L'intelligence artificielle (IA) s'est installée dans de nombreuses entreprises, de l'analyse de données au tri automatisé de documents, en passant par l'aide à la décision. Mais derrière ces usages se cache une question souvent négligée : qu'est-ce que le droit autorise, encadre ou impose ? Depuis l'adoption du règlement européen sur l'intelligence artificielle (le règlement (UE) 2024/1689, dit « AI Act »), l'usage professionnel de l'IA s'inscrit dans un cadre légal de plus en plus précis, qui s'ajoute aux règles déjà existantes sur les données personnelles et le travail.
Je précise mon rôle : je vulgarise ici le cadre juridique applicable à l'IA en entreprise, je ne suis pas avocate et je n'engage aucune responsabilité. Ce domaine évoluant très vite, les obligations exactes et leur calendrier doivent être vérifiés sur les sources officielles (Commission européenne, CNIL). Pour approfondir la documentation juridique sur le sujet, vous pouvez en savoir plus, et pour déployer un outil d'IA en conformité, le recours à un avocat ou à un délégué à la protection des données est vivement conseillé.
Oui, et de plus en plus. Le texte central est désormais le règlement européen sur l'intelligence artificielle (règlement (UE) 2024/1689). Premier cadre juridique d'ensemble au monde sur l'IA, il repose sur une approche par niveaux de risque : plus un usage de l'IA présente de risques pour les droits des personnes, plus les obligations sont strictes.
Le règlement distingue schématiquement les usages interdits (par exemple certains systèmes de notation sociale), les systèmes à haut risque, soumis à de fortes obligations de transparence, de documentation et de supervision humaine, et les usages à risque limité ou minimal, soumis à des obligations allégées. Ses obligations entrent en application de façon échelonnée sur plusieurs années. Concrètement, cela signifie qu'une entreprise doit d'abord identifier dans quelle catégorie se range chacun de ses usages d'IA, car ses obligations en dépendent directement.
Dès qu'un outil d'IA traite des données personnelles, clients, prospects ou salariés, il entre dans le champ du Règlement général sur la protection des données (RGPD, règlement (UE) 2016/679) et de la loi Informatique et Libertés, sous le contrôle de la CNIL. Ces règles s'appliquent en plus de l'AI Act, et non à sa place.
Plusieurs principes sont alors incontournables : une base légale pour le traitement, la limitation des données à ce qui est nécessaire, l'information des personnes concernées, et le respect de leurs droits (accès, rectification, opposition). Le RGPD encadre par ailleurs spécifiquement les décisions entièrement automatisées produisant des effets significatifs sur une personne (article 22), qui ne sont permises que sous conditions et avec des garanties. Concrètement, cela signifie qu'un outil d'IA ne dispense jamais l'entreprise de ses obligations en matière de données personnelles ; il les renforce.
Lorsque l'employeur déploie un outil d'IA susceptible d'affecter les conditions de travail ou de contrôler l'activité des salariés, le droit du travail s'applique pleinement. Deux exigences méritent une attention particulière.
D'une part, les salariés doivent être informés, préalablement, des dispositifs permettant de collecter des informations les concernant : un outil de suivi ou d'évaluation introduit à leur insu ne peut pas leur être opposé. D'autre part, l'employeur doit en principe informer et consulter le comité social et économique (CSE) avant la mise en place d'un tel outil, dès lors qu'il a un impact sur l'organisation, les conditions de travail ou le contrôle de l'activité. Concrètement, cela signifie qu'un déploiement d'IA touchant les salariés ne peut pas se faire unilatéralement et sans dialogue social.
C'est un point essentiel et souvent mal compris : recourir à un outil d'IA ne transfère pas la responsabilité de l'entreprise vers la machine. Une décision prise ou préparée à l'aide d'un système d'IA reste imputable à celui qui l'utilise. L'entreprise ne peut pas s'exonérer en invoquant le fait que « c'est l'algorithme qui a décidé ».
Cette responsabilité peut être contractuelle (envers un client) ou délictuelle (envers un tiers), selon les situations, et s'apprécie selon les règles de droit commun. C'est précisément pourquoi l'AI Act insiste sur la supervision humaine pour les systèmes à haut risque : une intervention humaine doit pouvoir contrôler, et le cas échéant corriger, les résultats produits. Concrètement, cela signifie qu'une entreprise a tout intérêt à conserver une maîtrise et une traçabilité de ses outils d'IA, pour des raisons à la fois de conformité et de responsabilité.
Quelques réflexes permettent de réduire les risques juridiques, sans prétendre à l'exhaustivité. Il est utile de cartographier ses usages d'IA et de les classer selon le niveau de risque au sens de l'AI Act, de vérifier la conformité au RGPD de chaque traitement de données personnelles (information, base légale, durée de conservation), et d'associer le délégué à la protection des données lorsqu'il existe.
Côté ressources humaines, mieux vaut anticiper l'information des salariés et la consultation du CSE avant tout déploiement ayant un impact sur le travail. Enfin, prévoir une supervision humaine et conserver une documentation des outils utilisés facilite la démonstration de la conformité en cas de contrôle. Pour les usages sensibles, l'appui d'un professionnel du droit est recommandé. Cet article a une vocation informative et ne remplace pas un conseil juridique personnalisé.
Non : les usages de l'IA concernent aussi les PME, qui recourent à des outils accessibles pour automatiser des tâches ou analyser des données. Mais le cadre juridique, lui, ne dépend pas de la taille de l'entreprise : une PME qui traite des données personnelles via un outil d'IA est soumise au RGPD au même titre qu'un grand groupe, et l'AI Act s'applique selon l'usage, non selon le chiffre d'affaires.
Quant à la crainte d'un remplacement des salariés, elle relève davantage du débat de société que du droit. Sur le plan juridique, ce qui compte est que l'introduction d'un outil d'IA respecte les règles applicables, notamment en matière de données et de dialogue social, et que la décision finale demeure sous contrôle humain.
L'usage de l'intelligence artificielle en entreprise n'est pas un espace sans règles. Il s'inscrit dans le règlement européen sur l'IA (règlement (UE) 2024/1689), qui module les obligations selon le niveau de risque, et reste soumis au RGPD dès qu'il y a des données personnelles, sous le contrôle de la CNIL. Le droit du travail impose l'information des salariés et la consultation du CSE pour les outils affectant le travail, et la responsabilité d'une décision assistée par IA demeure celle de l'entreprise. Ce domaine évoluant rapidement, chaque projet étant particulier, il reste vivement conseillé de vérifier les obligations à jour et de consulter un professionnel du droit avant tout déploiement.
Article rédigé par
