Interdire l'IA à un salarié : ce que vous pouvez et ne pouvez pas faire

Un dirigeant peut encadrer l'usage de l'IA dans son entreprise. Il peut même en interdire certains usages. Mais une règle non écrite, non portée à la connaissance des salariés ou disproportionnée ne servira à rien le jour où il faudra s'en prévaloir. Voici les conditions réelles, et l'erreur qui vide une charte de sa valeur.

Le principe : oui, mais sous conditions

Le cadre de toute restriction figure à l'article L. 1121-1 du Code du travail : nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché.

Deux mots portent tout : justifiée et proportionnée. Une interdiction adossée à un objectif clair, comme la protection du secret des affaires ou des données de vos clients, se défend sans difficulté. Une interdiction générale, sans motif exposé, tient beaucoup moins bien.

Écrivez donc le pourquoi à côté du quoi. Une règle motivée est à la fois plus solide juridiquement et mieux respectée dans les faits.

Une charte seule ne suffit pas à sanctionner

C'est l'erreur la plus coûteuse, et la plus répandue. Beaucoup d'entreprises rédigent une charte d'usage de l'IA, la diffusent par courriel, et considèrent le sujet clos. Le document existe, mais il n'est pas nécessairement opposable.

Le Code du travail est explicite sur ce point. Selon l'article L. 1321-5, les notes de service ou tout autre document comportant des obligations générales et permanentes en matière de discipline sont considérées comme des adjonctions au règlement intérieur, et soumises aux mêmes formalités.

Autrement dit, une charte IA qui pose des obligations permanentes n'échappe pas au formalisme du règlement intérieur parce qu'on l'a appelée « charte ». Le nom du document ne change pas sa nature.

À partir de cinquante salariés, le règlement intérieur est obligatoire, et c'est lui qui porte l'échelle des sanctions. En deçà, la règle passe généralement par le contrat de travail ou une note de service, et le point à sécuriser reste le même : pouvoir prouver que le salarié en a eu connaissance avant les faits.

La rédaction et le support conditionnent l'opposabilité. C'est le point sur lequel un conseil en droit social vous fera gagner du temps, et évitera de découvrir le problème pendant un contentieux.

Consulter le CSE quand il existe

Dans les entreprises d'au moins cinquante salariés, l'article L. 2312-8 prévoit que le comité social et économique est informé et consulté sur l'introduction de nouvelles technologies et sur tout aménagement important modifiant les conditions de travail.

Déployer un outil d'IA générative auprès des équipes entre pleinement dans cette catégorie. Sauter cette étape fragilise le déploiement lui-même, pas seulement la charte qui l'accompagne.

En pratique, cette consultation est souvent un accélérateur plutôt qu'un frein. Les représentants du personnel posent les questions que vos équipes se posent déjà en silence : surveillance, évaluation, remplacement de postes. Y répondre une fois, devant tout le monde, vaut mieux que d'y répondre trente fois dans les couloirs.

Ce que vous pouvez légitimement interdire

Le dépôt de données confidentielles, de données personnelles de clients ou de secrets d'affaires dans un outil grand public. C'est l'interdiction la mieux fondée de toutes, et la plus facile à expliquer.

L'usage d'outils non validés par l'entreprise pour un usage professionnel, dès lors que vous mettez à disposition une alternative utilisable. Interdire sans fournir de solution produit surtout du contournement.

L'envoi à un client d'un livrable généré sans relecture humaine. Cette règle-là protège la qualité autant que la conformité, et personne ne la conteste.

Ce que vous ne pouvez pas faire

Mettre en place un dispositif de surveillance des usages sans en informer préalablement les salariés. L'article L. 1222-4 est sans nuance : aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n'a pas été porté préalablement à sa connaissance.

Sanctionner sur la seule foi d'un outil de détection. Le score produit par un détecteur est un indice statistique, pas une preuve, et les raisons de ne jamais construire une sanction dessus sont autant techniques que juridiques.

Reprocher rétroactivement un comportement qu'aucune règle n'encadrait au moment des faits. Une charte publiée en septembre ne rend pas fautif un usage de juin.

Le cas de l'outil personnel

C'est la zone la plus grise, et la plus fréquente en PME. Un salarié utilise son propre compte, sur son propre téléphone, pour traiter un dossier professionnel.

Vous n'avez pas de prise sur l'outil ni sur le compte. Vous en avez une, en revanche, sur ce qui y entre. Interdire la sortie de données de l'entreprise vers un service non validé est une règle qui porte sur la donnée, pas sur l'équipement personnel du salarié. C'est cette formulation qui tient.

Reste la question de fond : faut-il vraiment interdire ? L'interdiction pure produit généralement plus de shadow AI qu'elle n'en supprime, et elle vous prive de toute visibilité sur ce qui se passe réellement.

Questions fréquentes

Nous avons moins de cinquante salariés. Sommes-nous dispensés de tout ?

Vous êtes dispensés du règlement intérieur obligatoire et de la consultation d'un CSE qui n'existe pas. Vous n'êtes dispensés ni de la proportionnalité, ni de l'information préalable, ni de la preuve que la règle était connue. Le formalisme est allégé, pas l'exigence.

Un salarié peut-il refuser d'utiliser un outil d'IA que nous déployons ?

Un salarié doit exécuter les tâches relevant de ses fonctions avec les moyens fournis par l'employeur. Un refus général et non motivé est difficilement défendable de son côté. Une objection précise, portant sur la confidentialité d'un dossier ou sur une décision qui engagerait sa responsabilité professionnelle, mérite en revanche d'être écoutée plutôt que balayée.

Faut-il faire signer la charte individuellement ?

Ce n'est pas exigé dans tous les cas, mais c'est la façon la plus simple de prouver la connaissance de la règle. Un accusé de réception daté, conservé au dossier, règle en une ligne un débat qui peut coûter cher plus tard.

Où en est votre entreprise ?

L'audit de maturité IA de Klaveta évalue vos usages, votre exposition et vos priorités. Gratuit en 5 min.

Lancer l'audit de maturité IA