IA et RGPD : ce que l’employeur doit savoir sur l’usage de l’IA générative par ses salariés

Un salarié résume un contrat de travail, trie des CV ou synthétise une liste de clients en quelques secondes grâce à une IA générative grand public. Le gain de temps est réel — mais la donnée a quitté le périmètre de l’entreprise sans que personne n’ait évalué les conséquences ni sollicité le moindre arbitrage. Le RGPD n’attend pas qu’un outil soit officiellement validé : dès que des données personnelles sont en jeu et qu’un salarié agit dans le cadre de ses fonctions, l’employeur répond du traitement.

Que se passe-t-il quand un salarié colle des données dans une IA grand public ?

Des données personnelles aux informations confidentielles : ce qui circule vraiment

Le contenu transmis à ces outils couvre un spectre large : CV nominatifs, lettres de motivation, fiches de paie, contrats de travail, dossiers disciplinaires, listes de clients ou coordonnées de prestataires. Au sens du RGPD, toute information se rapportant à une personne physique identifiée ou identifiable — directement ou indirectement — constitue une donnée à caractère personnel. S’y ajoutent des informations confidentielles sans dimension personnelle : procédures internes, organigrammes, notes de direction.

Dès l’envoi du prompt, la donnée quitte l’environnement maîtrisé de l’entreprise. Selon les conditions générales du fournisseur, elle peut être conservée ou réutilisée à d’autres fins. La CNIL recommande d’évaluer cette possibilité de réutilisation avant tout usage.

L’entreprise reste responsable du traitement, même sans outil officiel

Le RGPD qualifie de responsable du traitement l’entité qui détermine les finalités et les moyens du traitement. Aucune décision de la DSI n’est nécessaire pour que cette responsabilité s’enclenche : un salarié qui agit dans le cadre de ses fonctions engage son employeur.

L’article 5 pose le principe de limitation des finalités : les données doivent être collectées pour des finalités déterminées, explicites et légitimes, et ne peuvent être réutilisées d’une manière incompatible avec ces finalités. L’article 6 impose qu’un traitement repose sur l’une de ses bases juridiques. Sans l’une ou l’autre, le manquement est constitué — indépendamment de tout déploiement officiel d’un outil d’IA.

Ce que risque l’entreprise : RGPD, confidentialité, responsabilité

Les principes fondamentaux du RGPD mis en cause

Cinq manquements types guettent l’entreprise qui utilise l’IA générative sans cadrage préalable : absence de base juridique (art. 6), non-respect de la minimisation (art. 5), absence de finalités déterminées et documentées (art. 5 §1 b et §2), transfert hors UE non encadré (art. 44-49) et absence d’information des personnes (art. 13-14). Pour les catégories particulières de données — origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques, biométriques, de santé, vie sexuelle ou orientation sexuelle —, l’article 9 pose une interdiction de principe, sous réserve des exceptions strictement encadrées.

Le plafond des sanctions : l’article 83 §5 du RGPD

L’article 83 §5 fixe l’amende maximale à 20 000 000 € ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Ce plafond couvre les manquements aux principes fondamentaux (art. 5, 6, 7, 9), aux droits des personnes (art. 12-22) et aux transferts hors UE (art. 44-49). Le risque de confidentialité — secret industriel et commercial — est distinct du RGPD et peut activer d’autres régimes juridiques, civils ou pénaux.

Ce que recommande la CNIL aux employeurs en matière d’IA générative

En 2024, la CNIL a publié ses recommandations destinées à guider les organisations dans l’encadrement de l’IA générative. Ces recommandations ne constituent pas une réglementation contraignante, mais elles traduisent l’état de l’art attendu par l’autorité de contrôle en cas de contrôle.

Définir la liste des usages autorisés et des usages interdits

La CNIL recommande à chaque organisation de dresser une liste explicite d’usages autorisés et interdits, calibrée selon les risques propres à son activité. Elle donne à titre d’exemple la possibilité d’interdire de fournir des données personnelles au système ou de lui confier une prise de décision — sans que ces exemples constituent des règles absolues universelles.

Un service grand public peut être utilisé pour des usages non confidentiels, sous réserve de garanties appropriées — notamment l’utilisation d’adresses professionnelles et un paramétrage adapté du compte. La ligne rouge ne se déplace pas pour les services grand public : ne jamais y partager d’informations confidentielles — données personnelles, secrets industriels ou commerciaux, données d’entreprise. Les autres usages doivent être évalués et encadrés selon les risques.

Paramétrer, former les utilisateurs et structurer la gouvernance

Sur le plan technique, la CNIL recommande de désactiver, lorsque c’est possible, la réutilisation des données d’usage par le fournisseur et l’enregistrement de l’historique. Si le fournisseur peut malgré tout réutiliser les données transmises, une analyse au cas par cas s’impose avant tout usage professionnel. Pour les données personnelles ou les documents sensibles, un déploiement sur site est généralement privilégié.

La gouvernance ne peut pas reposer sur la seule bonne volonté des utilisateurs. La CNIL recommande d’associer toutes les parties prenantes dès le départ : le DPO, le responsable des systèmes d’information et le RSSI — auxquels s’ajoutent les responsables métiers concernés. Former les utilisateurs aux usages interdits, leur fournir des « prompts types » validés et maintenir un esprit critique face aux sorties générées complètent le dispositif.

Fournisseur d’IA grand public : sous-traitant ou tiers indépendant ?

La relation contractuelle avec un fournisseur d’IA conditionne le niveau de responsabilité de l’entreprise. Lorsque le fournisseur traite des données personnelles pour le compte de l’organisation, il entre dans le champ de l’article 28 du RGPD et doit être encadré comme sous-traitant. S’il détermine lui-même les finalités de son traitement, il agit en responsable indépendant : les obligations contractuelles restent, mais leur nature change. Pour approfondir la gouvernance des agents IA, voir notre dossier sur les méthodes pilote, copilote et autopilote pour les agents IA RH.

Ce que le contrat avec le fournisseur doit encadrer (art. 28 RGPD)

Lorsque le fournisseur relève du régime du sous-traitant, le contrat doit couvrir les instructions données, la confidentialité, les mesures de sécurité, les conditions d’assistance à la personne concernée, les modalités de recours à des sous-traitants ultérieurs, ainsi que les conditions de suppression ou de restitution des données en fin de prestation et la mise à disposition des informations nécessaires pour démontrer le respect des obligations — y compris pour la réalisation d’audits.

Un risque souvent négligé : les conditions générales d’utilisation de certains services grand public prévoient que les données saisies — y compris les prompts — peuvent servir à améliorer le modèle. Vérifier ce point dans la documentation contractuelle est un prérequis avant tout usage professionnel, conformément à la recommandation CNIL d’évaluer dans quelle mesure le prestataire peut réutiliser les données transmises.

IA et recrutement : l’article 22 du RGPD en pratique

Filtrer des candidatures avec un outil d’IA n’est pas interdit. Déléguer la décision à cet outil peut l’être. L’article 22 du RGPD pose le principe : une personne peut refuser d’être soumise à une décision fondée exclusivement sur un traitement automatisé dès lors que cette décision produit des effets juridiques ou l’affecte de manière significative. Le rejet d’une candidature peut relever de cet article selon le fonctionnement du dispositif — cette qualification s’apprécie au cas par cas. Notre article sur l’IA et l’automatisation des algorithmes de recrutement détaille les enjeux opérationnels.

L’intervention humaine : ce qu’elle doit être pour être effective

L’article 22 prévoit des exceptions : décision nécessaire à la conclusion ou à l’exécution d’un contrat, autorisation par le droit de l’Union ou national avec garanties, ou consentement explicite de la personne. Dans les cas du contrat et du consentement, l’employeur doit au minimum permettre une intervention humaine, recueillir le point de vue de la personne et lui permettre de contester la décision. Pour que cette intervention ait un sens, elle doit être réelle : une personne en mesure d’examiner le résultat, de s’en écarter si nécessaire et de répondre au candidat. Cliquer sur « valider » sans lire l’analyse produite par l’outil n’offre pas cette garantie.

Transparence et information des candidats

L’article 13 du RGPD impose d’informer les personnes lorsque leurs données sont collectées directement auprès d’elles ; l’article 14 s’applique lorsqu’elles sont obtenues indirectement. Lorsqu’un outil d’IA intervient dans la sélection, les candidats doivent recevoir une information compréhensible sur les traitements qui les concernent. L’AI Act ajoutera ensuite ses propres exigences pour les outils de recrutement classés à haut risque — voir la section consacrée à l’AI Act ci-dessous.

CV à consignes cachées : pourquoi le recruteur doit garder la main

Des tentatives de manipulation des outils de tri automatisé sont rapportées : certains candidats insèrent dans leur CV du texte invisible — en blanc sur fond blanc, en police de taille infime ou via d’autres techniques de dissimulation — pour orienter favorablement la lecture d’un algorithme. La fréquence réelle du phénomène n’est pas établie par une source officielle fiable, mais son principe est documenté. Un outil peut lire cette consigne comme une instruction ; le recruteur, lui, ne la voit pas.

Ce phénomène est avant tout un signal d’alarme pratique : si un outil peut être manipulé par une consigne extérieure glissée dans un document, lui confier la décision finale est une erreur à la fois réglementaire et opérationnelle. Lire les candidatures, exercer son jugement et documenter la décision — c’est ce que les garanties de l’article 22 du RGPD attendent d’une intervention humaine réelle, et ce qui limite l’effet de ces tentatives de manipulation.

Comment poser une charte d’usage de l’IA générative en entreprise

Une charte d’usage n’est pas un document de conformité à ranger dans le tiroir du DPO. C’est l’outil opérationnel qui permet à chaque salarié de savoir ce qu’il peut faire, avec quel outil et dans quelles conditions — sans attendre un incident pour fixer les règles.

Les sept composantes d’une charte efficace

1. Liste des usages autorisés par profil métier : précise et concrète, avec des exemples pour chaque fonction (RH, commercial, juridique…).
2. Usages interdits et données proscrites : données personnelles de salariés et de candidats, documents couverts par le secret industriel ou commercial, informations confidentielles de l’entreprise.
3. Outils validés par la DSI : liste des services autorisés, conditions d’accès et niveau de garantie contractuelle obtenu du fournisseur.
4. Règles de paramétrage : désactivation, lorsque c’est possible, de la réutilisation des données d’usage et de l’enregistrement de l’historique, utilisation d’adresses professionnelles.
5. Formation et « prompts types » : expliquer les risques des usages autorisés, fournir des modèles de prompts validés, rappeler l’obligation de vérification des sorties.
6. Contrôles réguliers et mise à jour : audits périodiques des usages réels, révision de la charte en cas d’évolution réglementaire, canal de signalement des incidents.
7. DPO comme point de contact : référent interne pour toute question sur un usage nouveau ou ambigu, associé dès la conception avec le RSSI, le responsable SI et les métiers.

AIPD : quand l’analyse d’impact est obligatoire

L’article 35 du RGPD impose une analyse d’impact sur la protection des données (AIPD) dès que le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. En contexte RH, trois indicateurs constituent des facteurs d’appréciation majeurs : le traitement de données relevant des catégories particulières au sens de l’article 9, les décisions automatisées à grande échelle et le profilage de salariés ou de candidats. Pris isolément ou combinés, ils orientent vers l’obligation d’AIPD — mais c’est l’appréciation globale du risque qui la déclenche, selon les critères et listes publiés par le Comité européen de la protection des données.

La démarche consiste à identifier les risques, mesurer leurs impacts potentiels et définir les mesures correctrices. Un déploiement d’outil RH sans AIPD préalable, dans un cas où elle était requise, constitue un manquement à l’article 35. Le DPO pilote ou accompagne l’exercice — une raison de plus pour l’associer dès la conception, comme le recommande la CNIL. Pour le volet gouvernance, voir également notre dossier sur les agents IA RH.

AI Act et emploi : les obligations au 2 décembre 2027

L’AI Act ne remplace pas le RGPD. Il s’y superpose, avec ses propres exigences. La distinction est essentielle : les obligations issues du RGPD s’appliquent dès aujourd’hui à tout traitement de données personnelles, y compris via un outil d’IA. L’AI Act ajoute une couche spécifique aux systèmes d’IA eux-mêmes, selon un calendrier échelonné : certaines obligations s’appliquent déjà, tandis que celles pesant sur les systèmes à haut risque ont été reportées.

Les systèmes à haut risque dans l’emploi : ce qui entre en vigueur

L’AI Act classe dans l’annexe III les outils destinés au recrutement, à la sélection, au filtrage des candidatures et à l’évaluation des candidats. L’AI Omnibus, entré en vigueur le 27 juillet 2026, a reporté au 2 décembre 2027 l’application des obligations spécifiques aux systèmes à haut risque relevant de l’article 6, paragraphe 2, et de l’annexe III. Cette modification de calendrier ne suspend pas le RGPD : c’est lui qui régit aujourd’hui les données saisies dans tout outil de tri ou d’évaluation.

Les exigences propres aux systèmes à haut risque s’ajouteront à celles du RGPD, sans les remplacer. Pour une vue d’ensemble, consultez notre analyse de l’impact de l’AI Act sur les RH.

Conclusion

La mise en conformité de l’IA générative au RGPD n’est pas une option réservée aux grandes entreprises dotées d’une équipe juridique. C’est une obligation opérationnelle qui concerne chaque organisation dès le premier usage professionnel d’un outil d’IA. Les règles existent, elles sont documentées, et la CNIL a publié ses recommandations pratiques dès 2024.

Poser une charte d’usage, associer le DPO dès la conception, former les équipes et paramétrer les outils correctement relève avant tout de décisions de gouvernance. Les employeurs qui prennent ce virage en avance ne subissent pas la conformité : ils construisent une gouvernance de la donnée qui protège leurs salariés, leurs candidats et leur réputation bien au-delà des seules exigences réglementaires. Commencez par cartographier ce que vos équipes font déjà avec les outils grand public — le reste suit naturellement.

Questions fréquentes sur l’IA générative et le RGPD