Introduction
Les outils d’intelligence artificielle (IA) se diffusent rapidement dans le monde professionnel : assistants conversationnels, générateurs de texte, d’images, de code, outils de traduction automatique, systèmes d’aide à la décision, logiciels d’analyse de données...
S’ils offrent des gains de productivité considérables, leur utilisation pose des enjeux juridiques et de conformité pour les employeurs comme pour les salariés.
Le présent guide aborde :
- le cadre juridique applicable,
- la marge de manœuvre de l’employeur pour encadrer ou interdire ces usages,
- les instruments internes adaptés,
- les questions que vous pouvez vous poser pour vous aider dans la rédaction d’une charte.
Quel est le cadre juridique applicable ?
Principe : le pouvoir de direction de l’employeur
En vertu du lien de subordination et de l’article L.1121-1 du Code du travail, l’employeur fixe les conditions d’usage des outils numériques dans l’entreprise.
Il peut donc autoriser, restreindre ou interdire l’utilisation d’outils d’IA par ses salariés, à condition que ces mesures soient :
- justifiées par la nature de la tâche à accomplir,
- proportionnées au but recherché,
- et encadrées.
Conséquences
L’employeur peut autoriser ou interdire l’utilisation de ces outils tant qu’il respecte ces mesures impératives.
L’employeur peut interdire partiellement l’utilisation de ces outils à une catégorie de salariés tant que cette interdiction repose sur des motifs objectifs et légitimes (interdiction aux stagiaires, alternants ou encore à des salariés manipulant des données sensibles).
L’employeur peut obliger ses salariés à travailler avec l’intelligence artificielle tant que cette obligation ne modifie pas substantiellement le contrat de travail. Ce dernier peut imposer unilatéralement l’usage d’un outil basé sur l’IA à ses salariés. A défaut, il devra recueillir son accord.
L’employeur a une obligation de formation en application de l’article L. 6321-1 du Code du travail et de ce fait doit former le salarié à l’utilisation de ces outils.
Obligations de sécurité et de confidentialité
L’employeur doit assurer la sécurité des systèmes et la confidentialité des données (Code du Travail article L.4121-1 ; Code civil, article 1240).
À ce titre, il peut légitimement restreindre l’usage d’outils d’IA pour éviter :
- l’introduction de données personnelles dans un service tiers non conforme au RGPD,
- la divulgation de secrets d’affaires (directive UE 2016/943 ; C. com., L.151-1),
- ou des risques de cybersécurité.
Information et consultation du CSE pour les entreprises d’au moins 11 salariés
Si l’introduction ou l’encadrement des outils d’IA modifie l’organisation du travail, les conditions de santé/sécurité ou la formation des salariés, l’employeur doit consulter le CSE (Code du Travail article L.2312-8).
Quels sont les documents juridiques internes adaptés pour encadrer l’utilisation d’outils d’IA ?
La charte informatique
Instrument classique en droit du travail, la charte informatique fixe :
- les outils autorisés et interdits aux salariés,
- les règles de confidentialité applicables aux salariés,
- les sanctions disciplinaires en cas de manquement à la charte.
Le règlement intérieur
Obligatoire pour les entreprises de plus de 50 salariés, il peut contenir une clause encadrant l’utilisation d’outils d’intelligence artificielle.
Le règlement intérieur est plus contraignant dans la mesure où il doit être transmis à l’inspection du travail. Les clauses doivent être légales et respecter les droits fondamentaux.
La politique IA
Certaines entreprises choisissent de rédiger un document spécifique aux problématiques IA.
Ce document, accompagné d’un préambule explicitant les enjeux pour l’entreprise nous semble devoir contenir des éléments relatifs :
- aux usages autorisés : liste d’outils validés par l’entreprise.
- aux usages prohibés : par exemple, saisie de données confidentielles dans des outils publics, utilisation à titre personnel sur le poste de travail, etc.
- à la vérification systématique des outputs : obligation de relecture humaine des productions de l’IA.
- à la gouvernance sur les questions d’IA au sein de l’entreprise : à l’instar du DPO, rien ne vous interdit de désigner un responsable de l’utilisation des outils d’IA au sein de l’entreprise.
Pour être opposable, elle doit être diffusée aux salariés et annexée au règlement intérieur si elle comporte des obligations disciplinaires.
Certaines entreprises ont par ailleurs mis à disposition du grand public des chartes IA, il semble nécessaire que ces deux documents soient cohérents l’un avec l’autre.
Quels sont les risques ?
Risques disciplinaires
L’employeur, dans le cadre de son pouvoir de direction, dispose d’un pouvoir de sanction en cas de manquement du salarié à ses obligations dans le cadre de l’exécution de son contrat de travail.
L’employeur pourrait sanctionner le salarié en cas de non-respect des outils encadrant l’utilisation de l’IA.
Risques psychosociaux
L’utilisation des outils d’IA créé de nouveaux risques psychosociaux que l’employeur doit identifier.
Le document unique d'évaluation des risques professionnels (DUERP), obligatoire dès l’embauche du 1er salarié, est un outil permettant de formaliser cette évaluation et de définir les mesures adaptées.
L’employeur doit mettre à jour le DUERP tenant compte de cette utilisation au sein de son entreprise.
Risques juridiques
Gare aux fuites de données confidentielles, aux erreurs, aux utilisations non conformes au RGPD.
Quelles sont les questions à vous poser dans la rédaction de votre charte ?
Voici dix questions que vous pouvez vous poser dans le cadre de la rédaction de votre charte informatique révisée ou charte IA :
- Quels sont les outils IA que vous souhaitez autoriser ou au contraire prohiber (outils spécialisés, grand public...) ?
- Dans quels services vous souhaitez limiter ou exclure l’utilisation des outils IA ?
- Quelle est la finalité de l’utilisation des outils IA ?
- Quelle est la politique de propriété intellectuelle voulue pour les contenus générés ?
- Est-ce que la génération de contenus par l’IA vient en contrariété avec certains engagements de l’entreprise notamment en matière de propriété intellectuelle ?
- Quel paramétrage type des outils d’IA est souhaité par l’entreprise (notamment quant à l’apprentissage par rétroaction) ?
- Quelles vérifications sont imposées au salarié dans la relecture des outputs par l’IA ?
- Quelle est la pratique souhaitée s’agissant des données identifiantes des clients, des autres salariés de l’entreprise ?
- Quels sont les risques liés à une défaillance de l’outil IA ?
- Quelles formations l’entreprise peut offrir sur le sujet IA ?
