Un commercial copie une base de prospects dans un assistant conversationnel public pour préparer ses relances. Une gestionnaire colle le dossier médical d’un salarié dans un outil en ligne pour rédiger un courrier. Un développeur soumet des journaux de connexion contenant des adresses IP et des identifiants à un service d’aide au code. Chaque fois, le réflexe paraît anodin : l’outil répond vite, le résultat est propre, le dossier avance. Chaque fois, pourtant, l’entreprise vient de transmettre à un tiers des informations qui ne lui appartiennent pas, sans base claire, sans information des personnes concernées et souvent sans contrat encadrant le sort de ces données.
La question que posent ces situations n’est pas de savoir si l’intelligence artificielle générative est autorisée en entreprise. Elle est de savoir qui répond de quoi quand un salarié y introduit des données personnelles de clients, de prospects ou de collègues : l’employeur en tant que responsable du traitement, le salarié sur le plan disciplinaire, le fournisseur de l’outil au titre de son contrat. La réponse se joue sur trois terrains à la fois : le droit de la protection des données, le droit du travail et le droit des contrats informatiques. Et elle se prépare avant l’incident, car une interdiction décrétée après coup, une preuve collectée sans respecter les règles d’information et une sanction prononcée sans procédure régulière exposent l’entreprise deux fois : face à la personne dont les données ont fuité, et face au salarié sanctionné qui contestera la mesure devant le conseil de prud’hommes.
Cet article explique comment interdire proprement les usages à risque, constater une faute sans vicier la preuve, articuler la responsabilité de l’entreprise avec celle du fournisseur d’IA, et réagir dans les délais qu’impose le règlement européen. Il s’adresse aux dirigeants, aux responsables des ressources humaines et aux délégués à la protection des données qui découvrent qu’un outil conversationnel est déjà installé sur les postes de leurs équipes.
I. Chaque prompt contenant des données personnelles engage l’entreprise
A. Coller des données clients dans un outil public, c’est un traitement de données dont vous répondez
Le règlement général sur la protection des données définit les données personnelles comme visant « toute information se rapportant à une personne physique identifiée ou identifiable ». Un nom, une adresse électronique professionnelle, un numéro de téléphone, un numéro de dossier, une adresse IP ou la combinaison d’un prénom et d’une situation particulière entrent dans cette définition dès qu’ils permettent d’identifier quelqu’un, directement ou indirectement. Le salarié qui copie un tableau de clients dans un assistant en ligne manipule donc des données personnelles, même s’il ne retient que des adresses professionnelles.
Le même règlement définit le traitement comme « toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation » et la liste se poursuit avec la conservation, la consultation, l’utilisation et la diffusion. Saisir des données dans un outil conversationnel, c’est les collecter et les transmettre à l’éditeur du service : il y a traitement à double titre, côté entreprise qui décide d’y recourir et côté fournisseur qui les reçoit sur ses serveurs. La Cour de cassation l’a rappelé dans un autre contexte de captation d’images : l’utilisation d’enregistrements issus d’un système de vidéoprotection « constitue un traitement de données à caractère personnel au sens de l’article 4 du RGPD » (chambre sociale, 21 mai 2025, n° 22-19.925, rejet). Le raisonnement vaut pour un prompt : dès qu’une information identifiante transite vers le service, le droit de la protection des données s’applique, avec ses obligations d’information, de licéité et de sécurité.
Or la Commission nationale de l’informatique et des libertés l’explique dans ses questions-réponses sur l’entrée en vigueur du règlement européen sur l’IA : l’organisme qui déploie ou utilise un système d’IA et traite à cette occasion des données personnelles demeure le plus souvent responsable de ce traitement au sens du règlement européen. Autrement dit, l’entreprise qui déploie un assistant génératif auprès de ses équipes, ou qui tolère son usage sans l’encadrer, reste responsable du traitement au sens du règlement européen. Elle doit donc disposer d’une base légale : le règlement européen pose que « Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie », parmi lesquelles le consentement, l’exécution d’un contrat, l’obligation légale et l’intérêt légitime. Le consentement du client ne couvre jamais la transmission de ses données à un robot conversationnel tiers ; l’intérêt légitime suppose un test de proportionnalité documenté que l’usage sauvage ne satisfait pas. Les données doivent en outre être « traitées de manière licite, loyale et transparente au regard de la personne concernée », ce qui impose d’informer clients et salariés de cet usage avant qu’il ait lieu, avec l’identité du destinataire, la finalité et la durée de conservation. Un salarié qui agit seul, sans information préalable des personnes concernées, place donc l’entreprise en manquement sur la licéité et sur la transparence, deux principes dont la violation figure parmi les plus sanctionnés par l’autorité de contrôle.
Le réflexe qui consiste à tout miser sur l’anonymisation mérite une mise en garde. Supprimer les noms ne suffit pas si le prompt contient assez d’éléments croisés pour réidentifier quelqu’un : fonction rare, commune de résidence, montant d’un contrat, date d’un sinistre. Une donnée pseudonymisée reste une donnée personnelle tant que la réidentification demeure possible avec des informations supplémentaires. Seule une anonymisation irréversible, vérifiée et documentée fait sortir le jeu de données du champ du règlement. En pratique, les prompts rédigés dans l’urgence ne satisfont jamais ce standard. L’entreprise doit partir du principe que tout prompt métier contient des données personnelles et organiser son dispositif sur cette base.
Concrètement, trois diligences préalables s’imposent avant d’autoriser un usage, même partiel. D’abord, inscrire le traitement au registre des activités, avec la finalité exacte, les catégories de données, les destinataires et la durée de conservation. Ensuite, vérifier si une analyse d’impact est requise : le règlement européen l’exige « Lorsqu’un type de traitement, en particulier par le recours à de nouvelles technologies » est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Un outil qui absorbe des dossiers clients entiers, des pièces d’identité ou des données de santé entre dans ce cas de figure, et l’analyse d’impact devient le document qui démontrera, en cas de contrôle, que l’entreprise a mesuré le risque avant de déployer. Enfin, informer les personnes concernées et les salariés, par la politique de confidentialité, les mentions sur les formulaires et une note interne dédiée. Sans ces trois marches, l’usage repose sur du sable et chaque incident ultérieur aggravera la position de l’entreprise devant l’autorité de contrôle.
B. Le fournisseur de l’outil est votre sous-traitant ou votre angle mort : le contrat tranche
Quand l’entreprise souscrit une offre professionnelle d’assistant génératif avec un accord de traitement des données, le fournisseur agit comme sous-traitant : il traite les données pour le compte de l’entreprise, sur ses instructions documentées, sans pouvoir les réutiliser pour son propre compte. Le règlement européen impose alors au responsable de ne faire appel qu’à des prestataires offrant des garanties, puisqu’il « fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes » quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Le contrat doit préciser l’objet, la durée, la nature et la finalité du traitement, les types de données, les obligations de sécurité et de confidentialité, l’interdiction de recruter un sous-traitant ultérieur sans autorisation, l’assistance due au responsable pour répondre aux demandes d’exercice de droits, ainsi que le sort des données en fin de contrat : restitution ou destruction. C’est ce contrat, et lui seul, qui permet à l’entreprise de démontrer qu’elle a choisi un prestataire sérieux et borné son usage.
Le problème naît avec les versions gratuites ou grand public utilisées à l’initiative des salariés. Faute d’accord de traitement, l’éditeur traite les prompts pour son propre compte, notamment pour entraîner ses modèles, et l’entreprise ne dispose d’aucune prise sur la conservation, la réutilisation ou les transferts vers des pays tiers. La chaîne de responsabilités décrite dans notre analyse de la sous-traitance cloud se rompt de la même façon : sans contrat, l’entreprise reste responsable du traitement initial qu’elle a laissé partir, sans pouvoir se retourner utilement contre le fournisseur. Pour comprendre qui répond des données personnelles quand la chaîne de sous-traitance informatique se rompt, il faut partir du même principe : celui qui décide de la finalité et des moyens répond en premier, et le contrat est l’instrument qui répartit ensuite la charge entre les acteurs. Un salarié qui ouvre un compte gratuit engage donc l’entreprise sans lui donner les moyens contractuels de se défendre.
L’audit du fournisseur avant déploiement conditionne tout le reste. L’entreprise doit vérifier où les données sont hébergées, pendant combien de temps elles sont conservées, si les prompts servent à l’entraînement des modèles et comment exercer l’opt-out, si des transferts hors de l’Union européenne ont lieu et sur quel mécanisme ils reposent, quelles certifications de sécurité sont produites et comment sont gérés les incidents. Les réponses doivent figurer au contrat ou dans ses annexes, pas dans une page commerciale. Si le fournisseur refuse l’audit ou un accord de traitement conforme, ce refus est un signal d’alerte : notre analyse des prestataires qui refusent l’audit montre qu’il faut alors renoncer au déploiement ou cantonner l’outil à des usages sans données personnelles, plutôt que de signer en espérant que rien n’arrivera. Le contentieux nourri autour des chaînes d’hébergement, illustré par l’arrêt de la cour d’appel de Douai du 4 juin 2026 (RG n° 24/00967, association contre société OVH), confirme que les litiges avec les prestataires techniques se gagnent ou se perdent sur les clauses : périmètre des prestations, niveaux de service, sécurité, réversibilité. Les mêmes réflexes s’appliquent aux contrats d’IA.
Le règlement européen sur l’intelligence artificielle ajoute une couche d’obligations que le contrat doit refléter. Les fournisseurs et les déployeurs « prennent des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA » pour leur personnel, ce qui suppose une formation réelle des équipes aux usages autorisés, aux limites de l’outil et aux risques de fuite. Et les systèmes destinés à interagir avec des personnes doivent être conçus pour que celles-ci « soient informées qu’elles interagissent avec un système d’IA », sauf évidence du contexte. Une entreprise qui fait répondre un agent conversationnel à ses clients sans le signaler cumule donc un manquement au règlement IA et un défaut de transparence au regard du règlement données personnelles. Le contrat avec le fournisseur doit préciser qui fournit les mentions d’information, qui paramètre les avertissements et qui documente la formation : à défaut, chaque partie renverra la faute à l’autre le jour où un client découvrira qu’il dialoguait avec une machine.
II. Interdire, prouver et sanctionner sans faire annuler la procédure
A. Une interdiction n’est opposable que si elle a été dite avant, écrite quelque part et présentée aux représentants
En droit du travail, le pouvoir de direction autorise l’employeur à fixer les règles d’usage des outils numériques, mais ces règles n’ont de force que si elles ont été portées à la connaissance des salariés avant les faits reprochés. La loi est nette : « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. » Et toute restriction aux droits des personnes doit être justifiée et proportionnée, car « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. » Une interdiction générale et absolue de toute intelligence artificielle, décrétée par courriel un vendredi soir, sans distinguer les usages à risque des usages sans données personnelles, s’expose à la censure pour disproportion. À l’inverse, une charte des usages numériques qui distingue les outils autorisés sous conditions, les outils interdits avec des données personnelles et les usages totalement proscrits, en expliquant le risque pour chaque catégorie, satisfait le test de justification.
La jurisprudence sur les dispositifs de surveillance éclaire directement le cas des outils d’IA. La Cour de cassation a jugé illicite un système de géolocalisation destiné au contrôle de la durée du travail dès lors que ce contrôle pouvait être assuré par un autre moyen, fût-il moins efficace (chambre sociale, 19 décembre 2018, n° 17-14.631, publié au Bulletin, cassation). Elle a également censuré le recours à des enregistrements de vidéosurveillance obtenus sans information préalable des salariés et sans consultation des représentants du personnel (chambre sociale, 10 novembre 2021, n° 20-12.263, cassation). Transposée à l’IA, la leçon est double : d’une part, le filtrage ou la journalisation des prompts, qui constituent des dispositifs de contrôle de l’activité des salariés, doivent être déclarés au registre, annoncés aux équipes et présentés au comité social et économique avant leur activation ; d’autre part, la sanction d’un salarié pour usage prohibé suppose que l’interdiction elle-même a été notifiée avant les faits. Punir sur le fondement d’une règle que le salarié découvre dans sa lettre de sanction, c’est offrir au conseil de prud’hommes un motif d’annulation.
Le formalisme protecteur se construit donc en quatre temps. Premièrement, rédiger ou mettre à jour la charte des usages numériques et de l’IA : outils autorisés et interdits, catégories de données proscrites dans les prompts, obligation d’utiliser uniquement les comptes professionnels provisionnés, interdiction des versions gratuites avec des données personnelles, rappel du secret professionnel et de la confidentialité des dossiers, procédure de signalement d’un incident. Deuxièmement, articuler cette charte avec le règlement intérieur lorsque l’entreprise y est soumise, car la loi interdit d’y inscrire « Des dispositions apportant aux droits des personnes et aux libertés individuelles et collectives des restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché » : une clause qui interdirait tout outil numérique sans distinction d’usage serait disproportionnée, tandis qu’une interdiction ciblée sur les données personnelles, justifiée par la sécurité, passe le contrôle. Troisièmement, informer et consulter le comité social et économique avant la mise en place de tout dispositif de contrôle lié à l’IA, y compris les journaux de prompts et les outils de détection : la loi prévoit que le comité « est informé, préalablement à leur utilisation, sur les méthodes ou techniques d’aide au recrutement » et la même logique d’information préalable gouverne tout moyen de surveillance des salariés. Quatrièmement, notifier individuellement : remise contre signature, émargement en réunion, accusé de réception électronique conservé. Le dossier disciplinaire qui ne contient aucune preuve de notification préalable est un dossier perdu d’avance.
Reste la question des preuves techniques. L’employeur peut produire les journaux du fournisseur professionnel, les traces du réseau d’entreprise et les attestations de collègues, à condition que ces moyens de preuve aient eux-mêmes été mis en place licitement et déclarés. En revanche, accéder au téléphone personnel du salarié, ouvrir sa messagerie privée ou installer un logiciel espion à son insu vicie la preuve et peut engager la responsabilité de l’entreprise. La proportionnalité commande aussi de limiter la collecte aux faits en cause : extraire trois ans de prompts pour une faute ponctuelle, c’est prendre le risque que le juge écarte l’ensemble. Chaque mesure d’investigation doit être tracée, datée et limitée à ce qui est nécessaire à l’établissement des faits, comme l’exige le principe de minimisation qui irrigue tout le droit de la protection des données.
B. Le jour où l’incident éclate : constater, qualifier, notifier et sanctionner dans l’ordre
Le scénario type commence par un signal : un client s’étonne de retrouver ses informations dans une réponse générée, un collègue signale un prompt visible sur un écran partagé, l’outil de sécurité détecte un volume anormal de données vers un domaine externe. La première heure est décisive et elle appartient à la conservation des preuves, pas à la convocation. L’entreprise doit figer les éléments : capture des prompts litigieux avec leur contexte, identification du compte utilisé et de sa nature professionnelle ou personnelle, volume et catégories de données concernées, destinataires potentiels, mesures immédiates de confinement comme la révocation des accès et la demande de suppression auprès du fournisseur. Chaque action est horodatée et versée dans un dossier incident unique, tenu par le délégué à la protection des données avec la direction des ressources humaines et la direction des systèmes d’information. C’est ce dossier qui servira à la fois à la notification à l’autorité, à l’information des personnes et à la procédure disciplinaire : le constituer après coup, de mémoire, c’est accepter des contradictions que l’avocat du salarié exploitera.
Vient ensuite la qualification au regard du règlement européen. Le responsable du traitement « mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque », et l’incident révèle souvent que ces mesures manquaient : absence de filtrage des données sensibles, comptes gratuits tolérés, aucune formation. Si l’événement constitue une violation de données personnelles, le responsable la notifie à l’autorité de contrôle « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance », sauf si elle n’est pas susceptible d’engendrer un risque pour les droits et libertés. Le sous-traitant, de son côté, doit avertir le responsable dans les meilleurs délais après en avoir pris connaissance. Le délai court à partir de la connaissance de l’incident par l’entreprise, pas de la fin de l’enquête interne : attendre d’avoir tout compris pour notifier, c’est notifier hors délai. Quand le risque pour les personnes est élevé, l’information des personnes concernées s’ajoute à la notification, en termes clairs, avec la nature de la violation, ses conséquences probables et les mesures prises. Parallèlement, l’entreprise examine si elle doit déposer plainte, notamment en cas d’accès ou d’extraction par un tiers, et si son contrat d’assurance cyber doit être activé.
Sur le plan financier et réputationnel, l’addition potentielle est lourde. Les amendes administratives doivent être dans chaque cas « effectives, proportionnées et dissuasives » au regard de la nature, de la gravité et de la durée de la violation, du nombre de personnes affectées et du degré de coopération. Surtout, toute personne ayant subi un dommage peut agir en réparation, car « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » Le client dont le dossier a été versé dans un outil public n’a pas besoin d’attendre la sanction de l’autorité : il peut saisir le juge judiciaire pour obtenir réparation, et l’entreprise ne s’exonérera qu’en prouvant que le fait dommageable ne lui est pas imputable. Face à ce risque, l’argument du « fait isolé d’un salarié » ne suffit pas : le responsable répond des traitements effectués sous son autorité et doit démontrer qu’il avait donné des instructions, formé ses équipes et mis en place des garde-fous. L’absence de charte, de formation et de filtrage transforme la faute individuelle en faute organisationnelle.
La procédure disciplinaire obéit à son propre calendrier et ne doit pas être précipitée par l’émotion. La loi définit la sanction comme « toute mesure, autre que les observations verbales, prise par l’employeur à la suite d’un agissement du salarié considéré par l’employeur comme fautif », ce qui impose le respect des garanties procédurales : l’employeur « convoque le salarié en lui précisant l’objet de la convocation », expose les griefs précis avec leurs dates, entend le salarié qui « peut se faire assister par une personne de son choix appartenant au personnel de l’entreprise », notifie une sanction motivée et respecte les délais de prescription des faits fautifs. La gradation compte : un premier usage maladroit sans diffusion externe ne se traite pas comme la transmission délibérée et répétée de dossiers clients à un service gratuit malgré une interdiction notifiée. Le licenciement pour faute grave suppose une violation des obligations d’une gravité telle qu’elle rend impossible le maintien du salarié dans l’entreprise, même pendant la durée du préavis. Verser au dossier la charte signée, la preuve de la formation suivie, les rappels adressés aux équipes et les traces licitement collectées fait la différence entre une sanction qui tient et une sanction annulée avec rappel de salaire et dommages-intérêts. Et lorsque le salarié occupe un poste exposé, comme un administrateur systèmes ou un référent données, l’exigence de loyauté renforcée attachée à ses fonctions justifie une appréciation plus sévère, à condition de l’avoir écrite avant.
Enfin, l’entreprise ne doit pas oublier le salarié dont les propres données ont pu être exposées par l’incident : registre d’activité, captures d’écran, journaux transmis à l’autorité ou au client. Lui aussi est une personne concernée, avec un droit d’accès et, le cas échéant, un droit à réparation. Traiter le dossier disciplinaire et le dossier de protection des données comme deux compartiments étanches serait une erreur : c’est la cohérence de l’ensemble, charte préalable, investigation proportionnée, notification dans les délais, sanction régulière, qui convaincra à la fois l’autorité de contrôle et le juge prud’homal que l’entreprise a agi en responsable diligent plutôt qu’en organisation débordée qui cherche un coupable.
Conclusion
Un salarié qui introduit des données clients dans un assistant génératif public crée un traitement de données personnelles dont l’entreprise répond en premier. L’issue du dossier dépend rarement de la gravité intrinsèque du geste : elle dépend de ce qui existait avant lui. Une entreprise qui a inscrit le traitement à son registre, mené son analyse d’impact, signé un accord de traitement avec un fournisseur audité, informé clients et salariés, fait voter sa charte après consultation des représentants et formé ses équipes affrontera l’incident avec des armes : notification dans les délais, preuve licite, sanction proportionnée, recours contractuel contre le prestataire si celui-ci a manqué à ses engagements. Une entreprise qui découvre l’usage le jour où le client s’en plaint n’a rien de tout cela, et chaque étape devient un risque supplémentaire.
La méthode tient en cinq réflexes : n’autoriser que des outils sous contrat avec un accord de traitement conforme ; écrire l’interdiction des usages sauvages et la notifier avant tout reproche ; contrôler les prompts avec des moyens déclarés et proportionnés ; qualifier toute fuite au regard de l’obligation de notification dans les soixante-douze heures ; sanctionner selon une procédure régulière adossée à des preuves licites. L’intelligence artificielle ne supprime aucune obligation antérieure, elle les rend plus visibles : le règlement européen sur les données, le Code du travail et le règlement européen sur l’IA convergent vers la même exigence de traçabilité des décisions. Les entreprises qui documentent leurs choix traversent les incidents ; celles qui improvisent les subissent deux fois, devant l’autorité de contrôle et devant le juge du contrat de travail.
Besoin d’un avis rapide sur votre dossier
Vous avez découvert qu’un salarié utilise un outil d’IA générative avec des données clients, ou vous voulez encadrer ces usages avant l’incident. Maître Reda KOHEN, avocat au Barreau de Paris, examine votre dossier en numérique et données personnelles et vous indique la marche à suivre : charte IA opposable, contrat avec le fournisseur, notification à la CNIL et procédure disciplinaire régulière.
Appelez le 06 46 60 58 22 pour une consultation téléphonique en 48 heures avec un avocat du cabinet. Vous pouvez aussi décrire votre situation via notre page contact : un avocat du cabinet vous répond avec un avis rapide sur votre dossier.