Andrew Johnson, PDG de Yardstik – Série d’interviews

Andrew Johnson, PDG de Yardstik, est un dirigeant technologique chevronné avec une expérience dans le scaling d’entreprises logicielles à forte croissance, la création d’organisations go‑to‑market et la génération de revenus d’entreprise. Il a rejoint Yardstik en tant que directeur des opérations (Chief Operating Officer) en 2022 avant d’être promu PDG en octobre 2024. Auparavant, Johnson était directeur des revenus (Chief Revenue Officer) chez Branch, où il a aidé à guider l’entreprise de paiements pour la main‑d’œuvre à travers une période de croissance rapide, et il a passé plus de cinq ans chez Dialpad, notamment comme responsable des ventes aux entreprises, où il a contribué à développer ses opérations commerciales aux États‑Unis et au Canada. Au début de sa carrière, il a occupé des postes de développement commercial et de partenariats chez Compellent Technologies, qui a été acquise par Dell pour environ $960 million en 2011.

Yardstik est une société technologique de confiance de la main‑d’œuvre basée à Minneapolis, fondée en 2020, qui fournit la prévention de la fraude, la vérification d’identité, le contrôle des antécédents, la vérification des qualifications et la surveillance continue de la main‑d’œuvre via sa Human Trust Platform. L’entreprise repose sur une architecture « API‑first » qui permet d’intégrer directement sa technologie aux systèmes de suivi des candidatures, aux plateformes de gestion du capital humain, aux places de marché gig et à d’autres applications de main‑d’œuvre. Yardstik prend également en charge le Model Context Protocol (MCP), permettant aux agents IA de se connecter à son infrastructure de confiance et d’automatiser des flux de travail tels que les vérifications d’antécédents, la vérification d’identité, le dépistage des qualifications, le re‑screening et l’adjudication au sein de systèmes d’embauche et d’intégration pilotés par l’IA.

Avant de rejoindre Yardstik, vous avez passé plus de cinq ans chez Branch, où vous avez constaté de première main un réseau de fraude utilisant des numéros de sécurité sociale volés pour obtenir des emplois sous l’identité d’autres personnes. Comment cette expérience a-t-elle changé votre façon de voir le contrôle des antécédents, et quand avez‑vous réalisé que la vérification d’identité devait aller au‑delà d’une vérification ponctuelle lors de l’embauche ?

Lorsque j’étais chez Branch, l’un de nos plus grands clients a été touché par un réseau de fraude provenant du Venezuela, un problème fréquent pour les plateformes gig. Ils volaient les numéros de sécurité sociale des Américains et les vendaient à des personnes qui n’avaient pas le statut pour travailler aux États‑Unis. Quelqu’un postulait sous une identité volée, commençait à livrer, et tout semblait normal jusqu’à la saison fiscale, lorsque le véritable titulaire du numéro de sécurité sociale recevait une facture 1099 pour un travail qu’il n’avait jamais effectué. Ce fut la première fois que j’ai vu la fraude apparaître après la décision d’embauche plutôt que pendant celle‑ci.

Ce fut le moment qui a réellement changé ma perspective. J’ai réalisé à quelle fréquence les personnes qui réussissent un contrôle des antécédents ne sont pas celles qui se présentent réellement au poste. Par exemple, quelqu’un avec un dossier vierge passe le dépistage, puis un membre de sa famille, qui n’aurait pas pu le passer, prend le poste. Un contrôle des antécédents ne peut pas détecter cela, car il ne regarde que le candidat sur le papier, une seule fois, au tout début. Au moment où j’ai rejoint Yardstik, j’ai apporté ce que j’avais appris chez Branch et j’ai travaillé avec l’équipe pour développer l’approche de surveillance continue pour nos clients.

L’IA générative a considérablement abaissé la barrière à la création d’identités factices, de diplômes falsifiés, de profils synthétiques et même de deepfakes convaincants. Quelles techniques de fraude activées par l’IA progressent le plus rapidement aujourd’hui, et lesquelles, selon vous, les employeurs sont les moins préparés à affronter ?

La fraude qui progresse le plus rapidement aujourd’hui n’est pas la vidéo deepfake tape‑à‑l’œil. Il s’agit de l’identité synthétique : un vrai numéro de sécurité sociale combiné à un faux nom et à un historique professionnel inventé, assemblés en quelque chose qui paraît propre dès la première vérification. Ajoutez des outils d’IA qui génèrent un CV soigné et un ensemble de qualifications correspondantes, et vous obtenez un candidat.

Ce à quoi les employeurs sont le moins préparés, c’est l’embauche à distance, jamais rencontrée en personne. Les plateformes gig, les postes informatiques à distance, les centres d’appels virtuels. Si personne dans l’entreprise ne voit jamais cette personne, chaque signal qui permettait de déceler un fraudeur (un entretien nerveux, une pièce d’identité légèrement suspecte en personne) disparaît. C’est précisément là que les réseaux de fraude à l’embauche à distance opèrent, et la plupart des entreprises considèrent encore cela comme le problème de quelqu’un d’autre jusqu’à ce que cela les touche.

Yardstik est passé du contrôle d’antécédents traditionnel à une plateforme plus large combinant prévention de la fraude par IA, vérification d’identité, vérification des qualifications et surveillance continue. Quel rôle joue l’IA dans la connexion de ces signaux, et que peut détecter le système qu’un contrôle d’antécédents conventionnel ne peut pas ?

Yardstik a commencé comme une société de contrôle d’antécédents, et pour la plupart des clients, cela reste encore une composante fondamentale de notre activité. Mais un contrôle d’antécédents est une transaction unique : on l’exécute, on obtient une réponse, on jette les données. Ce qui relie la prévention de la fraude, la vérification d’identité, les contrôles de qualifications et la surveillance en un seul dispositif, c’est que nous ne jetons pas les données. Nous conservons un profil du candidat au fil du temps, et chaque nouveau contrôle s’y ajoute plutôt que de repartir de zéro.

C’est ce qui nous permet de détecter des choses qu’un contrôle ponctuel ne pourra jamais identifier. Par exemple, un de nos clients a vu des fraudeurs tenter à plusieurs reprises d’accéder à des comptes d’agents disposant de données fiscales client. Parce que nous pouvions voir le même appareil, ou la même identité légèrement modifiée, apparaître lors de multiples tentatives, nous avons pu l’arrêter avant même qu’elle ne devienne une décision de dépistage. Un contrôle ponctuel aurait examiné chacune de ces candidatures isolément et les aurait toutes approuvées.

Yardstik utilise des signaux tels que les données d’identité personnelle, l’activité de paiement et les indicateurs d’appareil ou de localisation pour déceler d’éventuelles tromperies d’identité. Comment séparez‑vous les comportements réellement suspects de ceux inhabituels mais légitimes, notamment à mesure que les modèles d’IA deviennent responsables de l’évaluation de schémas de plus en plus complexes ?

Nous n’essayons pas de tracer une ligne dure entre suspect et inhabituel, car la plupart du temps il n’y en a pas au moment où nous le constatons. Ce que nous faisons, c’est mettre en évidence le delta. Si la candidature de quelqu’un indique une école, et qu’un an plus tard une nouvelle candidature sous la même identité indique une école différente, cela mérite un second examen. Si quelqu’un a toujours postulé depuis un iPhone et apparaît ensuite sur un Android avec une nouvelle adresse IP, même chose. Aucun de ces éléments ne signifie une fraude en soi, mais la combinaison de plusieurs signaux commence à augmenter le profil de risque. Nous sommes la couche qui signale ce qui a changé depuis la dernière fois que nous avons vu la personne et fournit aux employeurs davantage de données pour les aider à prendre des décisions éclairées.

Yardstik indique qu’environ un candidat sur 30 échoue à la vérification d’identité gouvernementale, tandis que les numéros de sécurité sociale signalés ou en double sont bloqués quotidiennement. Que retenez‑vous de ces données sur l’évolution de la fraude dans le recrutement, et quelle part de ce que vous rencontrez semble organisée plutôt qu’opportuniste ?

Ces données nous montrent que la fraude d’identité dans l’embauche n’est plus un problème marginal. Elle est devenue un coût de base de faire des affaires à grande échelle, de la même façon que les rétrofacturations le sont dans les paiements. Une part significative est organisée plutôt qu’opportuniste. La fraude opportuniste a tendance à être ponctuelle : quelqu’un gonfle un CV ou falsifie une date de diplôme. La fraude organisée montre un schéma, le même appareil ou la même identité quasi‑identique tentant le même type d’emploi chez différents employeurs, parfois en modifiant un détail à la fois pour voir ce qui passe. C’est la version que j’ai vue il y a des années avec des numéros de sécurité sociale volés revendus, et c’est la version que je vois encore aujourd’hui. Elle est simplement automatisée maintenant, et fonctionne à un volume bien plus élevé parce que les outils génératifs ont rendu les fausses identités moins coûteuses à produire.

La vérification d’identité intègre de plus en plus les pièces d’identité gouvernementales, la biométrie, les contrôles de vivacité, les signaux d’appareil et d’autres indicateurs de risque. À mesure que les modèles génératifs deviennent capables de produire des documents, des visages et des voix réalistes, quels signaux pensez‑vous resteront les plus difficiles à falsifier pour les attaquants ?

Tout ce que vous pouvez générer comme artefact unique, une photo, un document, même une courte vidéo, devient de plus en plus facile à falsifier de façon convaincante. Ce qui reste difficile à falsifier, c’est la cohérence dans le temps, à travers des lieux que personne ne contrôle simultanément. Une identité synthétique peut réussir un contrôle de vivacité avec un deepfake suffisamment bon. Il est beaucoup plus difficile que cette même identité possède également un historique d’appareil correspondant, un schéma de localisation correspondant et un parcours professionnel qui s’aligne comme le ferait une vraie personne chez différents employeurs et sur plusieurs années. C’est vraiment le pari derrière la surveillance continue plutôt qu’un moment de vérification unique. Un contrôle hérité vous donne une photographie, une seule image, prise une fois. Le nôtre se comporte davantage comme un flux en direct, car il est conçu pour remarquer quand les images cessent de correspondre entre elles.

La surveillance continue représente un changement majeur, passant de la vérification ponctuelle d’une personne à l’évaluation de la confiance tout au long du cycle de vie du travailleur. Comment concevez‑vous ce type de système sans créer une surveillance inutile, des faux positifs, ou des décisions que les travailleurs ont peu de capacité à comprendre ou à contester ?

La surveillance, c’est regarder quelqu’un qui ne sait pas qu’il est observé. Ce n’est pas ainsi que cela fonctionne. Chaque travailleur que nous surveillons a donné son consentement écrit, il sait exactement ce qui est vérifié, et la loi nous oblige à lui fournir une copie de tout ce que nous trouvons ainsi qu’un moyen de contester si c’est erroné. Rien de tout cela n’est optionnel. C’est le FCRA.

L’autre volet, c’est que nous ne prenons pas la décision nous‑mêmes. Si une arrestation apparaît sur le profil d’une personne que nous surveillons, cela constitue un signal d’alerte pour l’employeur, pas un verdict. Le droit à la procédure reste applicable. Les employeurs doivent notifier le candidat, lui donner la possibilité de répondre, puis prendre une décision finale. Notre travail s’arrête à mettre en évidence le changement ; c’est l’employeur qui décide de ce que cela signifie et de ce qu’il faut en faire, de la même façon qu’il le ferait avec un contrôle à l’embauche. Nous l’avons conçu ainsi exprès.

À mesure que le recrutement et la gestion de la main‑d’œuvre deviennent de plus en plus agentiques, où la frontière doit‑elle se situer entre un agent IA qui collecte et évalue les signaux de confiance et la prise effective d’une décision d’embauche décisive ?

Je placerais la ligne là où la loi la place déjà pour nous aujourd’hui. Nous faisons attention à ne pas nous qualifier d’entreprise d’IA parce que notre secteur impose une exigence stricte : un humain doit intervenir dans tout ce qui touche un litige ou une décision défavorable. Un agent peut collecter les signaux, les noter, signaler ce qui a changé. Ce qu’il ne doit pas faire seul, c’est décider si quelqu’un n’obtient pas le poste ou ne le conserve pas, car cette décision doit être rattachée à une personne responsable qui peut l’expliquer en cas de contestation.

À mesure que l’embauche devient plus automatisée de bout en bout, je pense que cette frontière devient plus importante, pas moins. Plus il devient facile de laisser un agent gérer tout le processus, plus il est tentant de le laisser prendre la décision finale. La collecte et l’évaluation des signaux de confiance sont exactement ce que le logiciel doit faire, plus rapidement. Décider du moyen de subsistance d’une personne n’est pas quelque chose que je confierais du tout.

Avec le nouveau $30 million Series B portant le financement total de Yardstik à 65 millions de dollars, quels domaines de l’IA et de la prévention de la fraude estimez‑vous désormais mériter le plus d’investissements, et quels problèmes techniques restent à résoudre pour que la vérification d’identité continue fonctionne à une bien plus grande échelle ?

Nous investissons le nouveau capital dans les parties de la prévention de la fraude qui sont les moins glamour et les plus coûteuses à bien construire. Les rapports de véhicules motorisés et la surveillance des exclusions OIG. Des alertes automatisées dès qu’un permis, une police d’assurance ou une certification expire, au lieu d’attendre le prochain cycle de renouvellement pour le remarquer.

Le problème technique que personne dans cette industrie n’a résolu, c’est le coût. De nombreux pays et États facturent leurs propres frais pour extraire un dossier, parfois plus de 100 $ pour une seule extraction dans un endroit comme New York, et ce coût ne diminue pas simplement parce que vous souhaitez vérifier quelqu’un plus souvent. Rendre la vérification continue suffisamment abordable pour qu’une entreprise comptant des milliers de travailleurs gig puisse réellement la réaliser chaque mois au lieu d’une fois par an est autant un problème d’approvisionnement en données et de tarification qu’un problème d’apprentissage automatique. C’est celui auquel je pense le plus en ce moment.

Une course aux armements intéressante se dessine : l’IA rend simultanément la fraude d’identité plus facile tout en offrant aux plateformes de meilleurs outils pour la détecter. À mesure que les deux côtés s’améliorent, pensez‑vous que prouver qu’une personne est réellement celle qu’elle prétend être deviendra nettement plus difficile, ou l’IA finira‑t‑elle par rendre l’identité numérique plus fiable qu’elle ne l’a jamais été ?

Les deux sont vrais, et je ne pense pas que l’un annule l’autre. Nos clients nous disent souvent qu’ils s’attendent à ce que nous puissions « combattre le feu par le feu ». Ils savent que nous avons besoin de solutions modernes pour des problèmes modernes. Mon interprétation honnête est que l’identité numérique devient plus fiable pour les systèmes conçus pour suivre une personne sur des années et à travers les plateformes, et elle devient moins fiable pour tout ce qui mise encore sur une vérification ponctuelle. Cela signifie que les entreprises qui n’ont vérifié quelqu’un qu’une seule fois seront celles qui resteront exposées, tandis que celles qui ont construit pour le long terme sembleront beaucoup plus intelligentes rétrospectivement que ce qu’elles ressentent probablement aujourd’hui.

Merci pour cette excellente interview, les lecteurs qui souhaitent en savoir plus devraient visiter Yardstik.