Contexte & enjeux : la fraude documentaire en 2026Context & stakes: document fraud in 2026
Le marché du recrutement traverse une crise de confiance sur les antécédents : un CV peut présenter des écarts significatifs avec le parcours professionnel vérifiable du candidat. The recruitment market faces a credential trust crisis: a CV can show significant gaps with the candidate's verifiable professional history.
Les formes les plus courantes : inflation de titre, extension artificielle des durées de mission, diplômes issus de programmes inexistants, et désormais — des CV entièrement générés ou réécrits par des LLM pour passer les filtres ATS avec des scores parfaits. The most common forms include title inflation, artificial extension of assignment durations, fake degrees from non-existent programs, and — now — CVs entirely generated or rewritten by LLMs to pass ATS filters with perfect scores.
« La confiance dans les références professionnelles ne peut plus reposer sur la bonne foi. Elle doit s'appuyer sur une infrastructure de vérification automatisée, auditée et conforme. »"Trust in professional credentials can no longer rely on good faith. It must be built on a verification infrastructure that is automated, audited, and regulatorily compliant."
L'enjeu dépasse le coût d'un recrutement raté : en cas de fraude sur des postes réglementés (audit, médical, ingénierie certifiée), l'entreprise s'expose à une responsabilité civile et pénale. Les CHRO, DRH et DSI ont un devoir de vigilance qui impose des processus de vérification traçables et auditables. The impact goes beyond the cost of a failed hire: in case of fraud on regulated positions (audit, medical, certified engineering), the company exposes itself to civil and criminal liability. CHROs, HR Directors and CIOs have a duty of care that requires traceable and auditable verification processes.
Vérifier la cohérence, pas seulement le dossierVerifying consistency, not just the file
Les outils de background check classiques vérifient si les documents fournis par le candidat sont cohérents entre eux. AttestAI pose une question d'un autre ordre : cette personne tient-elle ensemble dans le réel ? Un dossier déclaratif parfaitement cohérent peut être entièrement faux — c'est l'angle mort que nous comblons en partant de sources publiques externes. Classic background check tools verify whether the documents supplied by the candidate are consistent with each other. AttestAI asks a different question: does this person hold together in the real world? A perfectly consistent declarative file can be entirely false — the blind spot we close by starting from external public sources.
| AxeAxis | Background check classiqueClassic background check | AttestAI |
|---|---|---|
| Matière premièreRaw material | Documents fournis par le candidatDocuments supplied by the candidate | Sources publiques croisées et corroboréesCross-checked, corroborated public sources |
| Architecture IAAI architecture | LLM unique en assistance d'extractionSingle LLM for extraction | Modèles d'Anthropic (Claude) ; strate propriétaire à venirAnthropic models (Claude); proprietary layer to come |
| Question poséeQuestion asked | Ces documents sont-ils cohérents entre eux ?Are these documents consistent with each other? | Cette personne existe-t-elle et tient-elle dans le réel ?Does this person exist and hold together in reality? |
| Faille structurelleStructural flaw | Un faux dossier cohérent passeA consistent fake file passes | Preuve externe multi-sources, plus dure à manipulerExternal multi-source proof, harder to manipulate |
| Classification AI ActAI Act classification | Souvent sous-classé « risque limité » (Art. 50)Often under-classified as "limited risk" (Art. 50) | Haut risque assumé (Annexe III §4)High-risk assumed (Annex III §4) |
Architecture technique & infrastructureTechnical Architecture & Infrastructure
AttestAI est hébergé sur la plateforme Railway, dans la région europe-west4 (Amsterdam, Pays-Bas — Union européenne). L'analyse des transferts vers les sous-traitants situés hors de l'Union européenne (Chapitre V du RGPD) est en préparation. Les sous-traitants sont listés dans le DPA, communiqué sur demande. AttestAI is hosted on the Railway platform, in the europe-west4 (Amsterdam, Netherlands — European Union) region. The assessment of transfers to sub-processors located outside the European Union (GDPR Chapter V) is in preparation. Sub-processors are listed in the DPA, available on request.
Pipeline FastAPIFastAPI Pipeline
Orchestrateur Python asynchrone. Extraction PDF via pdfplumber + PyMuPDF. Scoring multi-dimensionnel, recoupé par une couche d'analyse maison. L'analyse est réalisée aujourd'hui par les modèles d'Anthropic ; la strate propriétaire, hébergée en France sur GPU OVHcloud, sera activée à l'arrivée du trafic client. Async Python orchestrator. PDF extraction via pdfplumber + PyMuPDF. Multi-dimensional scoring, cross-checked by an in-house analysis layer. Analysis is currently performed by Anthropic's models; the proprietary layer, hosted in France on OVHcloud GPUs, will be activated when client traffic arrives.
Hébergement RailwayRailway hosting
Plateforme Railway, région europe-west4 (Amsterdam, Pays-Bas — Union européenne). Échanges chiffrés en transit (TLS). Railway platform, europe-west4 region (Amsterdam, Netherlands — European Union). Traffic encrypted in transit (TLS).
ConservationRetention
Les CV et les rapports sont conservés en base de données 90 jours au plus. La suppression automatique à l'échéance est en préparation. CVs and reports are kept in the database for 90 days at most. Automatic deletion at expiry is in preparation.
API et serveur MCP : accès sur demandeAPI and MCP server: on request
L'accès à l'API REST et au serveur MCP pour les agents IA est ouvert sur demande, au cas par cas. Les vérifications courantes se font depuis le portail AttestAI. Access to the REST API and to the MCP server for AI agents is granted on request, case by case. Routine checks are run from the AttestAI portal.
Base de donnéesDatabase
PostgreSQL hébergé chez Railway. Sauvegardes automatiques et plan de reprise : en préparation. PostgreSQL hosted on Railway. Automatic backups and recovery plan: in preparation.
SupervisionMonitoring
Contrôle de santé interne toutes les 5 minutes. Journal d'audit en ajout seul, chaîné par empreintes et ancré chaque jour. Pas d'engagement de disponibilité (SLA) ni de certification (SOC 2, ISO 27001) à ce jour. Internal health check every 5 minutes. Append-only audit log, hash-chained and anchored daily. No availability commitment (SLA) and no certification (SOC 2, ISO 27001) to date.
Cadre réglementaireRegulatory framework
AttestAI est conçu pour répondre aux exigences du RGPD et de l'AI Act. Les mesures en place et celles en préparation sont décrites dans ce document. AttestAI is designed to meet GDPR and AI Act requirements. The measures in place and those in preparation are described in this document.
EU AI Act : haut risque assuméEU AI Act: high-risk, assumed
Les systèmes d'IA appliqués à la sélection de candidats relèvent de l'Annexe III §4 de l'AI Act (emploi). AttestAI assume cette classification haut risque et applique les obligations correspondantes — plutôt que de se réfugier dans le régime « risque limité » (Art. 50) réservé aux outils purement déclaratifs. Le système ne prend aucune décision automatisée au sens de l'Art. 22 RGPD. AI systems applied to candidate selection fall under Annex III §4 of the AI Act (employment). AttestAI assumes this high-risk classification and applies the corresponding obligations — rather than hiding behind the "limited risk" regime (Art. 50) reserved for purely declarative tools. The system makes no automated decision within the meaning of Art. 22 GDPR.
Rôle de l'humain & limites connuesHuman role & known limits
Rôle de l'humainHuman role
Toute analyse produite par l'IA est soumise à la revue obligatoire d'un opérateur RH qualifié avant tout usage. Aucun score ni rapport ne peut être utilisé sans validation humaine explicite (Art. 22 RGPD). Any AI-produced analysis is subject to mandatory review by a qualified HR operator before any use. No score or report can be used without explicit human validation (Art. 22 GDPR).
Limites & erreurs connuesKnown limits & errors
Homonymie (atténuée par l'exigence d'un ancrage), empreinte publique faible (score THIN_FOOTPRINT, non négatif), faux positifs. C'est précisément pourquoi la validation humaine est obligatoire. Homonymy (mitigated by an anchor requirement), weak public footprint (THIN_FOOTPRINT score, not negative), false positives. This is precisely why human validation is mandatory.