Résumer une réunion, corriger un courriel, traduire un document, préparer un tableau ou générer du code : l’intelligence artificielle générative s’est installée dans de nombreux gestes professionnels. Une question revient alors rapidement : l’employeur peut-il interdire ChatGPT ou un outil équivalent, même lorsqu’un salarié estime gagner du temps grâce à lui ?
La réponse dépend moins du nom du service que de trois éléments : les données envoyées à l’outil, la nature de la tâche et les règles fixées dans l’entreprise. L’employeur peut encadrer les outils utilisés pour travailler et protéger ses données, mais les restrictions imposées aux salariés doivent rester justifiées et proportionnées.
L’entreprise peut définir les usages autorisés et interdits
La CNIL recommande aux organismes qui déploient ou autorisent des systèmes d’IA générative de familiariser les utilisateurs avec leur fonctionnement, leurs limites et les usages permis ou interdits. Elle rappelle aussi que l’organisme utilisateur peut engager sa responsabilité en cas de mauvaise utilisation de l’outil par son personnel.
Une entreprise peut donc décider, par exemple :
- d’autoriser un service d’IA validé par le service informatique ;
- d’interdire les comptes grand public pour certaines tâches ;
- de réserver l’IA à des documents dépourvus de données personnelles ;
- d’interdire l’envoi de secrets d’affaires, données clients ou documents couverts par une obligation de confidentialité ;
- d’exiger une vérification humaine avant l’utilisation professionnelle d’un résultat généré.
Cette politique est souvent plus utile qu’une interdiction vague portant sur « toute intelligence artificielle », car elle permet aux salariés de savoir précisément ce qui peut ou non être confié à un service externe.
Une interdiction doit rester proportionnée
L’article L. 1121-1 du Code du travail pose une règle générale : les restrictions aux droits et libertés doivent être justifiées par la nature de la tâche et proportionnées au but recherché.
Pour l’usage professionnel d’un outil externe, la protection des données, la cybersécurité, les obligations de confidentialité ou la fiabilité des productions peuvent justifier des limitations fortes. Une entreprise manipulant des dossiers médicaux, des secrets industriels ou des informations couvertes par un secret professionnel n’est pas placée dans la même situation qu’un salarié utilisant une IA pour reformuler un texte public.
Il est donc pertinent de distinguer l’interdiction d’utiliser un service précis pour le travail d’une prétention à contrôler, de manière générale, les usages personnels d’un salarié hors de son activité professionnelle.
Le principal risque : ce que le salarié met dans le prompt
La CNIL insiste sur les données fournies en entrée d’un système d’IA générative. Pour un service grand public, elle recommande de ne jamais transmettre des informations confidentielles, notamment des données personnelles, des données de l’entreprise ou de l’administration, et plus largement des informations couvertes par un secret ou une obligation déontologique.
Un salarié peut ainsi commettre une erreur sans publier aucun document : il suffit de copier dans une invite un contrat, un fichier clients, une évaluation RH ou un extrait de dossier contenant des données sensibles.
Le risque n’est pas seulement que la réponse de l’IA soit fausse. Il tient aussi aux conditions dans lesquelles le fournisseur traite, conserve ou réutilise les données envoyées. La CNIL conseille d’ailleurs, lorsqu’un usage implique des données personnelles ou des informations stratégiques, de privilégier des modes de déploiement offrant davantage de maîtrise sur les données.
L’employeur doit aussi organiser la compétence des utilisateurs
L’AI Act contient une obligation d’« alphabétisation en matière d’IA » applicable depuis le 2 février 2025. Les fournisseurs et organismes qui déploient des systèmes d’IA doivent prendre des mesures pour assurer, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA par les personnes qui utilisent ces systèmes pour leur compte.
Dans une entreprise, cela ne signifie pas que chaque salarié doit devenir ingénieur en intelligence artificielle. En revanche, un usage professionnel organisé suppose de comprendre au minimum les limites du système : hallucinations, confidentialité, qualité des données saisies, nécessité de vérifier les résultats et règles internes applicables.
Une politique qui autorise l’IA tout en laissant les salariés sans aucune consigne peut donc être plus risquée qu’un cadre clair prévoyant formation, outils approuvés et contrôle humain.
Une réponse générée ne dispense pas le salarié de vérifier son travail
Une IA générative produit un résultat à partir de modèles statistiques. Elle peut présenter avec assurance une information juridique inexistante, une référence inventée, un calcul faux ou une synthèse qui omet une réserve importante.
Lorsque le salarié utilise l’outil comme assistant, il reste nécessaire de vérifier le résultat avant de l’intégrer dans un document professionnel. La question devient particulièrement sensible lorsque la production touche à la sécurité, à la finance, au droit, à la santé, au code informatique ou à une décision concernant une personne.
Le fait que l’outil ait « proposé » une information n’efface pas les obligations attachées au poste. L’organisation devrait donc préciser les tâches pour lesquelles une validation humaine est obligatoire.
L’employeur peut-il surveiller l’usage de ChatGPT ?
Comme pour les autres outils numériques, le contrôle doit respecter les règles d’information et de proportionnalité. La CNIL rappelle que le droit au respect de la vie privée se poursuit au travail et qu’un dispositif de contrôle doit répondre à une finalité déterminée.
Si l’entreprise journalise les sites consultés, les connexions à un service d’IA ou les requêtes effectuées via un outil interne, les salariés doivent être informés des traitements qui concernent leur activité. Un contrôle permanent et détaillé de toutes les interactions soulève des questions différentes d’un simple blocage technique d’un site non autorisé.
Les enjeux rejoignent ceux déjà rencontrés pour les messages Teams ou Slack : l’existence d’un outil professionnel n’autorise pas une surveillance sans limite.
Peut-on être sanctionné pour avoir utilisé une IA interdite ?
Une sanction est envisageable si une règle professionnelle licite et suffisamment claire a été méconnue, surtout lorsque l’usage expose des données confidentielles ou crée un risque réel pour l’entreprise. Mais l’analyse dépend du contexte : règle effectivement portée à la connaissance du salarié, nature des informations transmises, conséquences de l’usage et proportion de la sanction.
Il faut distinguer plusieurs situations. Utiliser un service interdit malgré une consigne explicite n’est pas la même chose que découvrir, après plusieurs mois d’usage toléré, une règle qui n’avait jamais été communiquée. De même, transmettre un fichier confidentiel ne se confond pas avec demander la reformulation d’une phrase générique.
Si un reproche disciplinaire apparaît, conservez la charte informatique, les consignes internes, les courriels d’information et les éléments techniques invoqués. Une capture d’écran peut être utile pour documenter la version d’une consigne ou le fonctionnement d’un outil au moment des faits.
L’AI Act impose-t-il déjà toutes ses règles aux employeurs en 2026 ?
Non. Depuis le 2 août 2026, plusieurs dispositions de l’AI Act sont applicables, notamment certaines obligations de transparence. Les interdictions principales et l’obligation de maîtrise de l’IA étaient déjà entrées en application auparavant.
En revanche, les obligations spécifiques applicables aux systèmes d’IA à haut risque de l’annexe III — notamment certains systèmes d’emploi ou de gestion des travailleurs — ont été reportées au 2 décembre 2027 par la réforme européenne de 2026. Le recrutement automatisé constitue un autre usage de l’IA au travail, avec des règles propres d’information du candidat et de décision automatisée.
Il faut donc éviter deux excès : considérer que l’AI Act ne s’applique pas encore du tout, ou affirmer que toutes les obligations du régime « haut risque » sont déjà en vigueur en août 2026.
Une politique d’usage utile tient en quelques questions
- Quels services d’IA sont autorisés ?
- Avec quel type de compte doivent-ils être utilisés ?
- Quelles données ne doivent jamais être saisies ?
- Quelles tâches exigent une vérification humaine ?
- Les productions générées doivent-elles être conservées ou tracées ?
- Comment signaler une erreur, une fuite de données ou un résultat dangereux ?
- Quelle formation est donnée aux salariés utilisant ces outils ?
Ces règles permettent d’éviter qu’un débat abstrait sur « ChatGPT autorisé ou interdit » masque la véritable question : quel usage est compatible avec le travail confié, les données manipulées et les obligations de l’entreprise ?
En pratique
L’employeur peut encadrer fortement l’usage professionnel de ChatGPT et des autres IA génératives, voire interdire certains services ou certaines catégories d’usage lorsque les risques le justifient. La CNIL recommande précisément de définir les usages autorisés et interdits et de ne pas envoyer d’informations confidentielles vers un service grand public. Une politique efficace ne repose toutefois pas uniquement sur l’interdiction : elle précise les outils autorisés, forme les utilisateurs et impose une vérification humaine adaptée à la tâche.