce contexte de tension permanente qu’émerge une technologie présentée par ses promoteurs comme le remède miracle de l'ère moderne : les données synthétiques. Générées artificiellement par des modèles mathématiques, ces informations ont pour vocation d'imiter fidèlement certaines propriétés statistiques et corrélations des données réelles, sans pour autant appartenir à des individus physiques existants. Pour de nombreux décideurs, la promesse est séduisante puisqu'elle offre un environnement de simulation ultra-réaliste pour innover, tout en s'affranchissant théoriquement des contraintes du Règlement Général sur la Protection des Données. Pourtant, la réalité technique et juridique s'avère bien plus subtile. Entre opportunités stratégiques, risques de dégradation des modèles et critères stricts d'anonymisation, analyse d'une technologie à double tranchant.

Le mirage juridique : Échappe-t-on réellement au RGPD ?

Face à ces cas d'usage, l’argument commercial massue reste l’immunité juridique. L’équation semble simple au premier abord car le RGPD protège les personnes physiques. La donnée synthétique étant créée par un algorithme, elle ne correspond à aucun individu réel et devrait donc logiquement échapper au règlement. Cette affirmation mérite pourtant d'être fortement nuancée car la frontière entre le virtuel pur et la donnée personnelle reste poreuse. Pour bien le comprendre, il convient de distinguer l'anonymisation, qui détruit de manière irréversible le lien avec l'individu et sort du champ du RGPD, de la pseudonymisation, qui remplace simplement les identifiants directs et reste soumise à l'ensemble des obligations légales.

Selon la doctrine européenne et la CNIL, le critère clé pour valider une véritable anonymisation n’est pas l’absence d'un nom ou d'un prénom, mais l’impossibilité raisonnable de réidentifier un individu, compte tenu de l'ensemble des moyens techniques et financiers disponibles. Or, si l'intelligence artificielle fait du surapprentissage, elle risque de reproduire des combinaisons de variables si précises qu’elles permettent, par simple recoupement, de démasquer un salarié réel. À titre d'exemple, un profil virtuel affichant une fonction de directrice financière de quarante-deux ans, basée à Lyon et recrutée en deux mille vingt-trois devient immédiatement identifiable s'il n'existe qu'une seule personne correspondant à ces critères dans l'entreprise. Dès lors, le fichier est requalifié en données personnelles et l'employeur s'expose à un risque majeur de non-conformité. De plus, la phase initiale d'entraînement du modèle, qui utilise les vraies données des collaborateurs pour initialiser le système, constitue en soi un traitement qui doit être légalement documenté.

Il convient toutefois d’adopter une approche pragmatique puisque toutes les données synthétiques ne présentent pas le même niveau de risque. Certains usages s'avèrent très sûrs par nature, notamment lorsqu'il s'agit de mener des tests d'infrastructure purement techniques, du contrôle qualité ou de travailler dans des environnements de développement isolés. Dans ces scénarios précis, la fidélité mathématique fine importe peu, ce qui permet d'injecter un bruit statistique volontaire suffisant pour annuler tout risque de réidentification sans pour autant nuire au travail des développeurs.

Les trois angles morts scientifiques et éthiques

Au-delà de la sphère purement juridique, la littérature scientifique récente met en lumière des risques souvent sous-estimés par les directions opérationnelles lors de l'usage avancé de ces technologies. Le premier grand danger réside dans le phénomène d'effondrement du modèle, mis en évidence par des chercheurs de l'Université d'Oxford. Lorsque des systèmes sont entraînés de manière répétée sur des données qu'ils ont eux-mêmes générées, leurs performances se dégradent de façon irréversible. L'algorithme se fatigue, oublie les cas rares et finit par sur-représenter la moyenne. Pour les ressources humaines, cela signifie que si l'on nourrit les outils de recrutement avec des profils synthétiques de manière itérative, le système va progressivement éliminer la singularité, les parcours de vie complexes et les minorités. Le risque à long terme est d'automatiser un clonage des profils, détruisant la diversité cognitive au sein des équipes.

Le second écueil concerne l'illusion de la fidélité statistique. La recherche montre que les données synthétiques ne sont pas toujours le miroir parfait du réel. Des analyses comparatives menées sur des bases socio-économiques complexes révèlent que les versions synthétisées ont tendance à artificiellement gonfler la volatilité à court terme et à déformer les inégalités salariales, en particulier sur les bas revenus. S'appuyer sur ces simulations imparfaites pour piloter une politique de rémunération ou de rétention des talents peut conduire à des erreurs d'appréciation stratégiques majeures, en prenant des décisions basées sur une distorsion de la réalité du marché.

Enfin, la prolifération non contrôlée de contenus artificiels présente un risque de contamination des bases de données de l'entreprise. Si des profils virtuels ou des scores prédictifs erronés se mélangent aux dossiers réels dans les systèmes d'information sans une traçabilité parfaite, la qualité globale de l'information s'effondre. En vertu de la réglementation européenne, un salarié a le droit de comprendre la logique derrière une décision automatisée qui l'impacte, comme le refus d'une mobilité interne. Si le modèle souffre d'un manque d'explicabilité dû à des données synthétiques erronées ou inventées par la machine, l'employeur sera incapable de justifier sa décision, ouvrant la voie à des litiges.

Vers une charte de gouvernance opérationnelle pour les DRH

Les données synthétiques représentent un levier technologique indéniable pour l'avenir de la gestion des talents, mais elles doivent être encadrées par une gouvernance stricte et responsable pour devenir un actif sûr. Pour passer de la théorie à la pratique, les directions des ressources humaines doivent déployer des solutions opérationnelles concrètes.

Il est d'abord indispensable d'adopter des outils de marquage métadonnées afin d'isoler les flux synthétiques dans les systèmes informatiques, ce qui garantit le respect du principe d'exactitude en évitant toute pollution des dossiers réels. Avant de partager un jeu de données avec un tiers, le délégué à la protection des données doit également exiger des tests de robustesse mathématique en utilisant des indicateurs reconnus de confidentialité différentielle pour valider scientifiquement la résistance aux attaques par réidentification. Enfin, les données synthétiques doivent servir exclusivement à la simulation ou à la présélection de masse. Dans un processus de mobilité interne, l'évaluation finale et la décision d'attribution d'un poste doivent rester souverainement humaines pour valoriser la nuance et l'empathie qu'aucune machine ne peut copier.