Recrutement automatisé, évaluation, géolocalisation, contrôle de l’activité, décisions algorithmiques : l’employeur peut utiliser des outils numériques, mais son pouvoir de direction ne lui permet pas de tout faire.
Les technologies numériques occupent désormais une place importante dans la relation de travail. Elles peuvent intervenir dès le recrutement, puis dans l’organisation du travail, le suivi de l’activité, l’évaluation des performances, l’attribution des tâches ou certaines décisions de gestion du personnel.
Pour un salarié, la difficulté est souvent la même : savoir qu’un outil existe ne permet pas toujours de comprendre ce qu’il mesure, quelles données il utilise ni quel rôle il joue dans une décision qui le concerne.
Or le recours à une technologie ne fait pas disparaître les protections du droit du travail, du droit des données personnelles ou du droit de la non-discrimination.
Le principe reste celui-ci : un employeur peut organiser et contrôler le travail, mais les dispositifs utilisés doivent respecter les droits et libertés des salariés, leur vie privée et les règles applicables aux données personnelles. Le code du travail impose notamment que les restrictions apportées aux droits et libertés soient justifiées par la nature de la tâche et proportionnées au but recherché.
Lorsque l’intelligence artificielle ou un algorithme intervient, une question s’ajoute : quelle place le système occupe-t-il réellement dans la décision humaine ?
Quels outils numériques peuvent affecter un salarié ?
Le terme « algorithme » recouvre des usages très différents.
Il peut s’agir d’un logiciel qui sélectionne des candidatures, d’un outil attribuant des horaires, d’un système de géolocalisation, d’un logiciel évaluant des indicateurs de performance, d’une solution analysant l’activité informatique ou encore d’un système d’intelligence artificielle qui formule une recommandation à un recruteur ou à un manager.
Les risques juridiques ne sont pas identiques.
Un outil peut servir à organiser le travail sans décider à la place de l’employeur. Un autre peut établir un score qui influence fortement une promotion, une affectation ou une sanction. Un troisième peut collecter en continu des données permettant de surveiller le comportement du salarié.
C’est pourquoi la première question à poser n’est pas seulement « mon employeur utilise-t-il une IA ? », mais « que fait exactement l’outil, quelles informations recueille-t-il et comment ses résultats sont-ils utilisés à mon égard ? »
Un employeur peut-il surveiller ses salariés avec des outils numériques ?
Oui, mais son pouvoir de contrôle connaît des limites.
La CNIL rappelle qu’un employeur peut encadrer et contrôler l’activité des personnes qu’il emploie, mais que ce pouvoir ne peut pas être exercé de manière excessive. Un dispositif de contrôle doit notamment être justifié, proportionné, porté à la connaissance des salariés et, lorsqu’elles sont applicables, respecter les règles relatives aux représentants du personnel.
La surveillance permanente ou particulièrement intrusive soulève donc des difficultés spécifiques. La CNIL considère qu’une surveillance constante est excessive.
Elle estime par exemple qu’un logiciel enregistrant les frappes au clavier — un « keylogger » — utilisé pour surveiller une personne en télétravail est disproportionné, notamment parce qu’il ne permet pas de distinguer les informations professionnelles des informations personnelles et place la personne sous surveillance constante.
Le même raisonnement de proportionnalité peut concerner, selon le contexte, la vidéosurveillance, la géolocalisation, l’enregistrement d’appels, le suivi de la navigation ou certains outils de contrôle des équipements professionnels.
La possibilité technique de mesurer une activité ne signifie donc pas que l’employeur peut juridiquement tout mesurer.
Le salarié doit-il être informé du dispositif utilisé ?
En principe, oui lorsque le dispositif collecte des informations qui le concernent.
L’article L. 1222-4 du code du travail prévoit qu’aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance.
L’information du salarié ne se limite pas nécessairement au simple fait de savoir qu’un logiciel existe.
Lorsque des données personnelles sont traitées, les obligations issues du RGPD peuvent notamment conduire à informer la personne sur l’identité du responsable du traitement, les finalités poursuivies, les catégories de données utilisées, leur durée de conservation, leurs destinataires et les droits dont elle dispose.
Pour le salarié, une question concrète devient alors essentielle : est-ce que je comprends quelles données sont utilisées et à quoi elles servent ?
Si un dispositif officiellement présenté comme un outil d’organisation est ensuite utilisé pour contrôler individuellement les salariés ou soutenir une procédure disciplinaire, la finalité réelle de son utilisation peut devenir un point central de l’analyse.
Une IA peut-elle évaluer les performances d’un salarié ?
Une technologie peut participer à l’évaluation professionnelle, mais cette évaluation reste encadrée.
L’article L. 1222-3 du code du travail prévoit que le salarié est expressément informé, préalablement à leur mise en œuvre, des méthodes et techniques d’évaluation professionnelles mises en œuvre à son égard. Il précise également que ces méthodes doivent être pertinentes au regard de la finalité poursuivie et que les résultats obtenus sont confidentiels.
Cette règle conserve toute son importance lorsque l’évaluation repose sur un outil algorithmique.
Il faut alors pouvoir comprendre ce que le système mesure réellement. Un indicateur peut paraître objectif tout en reposant sur des données incomplètes, sur des catégories mal choisies ou sur des critères qui ne reflètent que partiellement le travail accompli.
La présence d’un algorithme ne transforme donc pas une appréciation discutable en mesure neutre.
Une donnée chiffrée reste le résultat d’un choix : choix des données collectées, des critères retenus et de la manière dont ils sont pondérés ou interprétés.
Une décision concernant un salarié peut-elle être entièrement automatisée ?
Le RGPD apporte ici une protection particulière, mais son champ doit être compris précisément.
Son article 22 reconnaît à la personne concernée le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, lorsque cette décision produit des effets juridiques la concernant ou l’affecte de manière significative de façon similaire. Le texte prévoit certaines exceptions assorties de garanties.
Toute décision utilisant un algorithme n’entre donc pas automatiquement dans l’article 22.
La question est notamment de savoir si la décision est réellement prise exclusivement par le traitement automatisé ou si une intervention humaine substantielle intervient dans le processus.
Une validation purement formelle du résultat par un manager ne suffit pas nécessairement à démontrer que la décision a réellement été prise par un être humain.
Pour un salarié confronté à une décision de refus de promotion, de notation, d’affectation ou à une autre mesure significative, il peut donc être pertinent de chercher à comprendre qui a décidé, sur quelles informations, et quelle liberté réelle avait la personne qui a validé le résultat du système.
L’AI Act change-t-il les règles applicables aux outils utilisés dans l’emploi ?
Oui, mais progressivement.
L’AI Act identifie certains systèmes d’intelligence artificielle utilisés en matière d’emploi et de gestion de la main-d’œuvre comme susceptibles de relever de la catégorie des systèmes à haut risque.
L’annexe III vise notamment certains systèmes destinés au recrutement ou à la sélection des personnes, ainsi que certains systèmes utilisés pour prendre des décisions influant sur les conditions des relations professionnelles, l’attribution des tâches sur la base du comportement individuel, de traits de personnalité ou de caractéristiques personnelles, ou encore le suivi et l’évaluation des performances et du comportement des personnes dans ce cadre.
Cela ne signifie pas que tout logiciel RH utilisant de l’IA est automatiquement un système à haut risque. L’article 6 prévoit des critères permettant, dans certaines situations, de considérer qu’un système visé à l’annexe III ne présente pas de risque important. Un système qui effectue un profilage de personnes physiques reste toutefois toujours à haut risque.
Les obligations correspondant aux systèmes à haut risque relevant de l’annexe III s’appliquent à partir du 2 décembre 2027. L’absence d’applicabilité immédiate d’une obligation de l’AI Act ne fait pas disparaître les règles déjà en vigueur issues du droit du travail, du RGPD et du droit de la non-discrimination.
Un algorithme peut-il produire une discrimination au travail ?
Oui.
Une discrimination peut résulter d’une décision humaine, mais également d’un mécanisme numérique.
Un système utilisé pour recruter, classer des candidats, proposer des emplois, évaluer des salariés ou attribuer certaines opportunités peut produire des effets différents selon le sexe, l’âge, l’origine, le handicap ou un autre critère protégé.
Le caractère automatisé du système ne neutralise pas le droit de la non-discrimination.
Pour un salarié, la difficulté tient souvent à l’opacité du mécanisme. Il peut constater qu’il est moins bien noté, moins souvent sélectionné ou défavorisé dans une décision sans avoir accès au modèle utilisé.
Il faut alors distinguer plusieurs questions : existe-t-il une différence de traitement ? Est-elle liée, directement ou indirectement, à un critère protégé ? Quelle place l’algorithme a-t-il occupée dans le processus ? Quels éléments permettent de documenter cet effet ?
La recherche d’une discrimination algorithmique ne consiste donc pas seulement à demander le code source d’un système. Elle peut nécessiter d’analyser les résultats, les données utilisées, les critères de décision, la procédure humaine et les effets observés.
Le CSE a-t-il un rôle lorsque l’entreprise introduit un nouvel outil numérique ?
Dans certaines entreprises et pour certains dispositifs, oui.
L’article L. 2312-38 du code du travail prévoit que le comité social et économique est informé préalablement sur les méthodes ou techniques d’aide au recrutement ainsi que sur les traitements automatisés de gestion du personnel. Il prévoit également une information et une consultation préalables avant la décision de mise en œuvre de moyens ou techniques permettant un contrôle de l’activité des salariés.
Pour le salarié, cela signifie que la question n’est pas toujours exclusivement individuelle.
L’introduction d’un système de contrôle, d’évaluation ou de gestion algorithmique peut également relever du dialogue collectif dans l’entreprise.
Les représentants du personnel peuvent ainsi jouer un rôle important pour comprendre le dispositif, interroger ses finalités ou apprécier ses effets sur l’organisation et les conditions de travail.
Quels droits le RGPD permet-il d’exercer ?
Lorsqu’un outil numérique traite des données personnelles relatives au salarié, le RGPD peut lui permettre d’exercer plusieurs droits, sous réserve des conditions et limites propres à chacun d’eux.
Le droit d’accès peut notamment permettre d’obtenir des informations sur les données personnelles traitées et certaines caractéristiques du traitement.
Le droit de rectification peut être important lorsqu’une décision repose sur une donnée incorrecte.
Le droit d’opposition peut être applicable dans certaines situations en fonction de la base juridique retenue.
Lorsque l’article 22 du RGPD s’applique à une décision automatisée, le texte prévoit également, pour certaines exceptions, des garanties comprenant au moins la possibilité d’obtenir une intervention humaine, d’exprimer son point de vue et de contester la décision.
Peut-on demander des explications sur un score ou une décision algorithmique ?
Parfois, mais il faut éviter de promettre un « droit à l’explication » général qui permettrait d’obtenir systématiquement l’intégralité du fonctionnement d’un algorithme.
Les droits disponibles dépendent du traitement concerné, du rôle joué par le système, des données utilisées et de la décision prise.
Lorsqu’une personne est soumise à une décision automatisée entrant dans le champ du RGPD, les obligations d’information relatives à l’existence d’une telle décision et aux informations pertinentes concernant la logique sous-jacente peuvent être particulièrement importantes.
Dans d’autres situations, le droit du travail, le droit de la preuve, le droit de la non-discrimination ou les obligations d’information du salarié peuvent ouvrir d’autres voies.
La bonne question n’est donc pas toujours « puis-je obtenir l’algorithme ? », mais plutôt « quels éléments dois-je obtenir pour comprendre et, si nécessaire, contester la décision qui m’affecte ? »
Une décision fondée sur un outil numérique peut-elle être contestée ?
Oui.
Le recours à un logiciel ou à une intelligence artificielle ne place pas une décision hors du contrôle juridique.
Une évaluation, une sanction, une modification des conditions de travail ou une rupture du contrat peuvent être contestées selon les règles applicables à la décision elle-même.
Le rôle joué par l’outil devient alors un élément supplémentaire du dossier.
Il peut être nécessaire d’examiner la licéité du dispositif utilisé, les informations fournies au salarié, la pertinence des critères d’évaluation, l’existence éventuelle d’un traitement automatisé, les données ayant alimenté le système, la réalité de l’intervention humaine, une éventuelle discrimination ou encore la proportionnalité du dispositif de contrôle.
Le contentieux ne porte donc pas nécessairement contre « l’algorithme ». Il porte sur une décision ou un dispositif dont l’algorithme peut être l’un des éléments.
Quelles preuves conserver lorsqu’un outil numérique semble avoir joué un rôle ?
Avant toute contestation, il est souvent utile de préserver les éléments permettant de reconstituer les faits.
Selon la situation, cela peut inclure les messages annonçant l’introduction de l’outil, les notices ou chartes internes, les résultats ou scores communiqués, les évaluations antérieures, les échanges avec le manager ou le service RH, les demandes d’explication et leurs réponses, ainsi que les éléments permettant d’identifier la date et le contexte de la décision.
Il peut également être utile de conserver les éléments permettant de comparer la situation avant et après l’introduction du dispositif.
Cette conservation doit naturellement respecter les règles applicables, notamment la confidentialité des informations de l’entreprise et les droits des autres personnes.
L’objectif n’est pas de constituer soi-même une expertise technique. Il est de pouvoir répondre à des questions simples : quel outil était utilisé, quand, pour quelle finalité et avec quel effet sur la décision ?
Que faire si vous pensez être surveillé ou évalué de manière illicite ?
La première étape consiste à identifier précisément le dispositif.
Il faut distinguer ce qui relève d’un outil de sécurité, d’un dispositif de contrôle du travail, d’un traitement de données personnelles, d’un mécanisme d’évaluation ou d’une aide algorithmique à la décision.
Selon la situation, différentes démarches peuvent ensuite être envisagées : demander des informations à l’employeur, exercer des droits en matière de données personnelles, saisir les représentants du personnel, solliciter la CNIL, le Défenseur des droits lorsqu’une discrimination est en cause ou, selon les faits, engager une action devant la juridiction compétente.
Le choix du recours dépend donc du problème juridique réellement rencontré.
L’essentiel à retenir
Un employeur peut utiliser des technologies numériques pour organiser, évaluer ou contrôler le travail, mais son pouvoir de direction reste encadré par les droits et libertés des salariés.
Un dispositif de contrôle doit être justifié et proportionné. Le salarié doit être informé des dispositifs collectant des informations qui le concernent et des méthodes d’évaluation utilisées à son égard.
Lorsqu’un traitement de données personnelles est en cause, le RGPD ajoute ses propres garanties. Une décision fondée exclusivement sur un traitement automatisé et produisant des effets juridiques ou comparables relève d’un régime particulier.
Un algorithme ne peut pas légalement transformer une discrimination, une surveillance disproportionnée ou une méthode d’évaluation irrégulière en décision objective simplement parce qu’elle est automatisée.
Pour aller plus loin
Le mini-guide destiné aux organisations traite du même dispositif vu de l’autre côté : IA et outils numériques au travail : comment encadrer leur utilisation par l’employeur ?
Trois pages d’expertise prolongent ce guide : Transparence algorithmique, Discriminations algorithmiques et Vie privée et données personnelles. La ressource de la Médiathèque consacrée à la responsabilité numérique expose la répartition des obligations entre les acteurs d’une chaîne numérique.
Vous êtes confronté à une décision ou à un dispositif numérique au travail ?
Une notation algorithmique, un dispositif de surveillance ou une décision fondée sur un outil d’intelligence artificielle ne s’analyse pas uniquement sous l’angle technique. Il faut identifier le fonctionnement du dispositif, les données utilisées, la place réelle de l’algorithme dans la décision et les règles du droit du travail, du RGPD ou de la non-discrimination susceptibles de s’appliquer.
Fatima Ghilassene, avocate en droit du numérique à Lille, accompagne les personnes et les acteurs collectifs confrontés aux effets des technologies numériques sur leurs droits afin d’analyser le dispositif, préserver les éléments utiles et déterminer les démarches envisageables.
Repères juridiques
Code du travail : article L. 1121-1 sur la justification et la proportionnalité des restrictions aux droits et libertés, article L. 1222-3 sur l’information préalable et la pertinence des méthodes d’évaluation, article L. 1222-4 sur les dispositifs de collecte d’informations, article L. 2312-38 sur l’information et la consultation du CSE.
Règlement (UE) 2016/679, dit RGPD : article 22 sur les décisions fondées exclusivement sur un traitement automatisé.
Règlement (UE) 2024/1689, dit AI Act : article 6 sur la classification des systèmes à haut risque, annexe III point 4 sur l’emploi et la gestion de la main-d’œuvre, article 113 pour le calendrier d’application.
Règles relatives à la non-discrimination. Recommandations de la CNIL relatives au contrôle de l’activité des personnes employées et aux données des salariés.