Avant de déployer l’IA en entreprise, quatre précautions juridiques s’imposent : contrôler les données personnelles envoyées dans l’outil au regard du RGPD, tenir les informations confidentielles hors des requêtes, clarifier les droits sur les contenus produits et fixer des règles d’usage écrites. Un règlement européen propre à l’intelligence artificielle s’ajoute à ces textes, sans les remplacer.
Données saisies dans un outil d’IA : le RGPD s’applique dès la requête
Un salarié qui colle dans un agent conversationnel le compte rendu d’un entretien annuel, la liste des clients en retard de paiement ou le CV d’un candidat réalise un traitement de données personnelles. L’outil est externe, l’information quitte l’entreprise, et l’employeur reste comptable de ce qu’elle devient. Le geste paraît anodin. Il ne l’est pas.
La CNIL rappelle, dans ses fiches consacrées à l’intelligence artificielle, qu’un traitement doit poursuivre une finalité bien définie, reposer sur l’une des bases légales prévues par le RGPD et se limiter aux données adéquates, pertinentes et nécessaires. Elle insiste aussi sur l’information des personnes, qui doit rester concise, transparente et compréhensible, et sur l’exercice de leurs droits d’accès, de rectification, d’effacement et d’opposition.
Trois questions à trancher avant la première requête
- Quelles catégories de données les équipes risquent-elles de saisir : clients, salariés, candidats, fournisseurs ?
- Le fournisseur de l’outil conserve-t-il les requêtes, et les réutilise-t-il pour entraîner ses modèles ?
- Le registre des traitements et les mentions d’information couvrent-ils déjà cet usage ?
La dernière question rejoint l’inventaire mené lors d’un audit de conformité RGPD : le recours à un outil d’IA générative s’y inscrit comme tout autre traitement, avec ses flux, ses destinataires et sa durée de conservation. Pseudonymiser ou anonymiser les extraits avant la saisie reste le réflexe le plus simple à diffuser.
Secret des affaires : une information livrée sans précaution se défend mal
Le code de commerce, à son article L. 151-1 consulté sur Légifrance, protège au titre du secret des affaires toute information qui n’est pas généralement connue ou aisément accessible, qui tire une valeur commerciale de son caractère secret et qui fait l’objet, de la part de son détenteur légitime, de mesures de protection raisonnables. Le troisième critère pèse lourd. Une société qui laisse ses équipes verser des conditions commerciales négociées, un plan de lancement ou du code source dans un service en ligne, sans aucune règle, peinera à démontrer qu’elle protégeait raisonnablement ces éléments.
Les informations confidentielles dépassent largement le fichier clients : marges, conditions fournisseurs, réponses à un appel d’offres, procédés de fabrication, notes stratégiques du dirigeant. Une classification courte, connue de tous, indique ce qui ne quitte jamais le système d’information interne.
Les mesures techniques complètent les règles écrites : comptes professionnels administrés par l’entreprise, conservation des historiques paramétrée, accès restreints. Elles prolongent les obligations légales de cybersécurité déjà applicables. Dans les contrats de travail, une clause de confidentialité soigneusement rédigée renforce cette protection, sans se confondre avec la clause de non-concurrence, soumise à un régime distinct.
Charte d’usage de l’IA : poser les règles avant les habitudes
Sans texte interne, chaque service invente ses pratiques. Le commercial reformule ses offres, la comptabilité résume des contrats, les ressources humaines trient des candidatures. Une charte d’usage remet de la cohérence dans ces gestes et matérialise les mesures de protection que le droit attend.
Écrire une charte qui tienne oblige pourtant à faire cohabiter, dans un seul document, des exigences qui ne parlent pas la même langue : les principes du RGPD, la protection du secret des affaires, les formalités du règlement intérieur et le sort des droits sur les contenus produits. Une avocate en droit du numérique, dont les domaines couvrent l’intelligence artificielle, aide l’entreprise à rédiger ce texte, à relire une version préparée en interne ou à faire le point sur un usage déjà installé dans les équipes. Diplômée d’un Master II en propriété intellectuelle et NTIC, elle accompagne les entreprises en droit du numérique, et ses domaines d’intervention comme ses ressources se consultent sur ce site, point de départ utile pour le dirigeant qui prépare sa charte.
Une charte efficace tient en quelques pages et réunit au moins les rubriques suivantes :
- les outils autorisés, avec le type de compte à utiliser, professionnel et géré par l’entreprise ;
- les données interdites à la saisie : données personnelles non anonymisées, informations classées confidentielles, identifiants et mots de passe ;
- la relecture humaine de tout contenu produit avant diffusion, signature ou envoi à un client ;
- la mention de l’usage de l’IA lorsqu’un document, un visuel ou une réponse en est issu ;
- le référent interne à solliciter en cas de doute ou d’incident ;
- la révision régulière du texte, au rythme des outils adoptés et des évolutions du droit.
Reste la question de sa force contraignante. Une simple note d’information sensibilise ; une charte qui impose des obligations et prévoit des sanctions suit en principe la procédure applicable au règlement intérieur pour devenir opposable aux salariés. Les canaux de remontée existants, à l’image de la procédure interne de signalement, servent de modèle pour organiser la déclaration d’un incident lié à l’IA.
Droits sur les contenus produits : une propriété qui ne se présume pas
Le droit d’auteur protège les œuvres de l’esprit originales, ce qui suppose l’empreinte d’une personne. Un texte, une image ou un slogan obtenu pour l’essentiel par une machine, à partir d’une consigne brève, se situe dans une zone incertaine : sa protection reste discutée et ne va pas de soi. Conséquence pratique, un concurrent qui reprend ces contenus produits ne se heurte pas forcément à un droit exclusif.
Le risque inverse existe aussi. Un résultat généré reproduit parfois en partie une œuvre existante, une photographie, une identité graphique ou une marque. L’entreprise qui le publie engage sa responsabilité et ne peut pas se retrancher derrière l’outil. Les conditions d’utilisation du fournisseur méritent une lecture attentive, car elles règlent la titularité des résultats, les engagements du fournisseur et, souvent, leurs limites.
Les précautions qui réduisent l’exposition
- Conserver une trace de l’intervention humaine : consignes, versions successives, retouches.
- Vérifier qu’un visuel ou un nom ne rappelle pas une création ou une marque déjà connue.
- Confier les éléments d’identité forte, logo ou nom de produit, à un travail de création humain.
- Prévoir dans les contrats avec les prestataires une clause sur le recours à l’IA et sur la cession des droits.
Salariés et dirigeant : informer, former, garder la main
Interdire tout usage ne règle rien. Les salariés privés d’outil officiel se rabattent volontiers sur des comptes personnels, hors de tout cadre, et l’entreprise perd la visibilité sur ce qui sort de ses murs. Mieux encadré, l’usage devient au contraire un sujet de pilotage.
Trois chantiers concernent directement le dirigeant :
- Informer les équipes de la charte et la rendre accessible, au même titre que les autres règles internes.
- Former les utilisateurs aux limites des outils : erreurs plausibles, sources inventées, réponses datées.
- Préparer le dialogue avec les représentants du personnel, lorsqu’ils existent, dès que l’outil modifie l’organisation du travail.
Une vigilance particulière vise les usages qui touchent des personnes : tri de candidatures, évaluation de la performance, attribution de primes. Une décision qui affecte un salarié ou un candidat garde un contrôle humain réel, documenté, capable de corriger la proposition de la machine. La traçabilité de ce contrôle protège autant l’entreprise que la personne concernée.
Règlement européen sur l’IA : un cadre supplémentaire, appliqué par étapes
L’Union européenne a adopté un règlement européen consacré à l’intelligence artificielle. Il classe les systèmes selon le risque qu’ils présentent et ses obligations entrent en application de manière progressive. La CNIL, dans ses questions-réponses sur ce texte, souligne qu’il ne remplace pas les exigences du RGPD : les deux corpus se cumulent, et la conformité aux principes de protection des données reste due pour chaque usage.
Le texte vise notamment les fournisseurs et les déployeurs de systèmes d’IA. Une entreprise qui utilise un outil dans son activité professionnelle relève en général de la seconde catégorie. La même autorité indique que la très grande majorité des systèmes se situent au niveau de risque minimal. Les usages liés au recrutement ou à la gestion des salariés appellent en revanche un examen plus attentif, au cas par cas.
Pour l’entreprise utilisatrice, la conséquence immédiate reste modeste mais réelle : savoir quels systèmes elle emploie, à quelles fins, et sous quelles conditions. L’inventaire préparé pour la charte sert directement à cette qualification.
Premiers réflexes juridiques : la grille du dirigeant
Le tableau ci-dessous associe chaque risque courant de l’intelligence artificielle en entreprise à un réflexe immédiat.
| Risque | Réflexe immédiat |
|---|---|
| Données personnelles saisies dans une requête | Anonymiser les extraits, imposer un compte professionnel, compléter le registre des traitements |
| Informations confidentielles exposées | Classer les informations, interdire leur saisie, régler la conservation des historiques |
| Contenus produits aux droits incertains | Relire, tracer l’intervention humaine, lire les conditions du fournisseur |
| Usages dispersés et non encadrés | Adopter une charte, nommer un référent, former les équipes |
| Décisions qui touchent une personne | Maintenir un contrôle humain réel et documenté |
Prochaine étape : recenser les outils déjà utilisés dans chaque service, puis rédiger la première version de la charte à partir de cet inventaire, avant d’en valider l’opposabilité.
Questions des dirigeants sur l’IA au travail
Une entreprise a-t-elle l’obligation d’adopter une charte d’usage de l’IA ?
Aucun texte n’impose en tant que tel un document portant ce nom. La charte répond pourtant à des exigences bien réelles : le secret des affaires suppose des mesures de protection raisonnables, le RGPD exige de maîtriser les traitements de données personnelles, et l’employeur doit pouvoir démontrer qu’il a encadré les pratiques de ses équipes. Un texte écrit, diffusé et révisé constitue la preuve la plus simple de cet encadrement, surtout lorsque plusieurs services utilisent déjà des outils différents.
Est-il possible de saisir des données clients dans un outil d’IA générative ?
La saisie reste un traitement de données personnelles, soumis au RGPD. Elle suppose une finalité définie, une base légale, des données limitées au nécessaire et une information des clients concernés. Reste à vérifier ce que le fournisseur fait des requêtes, en particulier leur conservation et leur réutilisation pour l’entraînement. En pratique, l’anonymisation des extraits avant saisie et le recours à un compte professionnel paramétré par l’entreprise réduisent nettement l’exposition, sans dispenser de mettre à jour le registre.
Un contenu généré par une IA bénéficie-t-il de la protection du droit d’auteur ?
Le droit d’auteur protège les créations originales qui portent l’empreinte d’une personne. Lorsqu’un texte ou une image résulte pour l’essentiel d’une machine, à partir d’une simple consigne, cette protection devient incertaine et ne se présume pas. Plus l’intervention humaine est importante et documentée, plus la revendication de droits se défend. Pour un logo, un nom de produit ou une identité visuelle, l’entreprise a intérêt à privilégier une création humaine et à sécuriser la cession des droits par contrat.