Un commercial prépare un appel d’offres et colle dans un assistant conversationnel public la liste des contacts d’un grand compte, avec noms, fonctions, numéros directs et historique d’achat. Une comptable y verse des bulletins de paie pour corriger un tableau. Un chargé de clientèle y copie un échange tendu pour demander une reformulation polie. Chacun pense gagner du temps. Chacun vient pourtant de transmettre à un tiers des données personnelles dont l’entreprise répond, sans base claire, sans information des personnes, sans contrat encadrant le sort de ces contenus, et parfois vers des serveurs situés hors de l’Union européenne. Quand le dirigeant l’apprend, il doit à la fois contenir la fuite, qualifier l’incident au regard du règlement général sur la protection des données, décider d’une sanction éventuelle contre le salarié et préparer la réparation due aux personnes concernées. Le salarié, de son côté, peut contester une sanction prise sur un fondement fragile ou à partir de preuves irrégulières. Ce dossier décrit la méthode complète, côté employeur et côté salarié, avec les textes applicables et les décisions qui encadrent chaque étape.
Le cas traité ici vise l’usage d’un outil d’intelligence artificielle générative public, sans contrat d’entreprise, pour des données de clients, de prospects, de salariés ou de partenaires. Il ne vise ni la messagerie interne, ni l’outil métier sous contrat, ni la recherche documentaire sans données personnelles. L’identification du traitement, des parties, des rôles et du contrat en cause conditionne tout le reste. L’employeur est en principe responsable du traitement accompli avec ses moyens et pour ses finalités, même quand l’initiative vient d’un salarié. Le fournisseur de l’assistant public agit pour son propre compte ou comme sous-traitant selon ses conditions, ce qui ne décharge pas l’employeur de ses propres obligations. La question disciplinaire obéit au code du travail. La question des données obéit au règlement européen et à la loi française. La réparation obéit au régime propre de l’article 82 du règlement. Les trois plans se cumulent sans se confondre.
I. Comprendre ce qui vient de se passer et figer la situation sans aggraver le risque
A. Qualifier le traitement, les données et les rôles avant toute décision
La première tâche consiste à décrire ce qui a été collé, par qui, quand, dans quel outil, avec quel compte, pour quelle finalité professionnelle, et si le contenu a servi à réentraîner un modèle ou à alimenter d’autres réponses. Un nom, un numéro de téléphone direct, une adresse électronique nominative, un identifiant client rapproché d’une personne, un bulletin de paie, un avis d’arrêt de travail, une pièce d’identité transmise pour vérification constituent des données personnelles. Un tableau anonymisé de façon robuste n’en est pas. Entre les deux, un tableau pseudonymisé, un extrait avec initiales, un numéro de dossier rapprochable du fichier clients restent des données personnelles tant que la réidentification demeure raisonnablement possible. Cette qualification détermine si le règlement s’applique et quelles obligations pèsent sur l’entreprise.
Le principe de minimisation impose des données adéquates, pertinentes et limitées au strict nécessaire au regard des finalités, comme le rappellent les six grands principes du RGPD présentés par la CNIL. Coller l’intégralité d’un fichier clients pour reformuler deux phrases méconnaît ce principe. La licéité doit reposer sur l’une des bases de l’article 6 du règlement, et l’intérêt légitime de l’employeur ne couvre pas automatiquement la transmission massive à un service public non contractualisé. L’information des personnes, la limitation des finalités, la limitation de la conservation et la sécurité forment un bloc. L’entreprise doit aussi vérifier si une analyse d’impact était requise pour un traitement à grande échelle ou à risque élevé, et si son registre des traitements mentionnait déjà l’usage d’assistants génératifs.
Côté contrat informatique, la distinction entre outil public et outil sous contrat change tout. Lorsqu’un traitement doit être effectué pour le compte d’un responsable du traitement, celui-ci fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes sur les mesures techniques et organisationnelles appropriées, selon l’article 28 du règlement. Un compte sans contrat encadrant le traitement, sans localisation des données, sans engagement de non-réutilisation, sans durée de conservation et sans audit ne présente pas ces garanties. L’entreprise doit alors soit interdire cet usage, soit migrer vers une offre entreprise avec accord de traitement, localisation et journalisation. Le guide de la Commission nationale de l’informatique et des libertés sur la conformité des systèmes d’intelligence artificielle rappelle que tout système manipulant des données personnelles doit respecter le règlement et les droits des personnes, dès la conception et par défaut. Les recommandations de la CNIL sur l’intelligence artificielle précisent les attentes sur les bases légales, la transparence et les droits d’opposition et d’effacement face aux grands modèles. Le règlement (UE) 2024/1689 sur l’intelligence artificielle ajoute des obligations graduées selon le risque et des exigences de transparence pour certains usages, sans remplacer le règlement sur les données.
Le transfert hors de l’Union mérite un examen propre. Un transfert vers un pays tiers de données qui font ou sont destinées à faire l’objet d’un traitement après ce transfert ne peut avoir lieu que si les conditions définies dans le chapitre V sont respectées, de manière à ce que le niveau de protection garanti par le règlement ne soit pas compromis, selon l’article 44 du règlement. Si l’éditeur héberge ou réplique les prompts aux États-Unis ou dans un autre pays tiers, l’entreprise doit identifier une décision d’adéquation, des garanties appropriées ou une dérogation, documenter l’analyse et informer en conséquence. L’arrêt de la Cour de justice du 16 juillet 2020 dans l’affaire C-311/18, Schrems II, reste la grille de lecture de ces transferts vers les États-Unis (voir l’affaire sur CURIA), complétée depuis par le cadre d’adéquation applicable aux organismes certifiés, que l’entreprise doit vérifier organisme par organisme au lieu de le présumer. En pratique, le dirigeant demande au fournisseur la localisation exacte, la liste des sous-traitants ultérieurs, la politique de réutilisation des prompts et la procédure d’effacement, puis il consigne les réponses ou leur absence.
B. Contenir, tracer et conserver la preuve sans surveillance excessive
Une fois l’usage repéré, l’entreprise isole sans détruire. Elle fait cesser les collages vers l’outil public par une consigne écrite, clôt les comptes non contractualisés utilisés à des fins professionnelles si la politique interne le prévoit, change les secrets ou liens exposés dans les prompts, et demande au fournisseur l’effacement ou la non-utilisation des contenus selon la procédure publiée. Elle photographie les écrans utiles, exporte les journaux du navigateur ou du proxy, conserve les échanges internes datés et dresse la liste précise des personnes concernées et des catégories de données. Cette discipline conditionne la notification éventuelle à l’autorité et l’information éventuelle des clients, ainsi que la solidité d’une procédure disciplinaire ultérieure.
La tentation de tout journaliser en urgence doit respecter le droit du travail. « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché », dispose l’article L. 1121-1 du code du travail. « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance », ajoute l’article L. 1222-4. Le comité social et économique est informé et consulté avant la mise en oeuvre de moyens permettant un contrôle de l’activité des salariés, en application de l’article L. 2312-38 du code du travail (texte sur Legifrance). Un contrôle a posteriori ciblé, fondé sur des journaux existants et une information préalable des salariés, se défend mieux qu’un outil de captation déployé dans la précipitation sans base ni information.
La jurisprudence éclaire ces limites. La chambre sociale a jugé qu’un système de vidéosurveillance installé pour la sécurité des biens et des personnes, mais utilisé pour contrôler l’activité des salariés et exploiter des informations les concernant, exigeait l’information des salariés et la consultation des représentants, à défaut de quoi la preuve était illicite (Cass. soc., 10 novembre 2021, n° 20-12.263, voir la décision). L’assemblée plénière a ensuite fait évoluer le régime probatoire : « l’illicéité ou la déloyauté dans l’obtention ou la production d’un moyen de preuve ne conduit pas nécessairement à l’écarter des débats », le juge devant mettre en balance le droit à la preuve et les droits concurrents, et n’admettre l’élément que s’il est indispensable et strictement proportionné (Ass. plén., 22 décembre 2023, n° 20-20.648). Concrètement, l’employeur qui veut utiliser des journaux ou des captures pour prouver une faute doit démontrer qu’il ne disposait pas d’un moyen moins intrusif, que l’atteinte reste limitée et que chaque pièce a été discutée contradictoirement. Une collecte massive de boîtes mails ou de navigations pour un simple soupçon échoue à ce test.
Le même réflexe de traçabilité vaut pour le fichier clients. Quand un départ ou une exfiltration se profile après l’incident, la méthode de sauvegarde des preuves et de blocage utile est décrite dans le dossier consacré au commercial parti avec le fichier clients : bloquer l’usage, prouver l’exfiltration et saisir les autorités, qui complète utilement ce volet conservation et preuve sans s’y substituer.
Le registre des traitements doit refléter la réalité de l’usage. Quand l’entreprise découvre que des salariés recourent à un assistant génératif public pour des données clients, elle complète le registre avec la finalité poursuivie, les catégories de données, les destinataires incluant l’éditeur du service, les durées de conservation et les mesures de sécurité. Si le traitement présente un risque élevé pour les droits et libertés, du fait du volume, de la sensibilité ou d’une évaluation systématique, elle mène une analyse d’impact relative à la protection des données avant de reconduire ou d’encadrer l’usage, en associant le délégué à la protection des données et en documentant les mesures prévues pour traiter les risques. Les salariés dont les journaux de connexion ou les historiques ont été exploités pour établir les faits peuvent exercer leurs droits d’accès et d’opposition sur ces traces, et l’employeur répond dans les délais applicables. Cette traçabilité administrative pèse autant que la traçabilité technique : devant la Commission comme devant le juge, l’entreprise qui documente ses choix se distingue de celle qui improvise.
II. Réagir vite et bien : notifier, informer, sanctionner à juste mesure et réparer
A. Notifier la violation, informer les clients et encadrer le sous-traitant
Toute transmission non autorisée à un service tiers s’analyse comme une violation de données personnelles dès lors que des données sont exposées à des personnes non habilitées, conservées au-delà du nécessaire ou réutilisées pour d’autres finalités. L’entreprise évalue le risque pour les droits et libertés : nature des données, volume, sensibilité, facilité d’identification, contexte commercial ou financier, mesures déjà prises comme l’effacement obtenu ou l’absence de réutilisation démontrée. Si le risque existe, la notification à la Commission nationale de l’informatique et des libertés intervient dans les meilleurs délais et, si possible, dans les soixante-douze heures après la connaissance de l’incident, avec la nature, les catégories, le nombre approximatif de personnes, les conséquences probables et les mesures prises. Le service en ligne de notification de la Commission reste le canal attendu (notifier une violation).
L’article 34 du règlement impose au responsable de communiquer la violation aux personnes concernées dans les meilleurs délais quand elle présente un risque élevé pour leurs droits et libertés, selon les modalités de notification décrites par la CNIL. L’information des clients expose alors en termes clairs la nature de l’incident, les données concernées, les précautions à prendre et le point de contact, sans minimiser ni dramatiser. Elle n’est pas requise si des mesures techniques rendent les données incompréhensibles, si des mesures ultérieures écartent le risque élevé, ou si la communication exigerait des efforts disproportionnés remplacés par une communication publique équivalente. L’entreprise documente ce raisonnement, car l’autorité et le juge le contrôleront. Parallèlement, elle prévient son propre sous-traitant informatique ou son hébergeur quand l’incident touche leurs périmètres, exige les journaux, et fait cesser toute réutilisation non autorisée.
La sécurité du traitement doit être renforcée sans délai. L’article 32 du règlement impose des mesures techniques et organisationnelles appropriées au regard de l’état des connaissances, des coûts, de la nature et des risques, y compris la pseudonymisation, le chiffrement, la confidentialité, l’intégrité, la disponibilité et la résilience, avec des tests réguliers (recommandations de la CNIL sur la sécurité des données). Concrètement, l’entreprise déploie une offre d’intelligence artificielle sous contrat avec accord de traitement, désactive les historiques partagés, filtre les données sensibles avant toute requête, impose des comptes nominatifs avec journalisation, limite les droits de collage depuis le CRM et forme les équipes aux prompts sans données personnelles. Elle met à jour le registre, complète l’analyse d’impact si le traitement est à risque élevé, et publie une charte d’usage opposable après information et consultation du comité social et économique. Le contrôle de la Commission peut porter sur chacun de ces points, et le Conseil d’État vérifie la réalité des manquements comme la proportionnalité de la sanction, par exemple pour la minimisation et la conservation dans une affaire ayant donné lieu à 175 000 euros d’amende avec publication (CE, 6 décembre 2023, n° 467368, société Ubeeqo International, voir sur Legifrance). La presse spécialisée a décrit des cas proches où un salarié verse des données clients dans un assistant public, en soulignant que l’employeur demeure responsable du traitement et doit contractualiser ou interdire, comme le rappelle le dossier de la CNIL sur l’IA. Les commentaires doctrinaux ne remplacent pas les textes, mais ils confirment l’angle mort : sans contrat, l’entreprise subit les conditions du service public par défaut.
À Paris et en Île-de-France, où se concentrent sièges, directions des systèmes d’information et prestataires, le tri des rôles prend une forme très concrète : contrat-cadre avec l’éditeur négocié au siège, registre tenu par le délégué à la protection des données, notification adressée à la Commission, litige prud’homal porté devant le conseil de prud’hommes du lieu de travail et action en responsabilité portée devant le tribunal judiciaire de Paris quand elle relève de son ressort. La juridiction compétente, les délais pratiques de convocation, les pièces à préparer et le canal procédural ne changent pas le fond du droit, mais ils dictent le calendrier : préserver les journaux avant leur rotation, demander l’effacement au fournisseur avant la dispersion des copies, convoquer en disciplinaire avant l’expiration des délais, notifier dans les soixante-douze heures quand les conditions sont réunies.
B. Sanctionner le salarié à juste mesure ou contester une sanction excessive
L’usage non autorisé d’un outil public pour des données de l’entreprise peut constituer une faute s’il méconnaît une obligation de confidentialité, le règlement intérieur, une charte informatique opposable ou l’obligation de loyauté et de prudence. La gravité dépend du volume, de la sensibilité, du caractère réitéré, de la fonction, de la formation reçue, des alertes antérieures et des conséquences, y compris la notification à l’autorité et l’information des clients. Une maladresse isolée sur des données courantes, suivie d’un signalement immédiat et d’un effacement obtenu, ne s’apprécie pas comme la transmission délibérée d’un fichier sensible après une interdiction écrite. L’employeur doit individualiser et motiver, sous peine de voir sa sanction annulée ou réduite.
La procédure disciplinaire est strictement encadrée. Lorsque l’employeur envisage de prendre une sanction, il convoque le salarié en lui précisant l’objet de la convocation, sauf avertissement sans incidence sur la présence, la fonction, la carrière ou la rémunération. Lors de l’entretien, le salarié peut se faire assister par une personne de son choix appartenant au personnel, l’employeur indique le motif et recueille les explications, puis la sanction motivée est notifiée au plus tôt deux jours ouvrables et au plus tard un mois après l’entretien, selon l’article L. 1332-2 du code du travail. Les faits de plus de deux mois ne peuvent plus fonder une sanction, sauf poursuite pénale ou fait similaire récent. La mise à pied conservatoire n’est justifiée que si la présence du salarié fait obstacle aux vérifications. Le licenciement pour faute grave exige une violation rendant impossible le maintien dans l’entreprise pendant le préavis. À chaque stade, l’employeur joint les pièces réellement discutées : charte opposable, preuve de formation, consigne d’interdiction, extraits strictement nécessaires des journaux, demande d’effacement et réponse du fournisseur.
Le salarié dispose de leviers symétriques. Il vérifie d’abord l’opposabilité de l’interdit : charte portée à sa connaissance, information préalable sur les dispositifs de journalisation, consultation du comité social et économique quand elle était requise. Il discute ensuite la proportionnalité : données courantes ou sensibles, volume limité ou fichier entier, usage isolé ou répété, formation effective ou simple affichage, préjudice avéré ou simple risque maîtrisé. Il conteste les preuves obtenues par une surveillance clandestine ou disproportionnée, en demandant au juge le contrôle issu de l’assemblée plénière du 22 décembre 2023 : nécessité, indispensabilité et atteinte strictement proportionnée, avec débat contradictoire sur chaque pièce. Il saisit le conseil de prud’hommes pour contester la sanction, en demandant l’annulation et la réparation, et il peut alerter le délégué à la protection des données, exercer ses propres droits sur ses données de journalisation et signaler à la Commission une surveillance excessive. Quand l’employeur a utilisé des moyens de contrôle non déclarés pour établir la faute, la sanction peut tomber avec les preuves qui la portaient.
La réparation due aux clients et prospects suit un régime autonome. L’article 82, paragraphe 1, du règlement ouvre à toute personne qui subit un dommage matériel ou moral causé par une violation du règlement un droit à réparation contre le responsable du traitement ou le sous-traitant. Le responsable répond du dommage causé par un traitement violant le règlement, le sous-traitant seulement s’il a méconnu ses obligations propres ou agi hors instructions licites, et chacun s’exonère en prouvant que le fait dommageable ne lui est nullement imputable. La Cour de justice exige un dommage réel, une violation et un lien, sans gravité minimale automatique, avec une indemnisation intégrale du préjudice matériel et moral prouvé. En pratique, le client justifie le démarchage subi, l’usurpation tentée, le temps passé à sécuriser ses comptes, l’inquiétude médicalement constatée ou la perte d’opportunité documentée, tandis que l’entreprise oppose l’effacement rapide, l’absence de diffusion démontrée, l’information diligente et les mesures de sécurisation. L’action se porte devant le juge judiciaire, sans attendre l’issue du contrôle administratif, et elle peut prospérer même quand l’autorité n’a pas sanctionné, comme elle peut échouer quand le dommage n’est pas établi malgré une violation formelle.
Le délégué à la protection des données, quand il est désigné, est associé à la qualification de l’incident, à l’examen du risque et à la tenue du registre des violations, sans se substituer au responsable du traitement pour la décision de notifier. Les salariés dont les journaux ont été exploités peuvent exercer leurs droits d’accès et d’opposition sur ces traces, et le comité social et économique est informé des suites données aux dispositifs de contrôle. Sur le plan disciplinaire, Constitue une sanction toute mesure, autre que les observations verbales, prise par l’employeur à la suite d’un agissement du salarié considéré comme fautif, selon l’article L. 1331-1 du code du travail, et l’entretien préalable au licenciement disciplinaire suit les garanties de l’article L. 1232-2 du code du travail, avec convocation, assistance et délais propres. La chambre sociale contrôle la régularité de ces étapes et la proportionnalité de la mesure, y compris quand l’employeur invoque des enregistrements ou des journaux issus d’un dispositif de contrôle (voir par exemple la jurisprudence du 8 mars 2023 sur le droit de la preuve). Ces points de procédure évitent que l’urgence de la fuite ne crée une seconde faute, cette fois contre le salarié, qui ruinerait une sanction par ailleurs fondée sur des faits établis.
La contestation de la sanction obéit à des délais stricts que le salarié ne doit pas laisser passer. Toute action portant sur la rupture du contrat de travail se prescrit par douze mois à compter de la notification de la rupture, selon l’article L. 1471-1 du code du travail, tandis que les actions portant sur l’exécution du contrat se prescrivent par deux ans. Le salarié qui conteste un licenciement disciplinaire lié à l’usage d’un outil d’intelligence artificielle saisit donc le conseil de prud’hommes dans l’année, en articulant ses moyens : irrégularité de procédure, preuves issues d’une surveillance non déclarée ou disproportionnée, absence de faute ou sanction disproportionnée au regard du volume, de la sensibilité et du préjudice réel. L’employeur produit de son côté la charte opposable, la preuve de l’information préalable, les extraits strictement nécessaires et la démonstration du risque ou du dommage. Le juge apprécie l’ensemble sans s’arrêter à la violation formelle ni au simple soupçon, et il peut annuler la sanction, la réduire ou allouer des dommages et intérêts selon ce qui est établi.
En conclusion, le dirigeant qui découvre des collages de données clients dans un assistant public doit qualifier avant de punir : identifier les données et les personnes, couper le flux sans détruire les traces, vérifier le contrat et l’hébergement, notifier dans les soixante-douze heures si le risque l’exige, informer les clients en termes clairs quand le risque est élevé, contractualiser un outil sous accord de traitement, mettre à jour registre et analyse d’impact, puis seulement sanctionner à la mesure d’une faute établie par des preuves indispensables et proportionnées. Le salarié visé doit exiger la procédure, discuter l’opposabilité des interdits, contester les preuves disproportionnées et faire juger la proportionnalité de la sanction. La formation des équipes aux prompts sans données personnelles, le filtrage en amont et la charte opposable valent mieux qu’une course aux journaux après la fuite.