Interdire l’IA en entreprise ou l’utiliser sans autorisation : c’est légal ça ?
Certaines pratiques numériques courantes restent juridiquement ambiguës pour les non-initiés. Entre usages bien ancrés, zones grises du droit et récentes évolutions réglementaires, il est difficile de savoir précisément ce qui est autorisé, toléré ou interdit. Pour y voir plus clair, BDM publie une série d’articles qui explorent la légalité de ces pratiques, avec l’éclairage d’avocats spécialisés en droit du numérique et en propriété intellectuelle.
Aujourd’hui, nous nous intéressons à l’usage de l’IA générative en entreprise. Un employeur peut-il interdire l’usage de ChatGPT ? Que risque un salarié qui utilise l’IA sans l’accord de la direction ? Deux avocats en droit du travail apportent leur éclairage : Maître Yann-Maël Larher, du cabinet YML Avocat, et Maître Emmanuel Maudet, du cabinet Workwise Avocats.
Un pouvoir de direction qui s’étend à l’IA générative
« Un employeur peut interdire des outils comme ChatGPT, et certains le font. C’est une décision qui relève de son pouvoir de direction », explique Yann-Maël Larher. En droit français, ce pouvoir permet à l’employeur d’organiser l’activité de l’entreprise, y compris les outils numériques utilisés par les salariés. Ce pouvoir s’étend logiquement aux outils d’IA générative, dont l’adoption dans les usages professionnels a largement devancé la mise en place de règles internes. Pour Emmanuel Maudet, ce pouvoir de direction permet parfaitement à l’employeur d’« interdire ou restreindre l’usage des outils d’IA par ses salariés ».
Une telle interdiction paraît d’autant plus légitime que les versions « grand public » des outils d’IA n’offrent pour la plupart aucune garantie de sécurité et de confidentialité des données de l’entreprise qui pourraient être divulguées par les salariés à travers ces outils.
La proportionnalité, limite au pouvoir de l’employeur
Ce pouvoir n’est cependant pas absolu, nuance Yann-Maël Larher. L’article L. 1121-1 du Code du travail impose que « toute restriction apportée aux droits des salariés soit justifiée par la nature de la tâche et proportionnée au but poursuivi ». Une interdiction totale et indifférenciée, sans distinction de contexte ni de poste, pourrait être contestée devant les prud’hommes.
Une interdiction peut se justifier pleinement dans certains secteurs ou pour certaines fonctions. Par exemple, un cabinet médical qui interdirait à ses assistantes médicales d’utiliser ChatGPT pour rédiger des comptes-rendus contenant des données de santé agit de manière cohérente avec ses obligations RGPD. En revanche, interdire à un chargé de communication d’utiliser un outil d’IA pour reformuler une accroche publicitaire pourrait sembler disproportionné.
Le principe de proportionnalité s’apprécie donc au cas par cas, selon le poste occupé et la sensibilité des données manipulées.
Quelles sanctions pour le salarié fautif ?
Un salarié ne peut être sanctionné qu’en présence d’une faute concrète, jamais pour le seul usage de l’IA. Un usage qui ne contrevient à aucune interdiction ou obligation spécifique rendrait une sanction discutable. En revanche, des sanctions peuvent s’appliquer si un salarié utilise un outil d’IA en violation d’une interdiction prévue par la charte informatique de l’entreprise. Un salarié « qui utilise ChatGPT en violation d’une consigne explicite, ou qui introduit dans l’outil des données confidentielles de l’entreprise » s’expose à une sanction disciplinaire, pouvant aller jusqu’au licenciement pour faute grave.
L’obligation de loyauté, qui irrigue l’ensemble du contrat de travail, constitue également un terrain de risque pour le salarié. Si l’employeur souhaite être informé par le salarié de l’utilisation de l’IA dans le cadre de ses fonctions, et que ce dernier l’utilise à l’insu de son employeur, le défaut d’information pourrait s’assimiler à un manquement à l’obligation de loyauté, entraînant potentiellement une sanction disciplinaire.
Comment encadrer l’usage de l’IA en entreprise
Pour éviter les zones de risque, il est recommandé de poser un cadre en amont plutôt que de sanctionner au cas par cas. Le premier levier consiste en « la négociation d’un accord d’entreprise avec les partenaires sociaux pour définir, d’un commun accord, des principes d’utilisation ».
À défaut d’accord, une charte spécifique ou une modification de la charte informatique existante peut permettre d’encadrer ou d’interdire l’usage des outils d’IA. Cette charte doit aller au-delà d’une simple liste d’interdictions. Elle doit préciser les usages autorisés, établir des règles de confidentialité, traiter les questions de propriété intellectuelle sur les contenus générés et prévoir des actions de formation.
Cette exigence de formation vaut aussi pour l’employeur. Si l’entreprise n’a pas formé ses salariés aux risques et aux bons usages de l’IA, elle sera en mauvaise posture pour sanctionner. « On ne peut pas reprocher à quelqu’un d’avoir mal utilisé un outil dont personne ne lui a expliqué les limites », estime Yann-Maël Larher, qui ajoute que les entreprises les plus avancées créent un comité IA pluridisciplinaire pour veiller au respect des règles et les faire évoluer.
Les outils évoluent rapidement et les usages également. Une politique IA doit être vivante et évolutive, et pas seulement un document qu’on signe à l’embauche.
Source : BDM
