Données et confidentialité

Peut-on contrôler l'usage de l'IA par ses salariés ?

Mis à jour le · Par Mickaël David · Rédigé avec l'aide de Claude (IA), relu et validé par l'auteur

En 10 minutes

Les trois conditions à respecter

  1. Informer avant : aucune information concernant un salarié ne peut être collectée par un dispositif qui n'a pas été porté préalablement à sa connaissance (article L. 1222-4 du Code du travail). Votre charte IA peut servir de support à cette information.
  2. Rester proportionné : les restrictions aux libertés des salariés doivent être justifiées par la nature de la tâche et proportionnées au but recherché (article L. 1121-1 du Code du travail).
  3. Consulter le CSE à partir de 50 salariés : il doit être informé et consulté avant la mise en place de moyens permettant un contrôle de l'activité des salariés.

S'y ajoutent les règles du RGPD : informer précisément, ne collecter que ce qui est nécessaire, limiter la durée de conservation, et réaliser une analyse d'impact si la surveillance est systématique.

Ce que vous pouvez contrôler

Les comptes : qui a un compte professionnel sur quel outil, et leur activation ou suppression.

Les statistiques d'usage : nombre de conversations, fonctions utilisées, volume par équipe. La plupart des offres entreprise les affichent dans leur console d'administration.

Les outils connectés : extensions, applications reliées à votre messagerie ou à vos documents.

Les sites accessibles depuis le réseau et le matériel de l'entreprise : vous pouvez bloquer des outils non validés, en le disant.

Le contenu des conversations sur les comptes professionnels : seulement en cas d'incident ou de soupçon précis, de façon ciblée, en présence du salarié ou après l'en avoir informé.

Ce qui est interdit ou disproportionné

Surveiller les comptes personnels ou le téléphone personnel d'un salarié.

Enregistrer en continu les frappes au clavier ou faire des captures d'écran régulières pour vérifier ce qu'il tape dans une IA.

Lire systématiquement toutes les conversations avec l'IA « pour voir ».

Utiliser l'IA pour analyser les émotions des salariés : c'est interdit par l'AI Act depuis février 2025.

Mettre en place un contrôle sans en avoir informé les salariés.

Un exemple récent

En décembre 2024, la CNIL a sanctionné de 40 000 euros  une petite entreprise du secteur immobilier. Elle utilisait un logiciel qui :

  • signalait des périodes d'« inactivité » quand le clavier et la souris n'étaient pas utilisés pendant quelques minutes ;
  • mesurait le temps passé sur des sites jugés « productifs » ou non ;
  • prenait des captures d'écran toutes les 3 à 15 minutes.

La CNIL a relevé l'absence de base légale, une information insuffisante des salariés, une sécurité défaillante et l'absence d'analyse d'impact. La taille réduite de l'entreprise n'a pas empêché la sanction : elle a seulement été prise en compte dans le montant.

Et si vous découvrez un abus ?

  • Si un salarié a mis des données de clients dans un outil non validé, traitez d'abord l'incident : c'est une possible violation de données, avec un délai de 72 heures pour la CNIL si elle présente un risque.
  • Une sanction disciplinaire n'est possible que si la règle était écrite et connue : la charte, adoptée dans les formes, est ce qui vous permet d'agir.
  • Une preuve obtenue par un contrôle dont le salarié n'avait pas été informé est fragile devant le conseil de prud'hommes. Depuis fin 2023, la Cour de cassation admet qu'elle peut être retenue, mais seulement si elle est indispensable et l'atteinte proportionnée : ne comptez pas dessus.

Notre conseil

Le contrôle le plus efficace n'est pas technique. C'est un outil professionnel fourni à chacun, une charte claire et une heure de formation. Un salarié qui a un bon outil n'a plus de raison d'utiliser son compte personnel.

Réservez la console d'administration aux comptes et aux statistiques, et gardez la lecture des conversations pour les incidents.

Ce que vous pouvez faire dès cette semaine

  • Lister ce que la console d'administration de votre outil d'IA permet de voir.
  • Écrire dans votre charte ce qui est contrôlé, par qui et dans quels cas le contenu peut être consulté.
  • Informer les salariés avant toute mise en place, et consulter le CSE à partir de 50 salariés.
  • Supprimer tout logiciel qui capture l'écran ou le clavier en continu.
  • Prévoir une durée de conservation courte pour les journaux d'utilisation.
Télécharger le modèle de charte IA

Sources

Historique des mises à jour
  • · Première publication

Cet article donne un premier éclairage et ne constitue pas un conseil juridique.

Vous voulez en discuter ?

Prenons le temps de regarder la situation de votre entreprise. Le premier échange est offert.

Être rappelé

Questions fréquentes

Puis-je lire les conversations de mes salariés avec l'IA ?
Sur un compte professionnel, c'est techniquement possible avec certaines offres entreprise, mais cela doit rester exceptionnel : en cas d'incident ou de soupçon précis, de façon ciblée, et après en avoir informé les salariés dans votre charte.
Puis-je bloquer ChatGPT sur le réseau de l'entreprise ?
Oui, comme n'importe quel site, à condition d'en informer les salariés. Proposez en parallèle un outil professionnel, sinon l'usage passera sur les téléphones personnels.
Faut-il déclarer ce contrôle à la CNIL ?
Non, il n'y a plus de déclaration préalable. En revanche, le traitement doit figurer dans votre registre des traitements, et une analyse d'impact est nécessaire si la surveillance est systématique.
Mon entreprise a moins de 50 salariés : le CSE ne s'applique pas ?
La consultation préalable sur les moyens de contrôle concerne les entreprises de 50 salariés et plus. En dessous, l'information individuelle des salariés et la proportionnalité restent obligatoires.