IA et droit du travail — Ce que l'employeur doit prévoir

L'IA peut modifier l'organisation du travail de façon visible — introduction d'un nouvel outil, redéfinition de tâches — ou de façon progressive et peu perceptible. Dans les deux cas, l'employeur doit anticiper plusieurs effets :

• Évolution du contenu et du périmètre de certains postes
• Modification des rythmes, des priorités ou des méthodes de travail
• Apparition de nouvelles exigences de compétences sans accompagnement prévu
• Modification des critères d'évaluation sans que les collaborateurs en aient été informés

Ces modifications peuvent relever de l'obligation d'information et de consultation des représentants du personnel selon leur nature et leur portée.

Le niveau de vigilance de l'employeur doit augmenter proportionnellement à l'influence de l'IA sur des décisions concernant directement les salariés. Il faut distinguer :

• Assistance de préparation — l'IA aide à structurer un dossier, à synthétiser des informations. Risque faible, supervision normale suffisante.
• Recommandation influente — l'IA produit un score, un classement ou une suggestion qui oriente fortement la décision. Supervision humaine explicite et documentée requise.
• Décision appliquée automatiquement — la sortie de l'IA détermine directement une conséquence sur le salarié sans intervention humaine réelle. Situation à haut risque juridique, potentiellement non conforme au RGPD et au droit du travail.

L'introduction d'un outil IA ne transfère pas la responsabilité juridique vers le fournisseur. L'employeur qui déploie un système d'IA pour ses salariés reste responsable :

• Des conditions dans lesquelles il est utilisé
• Des décisions qui en résultent ou qu'il influence
• De la formation des personnes qui l'utilisent
• De la conformité aux règles de droit du travail et de protection des données

La Commission européenne rappelle explicitement que les deployers de systèmes d'IA ont des responsabilités spécifiques — y compris lorsque l'outil est fourni par un tiers.

L'employeur a une obligation d'information vis-à-vis de ses salariés lorsqu'un système d'IA est introduit dans leurs conditions de travail. Cette obligation couvre au minimum :

• L'existence du système et sa nature (outil d'assistance, d'évaluation, de suivi...)
• Les données collectées ou traitées sur les salariés dans ce cadre
• Le rôle effectif de l'outil dans les décisions qui les concernent
• Les droits qu'ils peuvent exercer, notamment en matière d'accès et de contestation

Cette information doit être fournie avant le déploiement, pas après que les salariés ont constaté les changements.

L'introduction de l'IA peut modifier les conditions de travail de façon significative sans que cela soit perçu comme un changement formel nécessitant une consultation. L'employeur doit examiner si les usages IA envisagés :

• Modifient substantiellement le contenu des postes ou les méthodes de travail habituelles
• Créent de nouvelles charges cognitives ou de nouvelles pressions sur les collaborateurs
• Rendent certaines compétences actuelles obsolètes sans plan de transition prévu
• Modifient les critères et les modalités d'évaluation des salariés sans information préalable

Ces modifications peuvent déclencher des obligations de consultation du CSE selon leur nature et leur ampleur.

L'IA peut modifier les modalités de contrôle des salariés — parfois de façon directe (outils de suivi d'activité) et parfois de façon indirecte (tableaux de bord RH alimentés par des systèmes d'analyse). L'employeur doit s'assurer que :

• Les modalités de contrôle restent proportionnées à la finalité poursuivie
• Les salariés ont été informés des outils de suivi ou d'analyse qui les concernent
• Le système ne constitue pas un dispositif de surveillance disproportionné au regard des droits des salariés
• Les critères d'évaluation intégrant l'IA ont été communiqués et sont explicables

Le recrutement est le premier domaine explicitement classé dans le périmètre des systèmes à haut risque par l'AI Act. Les systèmes utilisés pour trier, scorer ou présélectionner des candidats entrent dans cette catégorie. Pour l'employeur-deployer, cela implique :

• Vérifier que le fournisseur de l'outil respecte ses obligations de conformité AI Act
• Maintenir une supervision humaine réelle sur les sorties du système
• Être en mesure de justifier les décisions de recrutement influencées par l'outil
• Informer les candidats de l'existence d'un traitement automatisé dans le processus

La page dédiée aux risques juridiques du recrutement traite ce sujet en profondeur.

L'AI Act classe également comme à haut risque les systèmes utilisés pour la gestion des travailleurs, notamment ceux qui :

• Allouent les tâches de façon automatique ou semi-automatique (plateformes, logistique, centres d'appel)
• Évaluent la performance en temps réel ou de façon continue
• Influencent les promotions, la mobilité ou l'accès à des opportunités de développement
• Gèrent des sanctions ou des décisions disciplinaires avec une composante algorithmique

L'employeur qui déploie de tels systèmes ne peut pas se contenter d'avoir signé un contrat avec le fournisseur — il doit s'assurer que son propre usage est conforme et supervisé.

Les décisions les plus lourdes de conséquences — rupture de contrat, sanction, mise à l'écart — ne peuvent pas reposer sur une recommandation automatisée sans validation humaine explicite et documentée. Si l'IA a joué un rôle dans la chaîne de décision, ce rôle doit pouvoir être expliqué et ne peut pas être la seule justification invoquée. La page sur les risques RH de l'IA et la page sur le RGPD des données RH complètent ce point avec les obligations de protection des données correspondantes.

Un outil d'IA peut devenir un dispositif de contrôle des salariés sans que cela ait été explicitement prévu. Exemples concrets :

• Un outil de synthèse de communications internes qui génère des rapports d'activité individuelle
• Un tableau de bord RH qui suit en temps réel le volume ou la cadence de production de chaque salarié
• Un système d'allocation des tâches qui mesure implicitement les temps de traitement individuels
• Un outil de messagerie IA qui consigne les échanges et permet une analyse postérieure

Dès que l'outil produit des données sur l'activité individuelle des salariés, il devient potentiellement un dispositif de contrôle soumis aux obligations CNIL sur le travail et les données personnelles.

Trois principes que l'employeur doit appliquer avant tout usage IA impliquant un suivi ou un contrôle des salariés :

1. Proportionnalité — le dispositif de contrôle doit être proportionné à la finalité poursuivie. Un suivi permanent de l'activité individuelle pour "optimiser la productivité" peut être disproportionné au regard du droit des salariés à une vie privée dans le cadre professionnel.
2. Minimisation — seules les données strictement nécessaires à la finalité déclarée doivent être collectées. Un outil qui capte plus d'informations que nécessaire viole ce principe.
3. Finalité — les données collectées pour une finalité (améliorer un processus) ne peuvent pas être réutilisées pour une autre (évaluer individuellement un salarié) sans base légale appropriée.

La CNIL a posé des limites claires sur ce que l'employeur peut faire avec les données numériques de ses salariés. Points de vigilance spécifiques pour les usages IA :

• Messagerie professionnelle — l'employeur peut y accéder dans des conditions strictes ; utiliser une IA pour analyser automatiquement les échanges dépasse ces conditions dans la grande majorité des cas
• Documents personnels — les fichiers identifiés comme personnels sur un ordinateur professionnel ne peuvent pas être analysés par une IA sans consentement
• Données d'activité — les logs, historiques et traces d'activité numérique ne peuvent pas être utilisés pour surveiller ou évaluer les salariés sans cadre explicitement déclaré et proportionné

La distinction entre aide à la décision et décision automatisée est fondamentale en droit — et elle est souvent brouillée dans la pratique. Pour l'employeur, la question est simple : si le résultat de l'IA est appliqué sans que personne n'ait réellement examiné et validé la décision, il s'agit d'une décision automatisée ou quasi automatisée, indépendamment du fait qu'un humain ait cliqué à la fin du processus. Cette distinction conditionne directement les obligations juridiques applicables, notamment au regard du RGPD et du droit du travail.

Une "validation humaine" qui consiste à cliquer sur "valider" sans avoir examiné les critères, les résultats et leurs implications n'est pas une supervision au sens juridique. Pour être valide, la supervision humaine doit être :

• Réelle — un professionnel compétent examine le résultat avant qu'il ne produise ses effets
• Éclairée — la personne comprend suffisamment le rôle de l'outil, ses limites et les critères utilisés
• Effective — elle peut contredire, corriger ou écarter le résultat proposé par l'IA

Sans ces trois conditions, la présence d'un humain dans la boucle ne suffit pas à sécuriser juridiquement l'usage.

La documentation du rôle de l'IA dans une décision n'est pas un exercice formel — c'est la condition de la justifiabilité de cette décision si elle est contestée. L'employeur doit être en mesure de répondre à ces questions pour tout usage IA influençant des décisions sur des personnes :

• À quelle étape l'outil intervient-il ?
• Produit-il une simple aide, une recommandation, un score, un classement, ou une décision ?
• Qui examine la sortie de l'outil avant effet ?
• Quels critères humains permettent de confirmer, corriger ou écarter le résultat ?

L'article 4 de l'AI Act impose aux deployers de systèmes d'IA de prendre des mesures pour garantir que les personnes qui utilisent ces systèmes pour le compte de l'organisation disposent d'un niveau suffisant d'AI literacy. Pour l'employeur, cela se traduit en trois obligations pratiques :

• Identifier quels usages et quels outils nécessitent une formation spécifique
• Former les personnes qui utilisent ces outils selon leur rôle et leur niveau d'impact sur les décisions
• Ne pas banaliser des usages à risque sans accompagnement structuré

L'AI literacy n'est donc pas seulement une affaire d'utilisateurs finaux — c'est une responsabilité d'organisation.

La formation ne doit pas être uniforme — elle doit être calibrée selon le rôle et le type d'usage :

• Utilisateurs réguliers — formation métier sur les usages spécifiques à leur poste, les données autorisées et les limites de l'outil
• Managers — formation sur la supervision des sorties IA, la responsabilité dans les décisions influencées par l'outil, et les signaux d'alerte à identifier
• RH et DPO — formation sur les obligations de conformité, les droits des personnes et les procédures d'escalade
• Direction — sensibilisation aux obligations de deployer et aux risques juridiques des usages non encadrés

Dans la plupart des organisations, les usages IA se sont développés avant le cadre — ce qui produit une situation d'hétérogénéité risquée : des pratiques différentes selon les services, des niveaux de vigilance très variables, et des zones d'exposition non identifiées. Passer d'usages dispersés à un cadre intelligible suppose :

• Cartographier les usages existants, y compris les usages informels
• Identifier les usages à risque élevé qui nécessitent un encadrement urgent
• Formaliser un cadre minimal (politique, charte, règles de supervision) avant de banaliser davantage les usages
• Former les personnes en lien avec le cadre établi, pas en parallèle de lui

Checklist de cadrage employeur avant extension des usages IA dans l'organisation :

• Les salariés et les représentants du personnel ont-ils été informés des usages IA qui les concernent ?
• Les usages qui influencent des décisions sur les personnes sont-ils documentés et supervisés par des humains compétents ?
• Les dispositifs de suivi ou d'analyse d'activité respectent-ils les limites posées par la CNIL sur le travail et les données personnelles ?
• Les outils potentiellement à haut risque au titre de l'AI Act sont-ils identifiés et leurs conditions d'usage vérifiées ?
• Le niveau de formation des équipes utilisant ces outils est-il adapté au contexte et aux risques ?
• Un cadre documentaire (politique, charte) est-il en place et connu des équipes ?

Le cadrage des usages IA par l'employeur ne repose pas sur une seule fonction. Les profils indispensables selon les sujets :

• DRH — cohérence avec les pratiques RH, conditions de travail, information des salariés et partenaires sociaux
• Direction juridique — qualification des risques en droit du travail, non-discrimination, obligations de consultation
• DPO — conformité RGPD, droits des personnes, AIPD si nécessaire
• IT / RSSI — sécurité, flux de données, intégration et hébergement
• Managers — réalité opérationnelle des usages, supervision dans les processus métier

Trois situations qui doivent déclencher une pause et une révision du cadre :

• Freiner — un usage à fort impact sur les salariés se diffuse sans que personne n'ait vérifié sa conformité, sa proportionnalité et sa documentation
• Revoir — un outil est utilisé d'une façon différente de celle initialement prévue, ou commence à influencer des décisions individuelles
• Mieux encadrer — un usage utile se développe rapidement mais sans règles partagées sur les données, la validation humaine ou la remontée d'incidents