IA au travail : votre employeur peut-il vous surveiller en France ?

La réponse est nuancée. Oui, votre employeur peut avoir une certaine visibilité sur votre activité. Sur un appareil ou un réseau professionnels, il peut voir ce que vous faites. Cela inclut, en théorie, vos échanges avec une IA. Mais le droit français encadre ce contrôle de façon stricte. La CNIL rappelle trois conditions cumulatives. La surveillance doit être proportionnée. Les salariés doivent être informés au préalable. Le CSE (comité social et économique) doit être consulté. Une surveillance permanente et cachée reste l'exception. La parade côté salarié est simple. Ne confiez jamais un secret personnel à une IA depuis un poste professionnel.

Un pouvoir de contrôle réel, mais pas absolu

L'employeur dispose d'un pouvoir de direction. Il peut contrôler l'activité de ses salariés. Il peut encadrer l'usage des outils informatiques professionnels. Ce pouvoir est légitime. Mais il n'est ni absolu ni discrétionnaire. La CNIL le rappelle clairement. Le contrôle s'exerce sous trois conditions qui se cumulent. Aucune ne suffit seule.

• La proportionnalité : la surveillance doit rester adaptée au but recherché.
• L'information préalable : chaque salarié doit connaître le dispositif avant sa mise en place.
• La consultation du CSE : l'instance doit être informée et consultée en amont.

La proportionnalité (article L1121-1)

L'article L1121-1 du Code du travail pose une limite. Une mesure de surveillance doit être justifiée par la nature de la tâche. Elle doit être proportionnée au but recherché. La CNIL en tire des conséquences concrètes. Une surveillance permanente est jugée disproportionnée. Un enregistreur de frappe (keylogger) l'est aussi. Le partage d'écran permanent également. Il faut privilégier le moyen le moins intrusif. Il faut minimiser les données collectées. Il faut limiter leur durée de conservation.

L'information préalable (article L1222-4)

L'article L1222-4 impose la transparence. Aucune information sur un salarié ne peut être collectée à son insu. Le dispositif doit lui être porté à connaissance avant. Une surveillance cachée reste donc l'exception. Les conséquences d'un manquement sont lourdes. Une preuve obtenue par un dispositif non déclaré peut être écartée. Un licenciement fondé sur une telle preuve peut perdre sa cause réelle et sérieuse.

Le CSE doit être consulté avant

Le CSE (comité social et économique) a un rôle clé. Il doit être informé et consulté avant la mise en place d'un moyen de contrôle de l'activité. Cette obligation vise les entreprises d'au moins 50 salariés. Elle figure à l'article L2312-38 du Code du travail. Le défaut de consultation n'est pas anodin. Il expose l'employeur à un délit d'entrave. Il rend aussi le dispositif irrégulier. À noter : le CSE est obligatoire dès 11 salariés. Mais l'obligation de consultation sur les moyens de contrôle vise le seuil de 50.

Le RGPD : vos prompts sont des données personnelles

Le contenu que vous saisissez dans une IA compte. Sur un poste professionnel, ces prompts sont des données personnelles. Le RGPD s'applique donc pleinement. Or, au travail, le consentement du salarié est fragile. Le lien de subordination crée un déséquilibre de pouvoir. La CNIL rappelle que ce consentement est rarement une base légale valable. L'employeur doit s'appuyer sur une autre base. L'intérêt légitime ou l'obligation légale, par exemple. Pour un dispositif à risque élevé, une AIPD (analyse d'impact) peut être requise.

Un point mérite d'être clarifié. La CNIL n'a jamais interdit ChatGPT en France. À ne pas confondre avec l'autorité italienne. Le Garante avait bloqué temporairement l'outil en mars 2023. La CNIL, elle, encadre l'usage de l'IA par les principes existants. La proportionnalité. L'information. La minimisation. Pas par une interdiction.

La parade, côté salarié comme employeur

Côté salarié, la règle est simple. Ne confiez jamais de secret personnel à une IA depuis un appareil professionnel. Le meilleur réflexe reste d'anonymiser avant de coller. Vous gardez vos données hors du prompt, quoi que voie l'employeur.

1. 1Repérez les données sensibles dans votre texte : noms, montants, clés, adresses.
2. 2Remplacez-les par des jetons réversibles, côté navigateur.
3. 3Envoyez seulement le texte anonymisé à l'IA.
4. 4Restaurez les vraies valeurs dans la réponse, en local.

Côté employeur, la conformité tient en trois gestes. Soyez transparent : informez les salariés avant. Consultez le CSE en amont. Restez strictement proportionné. Et rappelez-vous une chose. Les salariés conservent leur droit à la vie privée, même au bureau.

C'est le rôle d'ONYRI Sanitize. Le moteur détecte les données sensibles — noms, montants, clés, adresses — et les remplace par des jetons réversibles avant l'envoi. La détection et le mapping restent dans votre navigateur. Seul un texte anonymisé atteint le modèle. L'IA n'y trouve que des jetons, jamais vos vraies données. Quoi que voie votre employeur sur le réseau, vos secrets ne quittent pas le poste.