RGPD et données RH à l'ère de l'IA — Ce que tout DRH doit savoir

Un service RH traite en permanence des données très variées :

• Données d'identification — noms, coordonnées, numéros de sécurité sociale
• Données de situation professionnelle — poste, rémunération, ancienneté, évaluations
• Données de gestion — absences, congés, temps de travail, formations suivies
• Données relationnelles — notes de managers, comptes rendus d'entretiens, feedbacks, tensions signalées
• Données sensibles au sens RGPD — état de santé, handicap, grossesse, orientation syndicale

Chacune de ces catégories a sa propre base légale, sa propre durée de conservation et ses propres règles d'accès. L'injecter dans un outil d'IA sans vérifier ces règles expose à des violations potentiellement graves.

La relation employeur-salarié est structurellement asymétrique. Le salarié ne peut pas toujours exercer librement ses droits RGPD face à son employeur — crainte de représailles, dépendance économique, difficulté à s'opposer à un traitement. Cette asymétrie impose à l'employeur une responsabilité renforcée : ne pas utiliser les données des collaborateurs de façon disproportionnée, ne pas créer de systèmes de surveillance déguisés, et garantir des droits réellement exercables. Les usages d'IA qui analysent les comportements, les performances ou les situations individuelles doivent être appréciés à l'aune de cette réalité.

Certaines données RH sont évidemment sensibles — données de santé, données syndicales. D'autres semblent banales mais peuvent devenir risquées en contexte :

• Une liste d'absences sans motif peut permettre d'inférer un état de santé
• Un historique de demandes de temps partiel peut révéler une situation familiale protégée
• Des notes d'entretien peuvent contenir des éléments sur l'état psychologique d'un collaborateur
• Un tableau de mobilité peut révéler des situations personnelles sensibles

La banale en apparence devient risquée dans le contexte IA : un modèle peut recombiner ces informations et produire des inférences que personne n'avait anticipées.

Trois principes fondamentaux à vérifier avant tout usage IA sur des données RH :

1. Finalité — les données doivent être utilisées uniquement pour la finalité pour laquelle elles ont été collectées. Utiliser des données d'évaluation annuelle pour alimenter un outil de sourcing de candidatures internes peut constituer une réutilisation hors finalité si ce n'était pas prévu initialement.
2. Minimisation — seules les données strictement nécessaires doivent être traitées. Un outil d'IA qui reçoit l'intégralité d'un dossier collaborateur alors qu'il n'a besoin que de deux informations viole ce principe.
3. Proportionnalité — le traitement doit être adapté au but poursuivi. Une analyse IA sur l'ensemble des entretiens annuels d'un service pour "identifier des tendances" peut être disproportionnée si le même résultat peut être obtenu par d'autres moyens moins intrusifs.

Trois autres principes critiques :

1. Base légale — chaque traitement doit reposer sur une base juridique valide (contrat, obligation légale, intérêt légitime, consentement selon les cas). L'usage d'une IA sur des données RH doit s'inscrire dans une base légale clairement identifiée avant tout déploiement.
2. Durée de conservation — les données ne peuvent pas être conservées plus longtemps que nécessaire. Un outil d'IA entraîné ou alimenté avec des données RH périmées ou au-delà de la durée de conservation légale crée une non-conformité.
3. Sécurité — des mesures techniques et organisationnelles appropriées doivent protéger les données contre tout accès non autorisé, fuite ou utilisation abusive. L'outil d'IA, son hébergement et ses flux de données doivent être évalués sous cet angle avant tout usage.

Les personnes dont les données sont traitées doivent être informées et pouvoir exercer leurs droits :

• Droit d'information — les collaborateurs et candidats doivent savoir que leurs données sont traitées via un outil d'IA, pour quelle finalité et avec quelles garanties
• Droit d'accès — pouvoir obtenir communication de leurs données et comprendre comment elles sont utilisées
• Droit de rectification — corriger des données inexactes
• Droit d'opposition — s'opposer à certains traitements, notamment ceux fondés sur l'intérêt légitime
• Droit relatif aux décisions automatisées — bénéficier d'une intervention humaine si une décision significative est prise automatiquement

Ces droits ne sont pas suspendus par l'usage d'une IA — ils doivent rester concrètement exercables.

C'est l'une des erreurs les plus fréquentes. Exemples concrets :

• Utiliser des données collectées lors d'un entretien annuel pour alimenter un outil d'analyse de sentiment sur le climat social — sans que cette finalité ait été annoncée
• Croiser des données d'absentéisme avec des profils de performance pour identifier des "collaborateurs à risque" via une IA
• Réinjecter dans un outil de matching interne des données issues de dossiers de recrutement dont la durée de conservation est dépassée

Ces réutilisations peuvent sembler logiques d'un point de vue RH — elles sont souvent non conformes au RGPD si elles n'étaient pas prévues dans la finalité initiale du traitement.

La tentation est grande de coller l'intégralité d'un dossier, d'un tableau ou d'un compte rendu pour gagner du temps. Mais chaque champ non nécessaire injecté dans un outil est une violation potentielle du principe de minimisation. Exemples :

• Télécharger un tableau RH complet (avec salaires, statuts familiaux, historiques d'absences) pour demander à l'IA de calculer une statistique qui ne nécessite que deux colonnes
• Coller un compte rendu d'entretien intégral — incluant des éléments personnels non pertinents — pour en faire un résumé
• Soumettre un dossier de candidature complet incluant des informations non pertinentes au regard du poste

La règle : ne soumettre que les données strictement nécessaires à la tâche demandée, et rien de plus.

Quand un outil d'IA est utilisé sur des données RH, plusieurs questions de flux se posent :

• Où les données sont-elles envoyées ? (serveurs du fournisseur, cloud, hébergement hors UE ?)
• Les données peuvent-elles être utilisées pour entraîner le modèle du fournisseur ?
• Qui, dans l'organisation du fournisseur, peut y accéder ?
• Les accès aux données dans l'outil sont-ils tracés et auditables ?

Sans réponse claire à ces questions, l'organisation ne maîtrise pas son traitement — ce qui constitue en soi une non-conformité RGPD.

Un risque spécifique de l'IA est sa capacité à combiner des informations pour produire des inférences que personne n'avait anticipées. Exemple : un outil entraîné sur des données d'absence, de mobilité et de rémunération peut déduire des situations personnelles sensibles — grossesse, maladie, situation de proche aidant — sans que ces données aient été explicitement fournies. L'EDPB souligne que des risques d'extraction ou de divulgation de données peuvent subsister dans les LLM, même quand les données semblent protégées ou anonymisées. Ces risques d'inférence et de réidentification doivent être évalués avant tout usage IA sur des volumes importants de données RH.

Ces usages combinent des données personnelles et des décisions à impact direct sur les personnes. Ils nécessitent :

• Une base légale identifiée pour le traitement des données de candidats ou de collaborateurs dans l'outil IA
• Une information des personnes sur l'usage de l'IA dans le processus
• Une supervision humaine réelle sur les décisions produites ou influencées par l'outil
• Une vérification de conformité AI Act si l'outil est potentiellement classé à haut risque

La page dédiée aux risques juridiques de l'IA en recrutement traite ce cas en profondeur.

Les données d'évaluation sont parmi les plus sensibles du dossier RH. Les précautions minimales quand une IA intervient sur ces données :

• Ne pas injecter de notes, commentaires ou évaluations individuelles dans un outil grand public sans DPA adapté
• S'assurer que les résultats produits par l'IA ne sont pas utilisés comme fondement unique d'une décision d'évaluation ou de rémunération
• Maintenir une traçabilité humaine sur toute décision significative influencée par l'outil
• Vérifier que les collaborateurs ont été informés de l'existence d'un tel traitement

Ces usages semblent plus anodins mais concentrent souvent des volumes importants de données personnelles. Les points de vigilance :

• Un tableau de gestion RH contient souvent plusieurs dizaines de champs pour des centaines de personnes — le transmettre en entier à une IA pour une question ponctuelle viole le principe de minimisation
• Une synthèse de dossier collaborateur peut concentrer des informations de plusieurs années incluant des éléments sensibles
• Les fichiers Excel ou CSV de paie, d'absences ou de temps de travail sont particulièrement risqués car ils combinent des données très identifiantes avec des informations très personnelles

Ces données relèvent de la catégorie spéciale au sens de l'article 9 du RGPD — leur traitement est en principe interdit sauf exception expresse. Dans un contexte IA :

• Un arrêt maladie, une situation de handicap, une grossesse, une situation de proche aidant ne doivent jamais transiter dans un outil d'IA grand public
• Les alertes RH, signalements internes ou situations de harcèlement documentés relèvent du secret professionnel renforcé et doivent bénéficier d'un cadre spécifique
• Même les données d'absence sans motif peuvent, par recoupement, révéler un état de santé — elles doivent être traitées avec la même vigilance que des données de santé explicites

La première question à se poser :

• Ces données sont-elles strictement nécessaires à ce que je demande à l'IA ?
• Puis-je obtenir le même résultat avec des données anonymisées ou agrégées ?
• Puis-je reformuler ma demande sans inclure d'information nominative ?

Si la réponse à la deuxième ou troisième question est "oui", utilisez l'alternative moins intrusive. La minimisation n'est pas une contrainte supplémentaire — c'est la protection par défaut.

Trois critères à vérifier simultanément :

1. Nécessité — les données à injecter sont-elles toutes nécessaires, ou certaines peuvent-elles être exclues sans perte de pertinence pour le résultat ?
2. Pertinence — chaque donnée utilisée est-elle pertinente au regard de la finalité du traitement ?
3. Protection — l'outil utilisé offre-t-il des garanties suffisantes ? (hébergement, DPA, conditions d'utilisation, restrictions de réutilisation)

Si l'un de ces critères n'est pas satisfait, le périmètre des données transmises doit être réduit ou l'outil changé.

Trois questions de flux à documenter :

• Accès — qui dans l'organisation et chez le fournisseur peut accéder aux données traitées ?
• Flux — les données sortent-elles de l'UE ? Y a-t-il des transferts vers des pays tiers ? Le fournisseur peut-il les réutiliser pour entraîner son modèle ?
• Sortie — la sortie de l'IA est-elle conservée quelque part ? Qui peut y accéder ? Est-elle utilisée pour alimenter d'autres traitements ?

Ces questions doivent être répondues avant tout usage — pas après un incident ou une demande de droit d'accès d'un collaborateur.

C'est la question la plus importante pour calibrer le niveau de vigilance :

• Si la sortie de l'IA aide un RH à préparer une action mais que la décision reste entièrement humaine — usage d'assistance, niveau de vigilance modéré
• Si la sortie de l'IA influence directement une décision d'embauche, de promotion, de mobilité ou disciplinaire — usage à supervision renforcée obligatoire, droits des personnes à garantir explicitement
• Si la sortie de l'IA est appliquée mécaniquement sans intervention humaine réelle — usage potentiellement non conforme à l'article 22 RGPD sur les décisions automatisées

Consulter le DPO, le juridique ou la sécurité devient nécessaire quand au moins un de ces signaux est présent :

• L'outil va traiter des données sensibles au sens de l'article 9 RGPD (santé, handicap, opinions syndicales)
• L'usage peut influencer une décision significative sur une personne (embauche, promotion, accès à la formation, sanctions)
• L'outil est un service tiers sans DPA formalisé avec l'organisation
• Le volume de personnes concernées est important (au-delà de quelques dizaines)
• L'outil implique des transferts de données hors UE
• L'usage n'était pas prévu dans les mentions d'information initiales des personnes concernées

Une analyse d'impact sur la protection des données (AIPD) est obligatoire quand un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. En RH IA, les cas les plus fréquents :

• Évaluation ou surveillance systématique de salariés via un outil IA
• Traitement à grande échelle de données sensibles (santé, handicap, orientation syndicale)
• Usage d'une IA pour prendre ou fortement influencer des décisions à impact individuel significatif

La CNIL publie des ressources pour aider à déterminer si une AIPD est nécessaire dans le contexte des systèmes d'IA.

La conformité RGPD d'un usage IA RH implique plusieurs dimensions qui ne relèvent pas du seul DPO :

• Le DPO vérifie la base légale, les droits des personnes, les transferts et les risques RGPD
• Le RSSI ou IT évalue la sécurité de l'outil, les accès, l'hébergement et les flux
• Le juridique vérifie les obligations contractuelles avec le fournisseur et les implications du droit du travail
• Le management RH s'assure que l'usage est cohérent avec les pratiques déclarées et les engagements vis-à-vis des représentants du personnel

Cette pluralité de regards est la condition d'une conformité réelle, pas formelle.

La grande majorité des non-conformités RGPD liées à l'IA en RH résultent d'une absence de formation — les équipes ne savent pas ce qu'elles ne doivent pas faire. Une formation courte et orientée cas concrets suffit à corriger les erreurs les plus fréquentes :

• Ne pas coller de données personnelles dans un outil grand public sans DPA
• Minimiser les données injectées à ce qui est strictement nécessaire
• Maintenir une supervision humaine documentée sur les décisions influencées par l'IA
• Signaler tout usage douteux au DPO ou au référent désigné

La formation RH dédiée à la sécurisation des usages IA traite ces réflexes en détail et dans le contexte des pratiques RH réelles.

Trois niveaux d'encadrement à mettre en place progressivement :

1. Données — définir quelles catégories de données RH peuvent transiter dans quels types d'outils (grand public / offre entreprise avec DPA / outil interne)
2. Outils — valider les outils utilisés par les équipes RH, avec vérification des garanties contractuelles et sécuritaires
3. Validations — définir qui supervise les usages à fort enjeu, qui consulte le DPO, et quelle trace est conservée des décisions influencées par l'IA

Ces trois niveaux s'articulent avec la politique d'usage générale de l'organisation et la charte collaborateurs.

La conformité RGPD d'un service RH à l'ère de l'IA n'est pas un projet ponctuel — c'est un cadre continu. Elle se construit par l'articulation de trois dimensions :

• Les règles de la politique d'usage de l'organisation définissent ce qui est autorisé et ce qui doit être validé
• La charte collaborateurs traduit ces règles en comportements quotidiens accessibles aux équipes RH
• La formation et la sensibilisation transforment ces règles en réflexes réels, dans le contexte des pratiques RH concrètes

Les pages du corpus dédiées aux risques RH de l'IA et aux usages utiles du service RH complètent utilement cette approche.