Recrutement, évaluation, surveillance, organisation du travail, décisions RH : le déploiement d’une technologie dans la relation de travail doit associer suffisamment tôt les acteurs capables d’en apprécier les effets sur les salariés et sur les données. Le CSE et le DPO occupent à cet égard des fonctions différentes mais complémentaires.
Les outils numériques peuvent intervenir à presque toutes les étapes de la relation de travail : recrutement, organisation des tâches, contrôle de l’activité, évaluation des performances ou aide à certaines décisions RH.
Leur déploiement ne relève pas uniquement de la direction des ressources humaines, de la DSI ou du fournisseur de la solution. Lorsqu’un dispositif affecte les salariés et traite leurs données, le comité social et économique (CSE) et le délégué à la protection des données (DPO) peuvent occuper une place déterminante dans son encadrement.
Leurs fonctions ne se confondent pas. Le CSE intervient dans le cadre du dialogue social et des prérogatives que lui reconnaît le code du travail. Le DPO informe et conseille l’organisation sur ses obligations en matière de protection des données, contrôle le respect du RGPD et intervient notamment dans le cadre des analyses d’impact lorsque les conditions du règlement sont réunies.
Associer ces acteurs suffisamment tôt permet de questionner le projet avant que les choix techniques, organisationnels et contractuels ne soient figés.
La question n’est pas seulement « avons-nous le droit d’utiliser cette technologie ? ». Elle est plus précise : pour quelle finalité voulons-nous l’utiliser, quelles données et quels critères mobilise-t-elle, quelle influence aura-t-elle sur les salariés, et quelles garanties devons-nous organiser avant son déploiement ?
Pourquoi un outil numérique RH n’est-il jamais seulement un sujet technique ?
Deux outils qui semblent proches peuvent présenter des enjeux juridiques très différents.
Un logiciel utilisé pour faciliter la planification collective des horaires n’a pas nécessairement les mêmes effets qu’un système qui attribue individuellement les tâches en fonction du comportement des salariés. Un logiciel permettant de sécuriser un accès informatique ne poursuit pas la même finalité qu’un dispositif destiné à mesurer en continu l’activité d’une personne.
De même, une IA qui prépare une synthèse à destination d’un recruteur n’occupe pas nécessairement la même place qu’un système qui classe automatiquement les candidats et conduit, en pratique, à éliminer certains profils.
La qualification juridique dépend donc du fonctionnement réel du dispositif et de son usage, et pas seulement de sa présentation commerciale.
Avant tout déploiement, l’organisation doit pouvoir identifier ce que l’outil fait, les données qu’il utilise, les personnes concernées et les décisions qu’il est susceptible d’influencer.
Commencer par la finalité : pourquoi voulez-vous utiliser cet outil ?
La finalité constitue l’un des premiers points de l’analyse.
L’organisation cherche-t-elle à sécuriser ses systèmes d’information ? Organiser le travail ? Faciliter le recrutement ? Évaluer des performances ? Contrôler l’exécution d’une prestation ? Détecter une fraude ? Affecter des tâches ? Anticiper des besoins de formation ?
La réponse permet notamment d’apprécier si les données collectées sont pertinentes, si le niveau de contrôle est proportionné et si les résultats produits par le système sont adaptés à l’usage envisagé.
Une difficulté apparaît lorsque la finalité évolue. Un outil initialement introduit pour organiser l’activité peut, par exemple, produire des données qui deviennent ensuite attractives pour évaluer individuellement les salariés ou soutenir une décision disciplinaire.
La disponibilité d’une donnée ne suffit pas à rendre licite sa réutilisation pour une nouvelle finalité.
La gouvernance du projet doit donc porter non seulement sur la collecte des données, mais aussi sur leurs usages ultérieurs.
Quel rôle le CSE joue-t-il avant le déploiement d’un outil numérique ?
L’introduction d’un outil numérique dans l’entreprise peut relever des prérogatives du comité social et économique avant sa mise en œuvre.
Dans le champ de l’article L. 2312-38 du code du travail, le CSE est informé préalablement à leur utilisation sur les méthodes ou techniques d’aide au recrutement et sur toute modification de celles-ci. Il est également informé, préalablement à leur introduction dans l’entreprise, sur les traitements automatisés de gestion du personnel et leurs modifications.
Le même article prévoit en outre que le CSE est informé et consulté préalablement à la décision de mise en œuvre des moyens ou techniques permettant un contrôle de l’activité des salariés.
Le rôle du CSE ne doit donc pas être réduit à la réception d’une présentation technique du nouvel outil.
Lorsqu’une consultation est requise, le dialogue doit permettre d’appréhender ce que la technologie change concrètement pour les salariés : données recueillies, intensité du contrôle, critères d’évaluation, rôle de l’algorithme, conséquences sur l’organisation et les conditions de travail.
Cette intervention peut être particulièrement importante lorsque l’outil attribue des tâches, mesure la performance, établit des scores ou influence une décision concernant un salarié.
Le bon réflexe consiste donc à identifier dès la conception du projet les prérogatives du CSE susceptibles d’être concernées, plutôt qu’à traiter le dialogue social comme une étape de régularisation lorsque le projet est déjà arrêté.
Pourquoi associer le DPO dès la conception du projet ?
Dès lors qu’un outil RH implique des traitements de données personnelles, le DPO peut jouer un rôle important dans la sécurisation du projet.
Sa mission n’est pas de décider à la place de l’employeur si l’outil doit être déployé.
L’article 39 du RGPD lui confie notamment des missions d’information et de conseil, de contrôle du respect du règlement, de conseil sur l’analyse d’impact relative à la protection des données lorsqu’il est sollicité, ainsi que de coopération avec l’autorité de contrôle.
Lorsqu’une analyse d’impact est réalisée, l’article 35 du RGPD prévoit que le responsable du traitement demande conseil au DPO si un DPO a été désigné.
Son intervention peut ainsi permettre de questionner très tôt la finalité du traitement, les catégories de données utilisées, leur nécessité, les durées de conservation, les destinataires, les droits des salariés, les risques associés au dispositif et les garanties envisagées.
Cette intervention est d’autant plus utile lorsqu’un système d’IA exploite des volumes importants de données professionnelles ou produit des évaluations susceptibles d’influencer une décision concernant une personne.
Le DPO doit toutefois pouvoir exercer ses missions dans les conditions prévues par le RGPD, notamment sans conflit d’intérêts et sans recevoir d’instruction quant à leur exercice.
Le DPO conseille et contrôle la conformité ; il n’endosse pas la responsabilité de la décision de déployer l’outil.
CSE et DPO : deux regards différents sur le même dispositif
Un même outil peut simultanément soulever des questions relatives au contrôle du travail, aux conditions de travail et au traitement des données personnelles.
Le CSE et le DPO ne remplissent pourtant pas la même fonction.
Le CSE intervient au titre des prérogatives que le code du travail lui reconnaît dans la représentation collective des salariés. Il peut notamment être concerné par l’introduction de traitements automatisés de gestion du personnel ou de dispositifs permettant le contrôle de l’activité.
Le DPO intervient dans le champ de la protection des données personnelles. Il informe et conseille l’organisation, contrôle le respect du RGPD et apporte son expertise sur les risques que les traitements font peser sur les droits et libertés des personnes.
Leurs analyses peuvent donc porter sur un même système sans se confondre.
Un dispositif de mesure de la performance peut, par exemple, soulever simultanément une question de proportionnalité du contrôle, une question d’information ou de consultation du CSE, une question de minimisation des données, une éventuelle analyse d’impact et, lorsqu’une IA intervient, une question de qualification au regard de l’AI Act.
La gouvernance du projet consiste précisément à faire dialoguer ces différentes exigences avant le déploiement.
Jusqu’où l’employeur peut-il contrôler l’activité des salariés ?
L’employeur dispose d’un pouvoir de direction et peut contrôler l’exécution du travail. Ce pouvoir n’est pas illimité.
L’article L. 1121-1 du code du travail prévoit que les restrictions apportées aux droits des personnes et aux libertés individuelles et collectives doivent être justifiées par la nature de la tâche à accomplir et proportionnées au but recherché.
Cette exigence concerne directement les technologies permettant de suivre l’activité : vidéosurveillance, géolocalisation, contrôle des connexions, enregistrement de certaines communications ou dispositifs mesurant différents indicateurs de travail.
Plus l’outil permet une surveillance fine, continue ou individualisée, plus l’organisation doit pouvoir expliquer pourquoi cette intensité de contrôle est nécessaire.
La question ne doit donc pas être « quelles données pouvons-nous techniquement collecter ? », mais « quelles données sont réellement nécessaires à la finalité que nous poursuivons ? »
Les salariés doivent-ils être informés ?
Oui, lorsque les conditions prévues par le droit du travail et le droit des données personnelles l’exigent.
L’article L. 1222-4 du code du travail prévoit qu’aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance.
Lorsque le dispositif traite des données personnelles, les obligations d’information du RGPD doivent également être examinées.
Une information juridiquement utile ne consiste pas simplement à annoncer que l’entreprise utilise désormais une intelligence artificielle.
Le salarié doit pouvoir comprendre, selon les règles applicables, la finalité du traitement, les données concernées, les principaux acteurs impliqués et les droits dont il dispose. Lorsque le système participe à une évaluation ou à une décision, son rôle doit également être correctement appréhendé.
La transparence doit porter sur l’usage réel de la technologie, pas uniquement sur son existence.
Une IA peut-elle être utilisée pour recruter ou évaluer des salariés ?
Oui, mais le recours à l’IA ne neutralise aucune des règles applicables au recrutement ou à l’évaluation.
Un système peut, par exemple, aider à analyser des candidatures, classer certains profils, produire des indicateurs ou assister une évaluation.
L’organisation doit alors s’interroger sur la pertinence des données et des critères utilisés ainsi que sur la place du résultat algorithmique dans la décision finale.
En matière d’évaluation professionnelle, l’article L. 1222-3 du code du travail impose une information expresse et préalable du salarié sur les méthodes et techniques d’évaluation mises en œuvre à son égard, exige leur pertinence au regard de la finalité poursuivie et rend les résultats confidentiels.
Un score n’est pas une mesure neutre par nature. Il résulte de données sélectionnées, d’indicateurs définis et d’une méthode de calcul ou d’un modèle.
Avant de l’utiliser pour apprécier une performance, attribuer une opportunité ou prendre une décision RH, l’organisation doit donc comprendre suffisamment son fonctionnement et ses limites.
Comment prévenir les discriminations algorithmiques ?
Un outil peut produire des effets discriminatoires sans qu’une personne ait explicitement programmé une règle discriminatoire.
Le risque peut provenir des données utilisées, des variables retenues, d’une corrélation indirecte avec un critère protégé ou de la manière dont les résultats du système sont utilisés dans la décision humaine.
Cette question est particulièrement sensible pour le recrutement, la promotion, l’évaluation, la rémunération, l’attribution des tâches ou la rupture d’une relation de travail.
La prévention doit donc intervenir avant la contestation. Il faut notamment s’interroger sur les critères qui influencent les résultats, les groupes susceptibles d’être affectés et les écarts observés dans le fonctionnement réel du système.
L’intervention humaine ne suffit pas nécessairement à éliminer le risque. Un manager peut, consciemment ou non, accorder une confiance excessive au résultat produit par le système.
Prévenir une discrimination algorithmique suppose donc d’examiner à la fois le système et la manière dont les personnes utilisent ses résultats.
Décision automatisée ou aide à la décision : pourquoi la distinction est-elle importante ?
Parce que les conséquences juridiques peuvent différer.
L’article 22 du RGPD encadre les décisions fondées exclusivement sur un traitement automatisé, y compris le profilage, lorsqu’elles produisent des effets juridiques concernant la personne ou l’affectent de manière significative de façon similaire.
Tout système d’aide à la décision ne relève pas automatiquement de ce régime.
Mais qualifier une décision de « décision humaine » simplement parce qu’un manager valide le résultat serait insuffisant si son intervention ne permet pas réellement de remettre en cause la recommandation algorithmique.
L’organisation doit donc examiner la substance de l’intervention humaine : la personne dispose-t-elle des informations nécessaires pour apprécier le résultat ? Peut-elle réellement s’en écarter ? Comprend-elle suffisamment les limites du système ? Dispose-t-elle du temps et de l’autorité nécessaires pour exercer son jugement ?
Cette analyse est importante pour le RGPD, mais aussi plus largement pour la gouvernance de la décision.
Que change l’AI Act pour les outils utilisés dans l’emploi ?
L’AI Act accorde une attention particulière à certains usages de l’intelligence artificielle dans le domaine de l’emploi.
Son annexe III vise notamment certains systèmes destinés au recrutement ou à la sélection de personnes, ainsi que certains systèmes utilisés pour prendre des décisions influant sur les conditions des relations professionnelles, la promotion ou le licenciement, pour attribuer des tâches sur la base du comportement individuel, de traits de personnalité ou de caractéristiques personnelles, ou pour suivre et évaluer les performances et le comportement des personnes dans ce cadre.
Ces systèmes sont susceptibles de relever du régime des systèmes d’IA à haut risque prévu par le règlement.
La qualification n’est toutefois pas automatique pour tout outil d’IA utilisé dans les ressources humaines. L’article 6 prévoit des conditions permettant, dans certaines situations, de considérer qu’un système visé à l’annexe III ne présente pas de risque important — sauf lorsqu’il effectue un profilage de personnes physiques, auquel cas il reste toujours à haut risque.
L’organisation doit donc qualifier l’usage réel du système plutôt que déduire son statut de la seule mention « IA RH ».
Les obligations propres aux systèmes à haut risque relevant de l’annexe III s’appliquent à partir du 2 décembre 2027. Cette temporalité n’autorise pas à différer l’analyse : les règles déjà applicables en matière de travail, de données personnelles et de non-discrimination continuent de produire leurs effets.
Analyse d’impact : quel rôle pour le DPO ?
Une analyse d’impact relative à la protection des données n’est pas requise automatiquement parce qu’un système utilise de l’intelligence artificielle.
L’article 35 du RGPD l’impose lorsqu’un type de traitement, notamment à l’aide de nouvelles technologies et compte tenu de sa nature, de sa portée, de son contexte et de ses finalités, est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques.
Le règlement vise notamment l’évaluation systématique et approfondie d’aspects personnels fondée sur un traitement automatisé, y compris le profilage, et sur la base de laquelle sont prises des décisions produisant des effets juridiques ou affectant significativement les personnes.
Lorsqu’une analyse d’impact est nécessaire, le responsable du traitement en reste responsable. Si un DPO a été désigné, son conseil doit être sollicité dans les conditions prévues par l’article 35.
Le DPO peut notamment contribuer à questionner la nécessité du traitement, les risques identifiés, les mesures envisagées et la cohérence de l’analyse.
L’analyse d’impact ne devrait donc pas être considérée uniquement comme un document de conformité à produire une fois les choix techniques arrêtés. Lorsqu’elle est requise, elle constitue aussi un outil permettant de modifier le projet avant son déploiement.
Comment encadrer le fournisseur de la solution ?
Externaliser la technologie ne signifie pas externaliser les questions juridiques.
Avant de retenir un outil, l’organisation doit savoir ce que son fournisseur est en mesure de documenter.
Selon le projet et la qualification juridique des acteurs, plusieurs sujets peuvent devoir être encadrés : données utilisées, finalités, sécurité, sous-traitants, transferts éventuels, conservation, documentation technique, performances et limites du système, modifications importantes, assistance, gestion des incidents ou conditions de sortie.
Pour une solution fondée sur l’IA, il faut également déterminer qui maîtrise quoi : qui choisit les données, qui définit la finalité, qui configure les critères, qui peut modifier le modèle ou le système, qui reçoit les signalements, qui peut expliquer un résultat contesté.
Cette cartographie des responsabilités est indispensable lorsqu’une décision affectant un salarié dépend d’une chaîne technique comprenant plusieurs acteurs.
Elle est également utile pour permettre au DPO d’exercer ses missions et, lorsque le code du travail le requiert, pour fournir au CSE une information suffisamment intelligible sur le dispositif.
Le contrat doit refléter la répartition réelle des rôles et ne pas simplement reprendre la terminologie commerciale du fournisseur.
Peut-on déployer un outil que l’entreprise ne comprend pas complètement ?
La complexité technique d’un système ne signifie pas que l’employeur doit maîtriser son code source.
Mais l’organisation doit disposer d’un niveau de compréhension compatible avec les décisions qu’elle entend prendre à partir de l’outil.
Plus le système influence une décision importante pour une personne, plus il devient difficile de justifier son utilisation lorsque personne dans l’organisation n’est capable d’expliquer ses finalités, les informations qu’il mobilise, ses principales limites et la manière dont son résultat doit être interprété.
Cette exigence relève à la fois de la conformité et de la gouvernance.
Une organisation ne devrait pas déléguer à un système une décision qu’elle n’est plus en mesure d’assumer juridiquement.
Comment documenter la décision de déployer l’outil ?
La documentation permet de conserver la trace du raisonnement suivi avant et pendant le déploiement.
Selon le projet, elle peut notamment couvrir la finalité poursuivie, la qualification du dispositif, les données utilisées, l’analyse de proportionnalité, les obligations RGPD, les démarches relatives au CSE, l’analyse AI Act, les risques de discrimination, le rôle de l’intervention humaine, les tests réalisés et les mesures prises en cas d’incident.
Elle doit également permettre de retracer quand le CSE a été informé ou consulté lorsque cela était requis, quelles informations lui ont été transmises, et comment le DPO a été associé aux questions relevant de la protection des données.
L’objectif n’est pas de créer un dossier documentaire déconnecté du fonctionnement réel. Il doit permettre de répondre à une question simple : pourquoi l’organisation a-t-elle considéré que cet outil pouvait être utilisé de cette manière et avec ces garanties ?
Que faire lorsqu’un salarié conteste une décision algorithmique ?
La contestation ne doit pas être traitée uniquement comme une difficulté RH.
Elle peut révéler un problème de données, de paramétrage, de proportionnalité, d’information, de discrimination ou de gouvernance de la décision.
L’organisation doit pouvoir reconstituer le processus : quelles données ont été utilisées, quel résultat le système a produit, quel rôle ce résultat a joué, quelle personne a pris la décision, si elle pouvait s’écarter de la recommandation et quels autres éléments ont été pris en compte.
Le DPO peut être concerné lorsque la contestation porte sur le traitement de données personnelles ou l’exercice de droits issus du RGPD. Les représentants du personnel peuvent, selon la situation et leurs prérogatives, être concernés par les conséquences collectives du dispositif sur les salariés.
Lorsqu’un même mécanisme affecte plusieurs salariés, l’organisation doit se demander si elle est confrontée à une situation individuelle ou à un défaut plus systémique dans la conception ou l’utilisation du dispositif.
L’essentiel à retenir
Déployer une intelligence artificielle ou un outil numérique dans la relation de travail ne consiste pas à juxtaposer une analyse RGPD, une analyse de droit du travail et une analyse AI Act.
Le point de départ doit être le fonctionnement réel du système. Que fait-il ? Quelles données utilise-t-il ? Quels salariés affecte-t-il ? Quelle décision influence-t-il ? Quel pouvoir conserve réellement l’être humain ?
Le CSE et le DPO peuvent apporter deux regards différents sur ce même projet.
Le CSE intervient dans le cadre du dialogue social et des prérogatives prévues par le code du travail. Le DPO informe, conseille et contrôle dans le champ de la protection des données. Aucun des deux ne doit être réduit à un simple valideur final du projet. Un projet numérique au travail ne devrait pas arriver devant le CSE lorsque tout est déjà décidé, ni devant le DPO lorsque tout est déjà paramétré.
Check-list avant de déployer une IA ou un outil numérique au travail
- Finalité — pourquoi voulons-nous utiliser cet outil ?
- Impact sur les salariés — que change-t-il dans le travail, le contrôle, l’évaluation ou la décision ?
- CSE — quelles obligations d’information ou de consultation doivent être identifiées avant le déploiement ?
- DPO — a-t-il été associé suffisamment tôt aux traitements de données et aux risques correspondants ?
- Analyse d’impact — le traitement est-il susceptible d’engendrer un risque élevé pour les droits et libertés ?
- Proportionnalité — le niveau de collecte et de contrôle est-il nécessaire à la finalité poursuivie ?
- Décision humaine — qui peut réellement remettre en cause le résultat de l’outil ?
- Discrimination — les données, critères et résultats ont-ils été examinés sous cet angle ?
- AI Act — quelle est la qualification du système et quelles obligations sont applicables à la date considérée ?
- Fournisseur et traçabilité — l’organisation dispose-t-elle des informations nécessaires pour gouverner le dispositif, répondre au DPO et alimenter utilement le dialogue avec le CSE ?
Pour aller plus loin
Le mini-guide destiné aux salariés traite du même dispositif vu de l’autre côté : IA, algorithmes et surveillance au travail : quels droits pour les salariés ?
La ressource de la Médiathèque consacrée à la responsabilité numérique expose la répartition des obligations entre concepteur, fournisseur et déployeur. Deux pages d’expertise prolongent ce guide : Encadrement juridique de l’intelligence artificielle et Gouvernance et protection des données.
Votre organisation envisage de déployer une IA ou un outil numérique dans la relation de travail ?
Un projet de recrutement algorithmique, d’évaluation, de contrôle de l’activité ou d’aide à la décision RH doit être analysé avant que les choix techniques et contractuels ne deviennent difficiles à modifier.
Fatima Ghilassene, avocate en droit du numérique à Lille, accompagne les organisations dans l’encadrement juridique de leurs projets numériques et d’intelligence artificielle afin d’intégrer les exigences de conformité et de responsabilité dès leur conception.
Repères juridiques
Code du travail : article L. 1121-1 sur la justification et la proportionnalité des restrictions aux droits et libertés, article L. 1222-3 sur l’information préalable et la pertinence des méthodes d’évaluation, article L. 1222-4 sur les dispositifs de collecte d’informations, article L. 2312-38 sur l’information et la consultation du CSE.
Règlement (UE) 2016/679, dit RGPD : article 22 sur les décisions automatisées, article 35 sur l’analyse d’impact et le conseil du DPO, articles 38 et 39 sur la fonction et les missions du délégué à la protection des données.
Règlement (UE) 2024/1689, dit AI Act : article 6 sur la classification des systèmes à haut risque, annexe III point 4 sur l’emploi et la gestion de la main-d’œuvre, article 113 pour le calendrier d’application.
Règles applicables en matière de non-discrimination dans l’emploi. Doctrine et recommandations de la CNIL relatives aux traitements de données et aux dispositifs de contrôle dans le cadre professionnel.