L'intelligence artificielle s'est infiltrée dans les bureaux, les usines et même les visioconférences. Presque tous les processus de travail peuvent désormais intégrer des algorithmes, des modèles de langage ou des systèmes de recommandation, souvent à notre insu. Si cela présente des avantages considérables en termes d'efficacité et de productivité, cela soulève également une question délicate : la protection des données et les droits des travailleurs.
Alors que la technologie progresse à une vitesse fulgurante, la réglementation, les politiques internes et la culture d'entreprise accusent un net retard . Nombre d'entreprises utilisent l'IA pour sélectionner leur personnel, évaluer leurs performances ou analyser leurs comportements sans avoir défini de règles claires, de limites éthiques ni de contrôles de sécurité. Outre le risque juridique, cela représente une menace sérieuse pour leur réputation et leur environnement de travail. Parmi les risques figurent notamment la divulgation inutile de secrets commerciaux par l'introduction d'informations sensibles dans des services cloud.
Pourquoi est-il si urgent de réglementer l'IA et les données personnelles au travail ?
En entreprise, l'IA n'est plus une expérience isolée. Selon diverses études, une grande majorité des salariés interagissent déjà avec une forme ou une autre d'intelligence artificielle dans leur travail quotidien, même sans toujours en être conscients : filtres de candidats, outils de productivité, assistants de rédaction, systèmes d'évaluation internes, etc.
L'absence de politiques claires en matière d'IA au sein d'une entreprise peut entraîner des violations de la propriété intellectuelle. Cela se produit non seulement lorsque du contenu protégé est utilisé pour entraîner ou alimenter des modèles, mais aussi lors de la création de contenus manipulés ou trompeurs (deepfakes, rapports biaisés) ou lors de la divulgation inutile de secrets commerciaux par l'introduction d'informations sensibles dans des services cloud.
Il existe également un risque de mauvaise gestion des données personnelles des employés et des clients , en violation du Règlement général sur la protection des données (RGPD) ou de lois nationales équivalentes. Cela inclut la surveillance excessive, la prise de décision automatisée sans fondement juridique solide, la conservation des informations plus longtemps que nécessaire ou leur transfert vers des pays tiers sans garanties adéquates.
En bref, sans une gouvernance minimale, l'IA peut passer d'un allié stratégique à une source constante de problèmes juridiques, de conflits du travail et de perte de confiance de la part des clients, des fournisseurs et des employés.
Le nouveau règlement européen sur l'IA et son impact sur les entreprises
En Europe, la principale avancée réglementaire est le règlement relatif à l'intelligence artificielle (RIA ou loi sur l'IA) . Ce texte est déjà en vigueur et sa mise en œuvre est progressive. S'il n'interdit pas l'IA sur le lieu de travail, il établit un cadre de risques et d'obligations qui impacte directement les services des ressources humaines, des technologies, de la conformité et de la gestion.
Le règlement distingue plusieurs niveaux de risque et encadre plus strictement les systèmes d'emploi dits à haut risque : les algorithmes utilisés pour le recrutement, la sélection, l'évaluation des performances, les promotions, les licenciements ou les décisions relatives aux conditions de travail. Dans ces cas, les entreprises qui développent ou utilisent de tels systèmes doivent mettre en œuvre des procédures rigoureuses de gestion des risques, documenter leur fonctionnement, évaluer les biais potentiels et garantir un contrôle humain effectif.
De plus, la réglementation sur l'IA impose aux entreprises de dispenser une formation spécifique aux personnes qui exploitent ou supervisent les systèmes d'IA . L'achat et l'activation d'une solution auprès d'un fournisseur ne suffisent pas. Il est essentiel de comprendre son fonctionnement, les données qu'elle utilise, la manière dont ses décisions sont expliquées et la capacité réelle des humains à corriger, examiner ou annuler ses résultats.
Le non-respect de la réglementation est loin d'être anodin. Le texte européen prévoit des sanctions financières très importantes, à la fois fixes et proportionnelles au chiffre d'affaires . Quiconque pense pouvoir continuer à expérimenter avec des algorithmes dans les domaines des ressources humaines, de la sécurité ou de la surveillance sans cadre juridique solide et sans analyse d'impact approfondie s'expose à des amendes et à des poursuites judiciaires. C'est une affaire très sérieuse.
Éthique de l'IA et cadres internationaux : quelle place occupe le monde du travail ?
Parallèlement aux avancées réglementaires, la dernière décennie a vu proliférer les codes de déontologie, les lignes directrices volontaires et les déclarations sur l’« IA responsable », émanant des gouvernements, des entreprises technologiques, des universités, des associations professionnelles et des organisations de la société civile. Cet ensemble de « droit souple » vise à orienter le développement technologique vers des exigences morales minimales partagées.
Une analyse mondiale récente de 245 documents sur l'éthique de l'IA, compilés à l'aide de techniques de traitement automatique du langage naturel, montre que les débats se concentrent sur sept grands domaines thématiques :
- Éthique des systèmes autonomes.
- Politiques publiques en matière d'IA.
- Protection des données et confidentialité comme droits de l'homme.
- La finance.
- L'IA responsable en général.
- Applications dans le secteur de la santé.
- Gouvernance de l'intelligence artificielle.
Ce qui est frappant, c'est que le travail, l'emploi et les relations professionnelles n'apparaissent pas comme un thème distinct , même si nombre de ces lignes directrices font référence aux risques professionnels, à l'automatisation et à la discrimination à l'embauche. Elles mentionnent la justice, la non-discrimination, la dignité humaine et l'autonomie, mais établissent rarement un lien explicite entre ces concepts et les normes internationales du travail.
Les principes de l'Organisation internationale du travail (OIT), notamment les Principes et droits fondamentaux au travail, offrent un cadre éthique et juridique solide pour aborder les droits des travailleurs , la participation, la négociation collective et la protection contre la surveillance abusive. Or, ils sont rarement cités dans les lignes directrices sur l'éthique de l'IA. Il en résulte une lacune préoccupante concernant des questions telles que la gestion algorithmique, la surveillance intensive et l'impact de l'automatisation sur l'emploi.
Combler cet écart exige que la gouvernance de l'IA intègre explicitement une approche fondée sur les droits du travail : référence à l'OIT, aux réglementations nationales du travail, au dialogue social et à la participation des représentants des travailleurs à la conception et à la supervision des systèmes algorithmiques au travail.
Cadre juridique du travail et de la protection des données : ce qui est déjà obligatoire
Au-delà de la loi sur l'IA, le cadre juridique européen et espagnol contient déjà des obligations claires concernant les décisions automatisées, la transparence, la supervision humaine et les droits à l'information sur le lieu de travail.
D'une part, le RGPD exige le respect de principes tels que la minimisation des données, la limitation des finalités, la proportionnalité et la transparence . Toute organisation qui utilise l'IA pour traiter les données personnelles de ses employés ou candidats doit les en informer clairement, justifier la base juridique du traitement, limiter les données à celles strictement nécessaires et leur offrir des droits effectifs d'accès, de rectification, d'opposition et, le cas échéant, le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets significatifs.
L’article 22 du RGPD, renforcé par les lignes directrices du Comité européen de la protection des données, impose un contrôle humain effectif des décisions automatisées produisant des effets juridiques ou similaires sur les personnes physiques. Cette exigence est très courante dans les processus de sélection, de promotion ou de licenciement fondés sur un système de notation algorithmique.
En Espagne, le statut des travailleurs va plus loin. Suite à la réforme de 2021, l'article 64.4.d) reconnaît expressément le droit des représentants des travailleurs de connaître « les paramètres, règles et instructions » des algorithmes ou systèmes d'IA qui influent sur les conditions de travail, l'accès à l'emploi ou son maintien, y compris le profilage.
Cela a conduit l'Inspection du travail à entreprendre des actions ciblant spécifiquement les grandes plateformes numériques . L'objectif : vérifier comment elles utilisent leurs algorithmes pour l'attribution des tâches, la notation et la déconnexion des comptes. Parallèlement, l'Agence espagnole de protection des données (AEPD) a publié des lignes directrices sur le traitement des données au travail, insistant sur la transparence, la proportionnalité et une véritable intervention humaine dans les décisions automatisées.
Développeurs d'IA vs utilisateurs : des responsabilités différenciées
Dans l'écosystème de l'IA en milieu professionnel, au moins deux grands types d'acteurs coexistent. D'une part, on trouve ceux qui développent ou commercialisent des systèmes d'IA utilisés dans la gestion des ressources humaines : fournisseurs de logiciels de recrutement, de solutions d'analyse des performances, d'outils biométriques de gestion du temps et des présences, etc.
Ces acteurs ont l'obligation d' intégrer la conformité réglementaire « dès la conception ». Autrement dit, de documenter la logique de leurs modèles, d'expliquer les données qu'ils intègrent, de réaliser des évaluations d'impact sur la protection des données et les droits du travail, d'atténuer les biais, de consigner les preuves et de garantir des mécanismes de contrôle humain efficaces pour leurs clients.
D'un autre côté, certaines organisations acquièrent ou intègrent ces solutions à leurs processus internes . Elles ne peuvent se retrancher derrière l'excuse que « mon fournisseur m'a assuré être en conformité avec la loi » pour se soustraire à leurs responsabilités. La diligence raisonnable exige l'examen des contrats, l'analyse des flux de données, l'exigence de garanties techniques et organisationnelles, l'intégration de clauses de responsabilité, la réalisation de tests internes et des audits périodiques des performances réelles du système.
Conformément au principe de responsabilité proactive du RGPD, le recours à l'IA tierce n'exonère pas une entreprise de son obligation de rendre des comptes à l'autorité de contrôle ou aux tribunaux . Si un algorithme pratique une discrimination systématique à l'embauche ou exerce une surveillance au-delà des limites autorisées, l'organisation qui l'utilise devra fournir de nombreuses explications, indépendamment du développeur de l'outil.
De plus, lorsque les travailleurs sont représentés par un avocat, l'entreprise doit établir un canal clair d'information, de consultation et, le cas échéant, de négociation avant de mettre en œuvre des systèmes d'IA ayant une incidence sur les conditions de travail, le rythme de travail, les évaluations de performance ou le suivi. Nul ne peut se soustraire à cette responsabilité.
Risques et opportunités de l'intelligence artificielle dans le domaine des ressources humaines
L'intelligence artificielle appliquée à la gestion des ressources humaines présente deux aspects. D'un côté, son utilisation irréfléchie peut engendrer une surveillance excessive , des décisions opaques et des biais difficiles à déceler . Un algorithme qui rejette des CV en fonction de l'âge, de la nationalité ou du lieu de résidence peut bafouer les principes d'égalité. Un système qui mesure la productivité uniquement par le temps passé devant un écran peut ignorer la qualité du travail et porter atteinte au droit à la déconnexion.
De plus, en l'absence d'un véritable contrôle humain, les erreurs systémiques s'enracinent et sont perçues comme des décisions « objectives » difficiles à contester . Il peut en résulter une cascade de conflits internes et de plaintes individuelles, ainsi que des inspections et une atteinte à la réputation difficilement réparable.
Du côté positif, bien conçue, l'IA peut contribuer à réduire les biais humains, à rationaliser les processus, à améliorer l'expérience des candidats et à personnaliser la formation . Par exemple, des systèmes de présélection de CV transparents et audités peuvent empêcher les biais inconscients d'influencer la sélection initiale. Des outils analytiques performants permettent d'identifier plus précisément les besoins en matière de requalification et de perfectionnement.
L'essentiel est d'allier la technologie à des principes clairs :
- Équité.
- Inclusivité.
- Proportionnalité.
- Explicabilité.
- Contrôle humain efficace.
Les entreprises qui parviennent à cet équilibre minimiseront les risques. Elles gagneront également la confiance de leurs employés et de la société.
D'un point de vue stratégique, disposer d'une politique robuste en matière d'IA et de protection des données au sein de l'entreprise est un signe de maturité. Cela indique que l'organisation anticipe les exigences réglementaires.
Éléments clés d'une politique interne en matière d'IA au sein de l'entreprise
Bien que l'existence d'une politique interne en matière d'IA ne soit pas toujours une obligation légale aujourd'hui, il est de plus en plus risqué d'opérer sans document clair définissant les règles du jeu.
- Transparence La politique doit exiger que les employés soient clairement informés de l'utilisation de l'IA, de ses finalités et de son impact potentiel sur leur travail quotidien. Il convient notamment d'expliquer si les algorithmes influencent l'organisation du travail, l'évaluation des performances, la planification des horaires ou la priorisation des tâches.
- Limites éthiques et juridiques de l'utilisation des donnéesDéfinir les catégories d'informations pouvant être traitées par l'IA, les données exclues car trop sensibles, la manière dont les informations sont anonymisées ou pseudonymisées lorsque cela est possible, les règles régissant les transferts internationaux et la durée de conservation de chaque ensemble de données.
- Formation continue. Il est déraisonnable d'attendre des employés qu'ils utilisent l'IA de manière responsable si personne ne leur a expliqué les risques encourus ni comment les éviter. La politique en vigueur devrait inclure des formations régulières sur l'utilisation responsable, la protection de la vie privée, la sécurité, les biais algorithmiques et des canaux internes pour signaler les problèmes ou les incidents.
- Droits et obligations des travailleurs en matière d'IACela inclut le régime de non-conformité. Il s'agit notamment de préciser ce qui constitue un usage abusif des outils d'IA, les mesures disciplinaires applicables et comment les droits de la défense et la proportionnalité des sanctions sont garantis simultanément.
Comment intégrer l'IA dans la politique de confidentialité de l'entreprise
La politique de confidentialité ou de protection des données d'une organisation ne peut plus ignorer l'IA. Si des modèles d'IA sont utilisés, cela doit être expliqué clairement et de manière compréhensible , sans être dissimulé dans les clauses en petits caractères.
Ce document doit préciser quels services d'IA sont utilisés pour traiter les données personnelles et à quelles fins. Il est conseillé de mentionner les principales plateformes d'IA générative, les moteurs de recommandation ou les solutions d'analyse automatisée, en indiquant s'il s'agit de services tiers, de développements internes hébergés dans le cloud ou de modèles déployés sur une infrastructure propriétaire.
La politique doit également détailler comment et pourquoi les données personnelles sont partagées avec ces plateformes . Des messages contenant des informations permettant d'identifier les clients ou les employés sont-ils envoyés ? Les assistants cloud reçoivent-ils des documents internes ? L'activité de navigation ou les métadonnées sont-elles utilisées pour entraîner des algorithmes ? Chaque flux doit être identifié et justifié.
Il est tout aussi important d' expliquer les droits des utilisateurs ou des employés concernant leurs données lorsque des systèmes d'IA sont utilisés. Il convient d'indiquer comment ils peuvent demander l'accès à leurs données, leur rectification, leur effacement ou la limitation de leur traitement par les algorithmes, ainsi que s'opposer à certaines finalités ou demander que leurs données ne soient pas utilisées pour l'entraînement de modèles, lorsque la loi le permet.
Pour certaines entreprises, le recours à des solutions tierces proposant des générateurs de politiques ou des clauses spécifiques relatives à l'IA peut s'avérer utile, à condition d' éviter le simple copier-coller et d'adapter le contenu à la situation particulière de l'organisation . La supervision par les équipes juridiques ou de protection des données demeure essentielle.
Protection de la vie privée dans les services d'IA basés sur le cloud et dans l'administration publique
L'une des questions les plus sensibles concerne l'utilisation des plateformes d'IA accessibles via le web, hébergées dans le cloud et souvent situées hors de l'Union européenne . Des outils tels que les chatbots avancés, les modèles de langage naturel, les environnements de travail intelligents et les assistants intégrés aux suites bureautiques collectent, stockent et traitent d'importants volumes d'informations. La possibilité de partager ces informations avec les fournisseurs de services cloud, les filiales, les prestataires de paiement ou les autorités publiques est également fréquemment envisagée.
La localisation et la durée de conservation des données sont des facteurs essentiels. Lorsque des informations sont stockées sur des serveurs situés hors de l'UE, notamment aux États-Unis, les mécanismes de transfert international et les clauses contractuelles types s'appliquent, ainsi que l'analyse des garanties correspondantes. Les politiques stipulent souvent que les données sont conservées « aussi longtemps que nécessaire aux fins de l'activité ». Cette affirmation est trop vague si elle n'est pas assortie de délais précis et de critères transparents.
Dans le cas des administrations publiques et des organismes qui traitent des informations particulièrement sensibles, l'utilisation de modèles basés sur le cloud sans adaptations ni contrôles supplémentaires présente un risque accru . Il est donc essentiel de former préalablement le personnel, d'appliquer des critères stricts de sécurité de l'information, de se conformer au RGPD et au cadre national de sécurité (ENS), et d'envisager sérieusement le déploiement des modèles localement ou dans des infrastructures sécurisées qui conservent les données au sein de l'UE.
Gouvernance, cybersécurité et culture organisationnelle
Parler de protection de la vie privée sans aborder la cybersécurité ne suffit pas. Les failles de sécurité, les rançongiciels et les fuites massives de données ont un impact direct sur la confidentialité, l'intégrité et la disponibilité des données, notamment lorsqu'une organisation fonde une partie de ses processus sur des systèmes d'IA fortement interconnectés.
Pour que les politiques de confidentialité liées à l'IA ne soient pas de vains mots, elles doivent s'appuyer sur des mesures de cybersécurité techniques robustes : chiffrement en transit et au repos, contrôles d'accès précis, segmentation du réseau, authentification multifactorielle, surveillance continue des anomalies et plans de réponse aux incidents régulièrement testés.
Une gouvernance efficace exige une collaboration étroite entre les services informatiques, de sécurité, des ressources humaines, juridiques et de conformité. Il ne suffit pas que l'équipe technique se contente de mettre en œuvre des solutions. Des comités ou des groupes de travail doivent être créés pour définir les priorités, évaluer les risques, examiner régulièrement les systèmes d'IA critiques et coordonner les audits internes et externes.
La culture organisationnelle constitue le troisième pilier. Sans une réelle prise de conscience des risques et une formation continue, l'IA devient un terme fourre-tout employé à tort et à travers. Il est donc conseillé d'organiser des ateliers, d'élaborer des guides pratiques, de diffuser les bonnes et les mauvaises pratiques et de mettre en place des canaux de communication confidentiels permettant à chacun de signaler tout usage abusif ou toute vulnérabilité perçue.
Les entreprises qui intègrent avec succès l'IA, la protection de la vie privée et la cybersécurité dans une stratégie cohérente se conforment non seulement à la réglementation, mais renforcent également la confiance et leur résilience . Dans un contexte de menaces croissantes et de réglementations de plus en plus strictes, cette confiance est l'un des atouts concurrentiels les plus difficiles à reproduire. C'est un investissement judicieux.
