Peut-on consulter les prompts IA des salariés ? RGPD, CSE et Code du travail
En bref
Un employeur ne peut surveiller l’usage de l’IA que si c’est nécessaire et proportionné, et les salariés doivent en être informés au préalable. Lire régulièrement les prompts individuels est rarement proportionné. Une vision agrégée, avec un accès individuel seulement en cas d’incident concret, l’est souvent. Tout dispositif permettant de contrôler l’activité des salariés exige l’information et la consultation préalables du CSE.
Pourquoi les organisations veulent savoir
Il existe de bonnes raisons de vouloir observer l’usage de l’IA : vérifier que des données sensibles ne finissent pas dans des prompts, enquêter sur un incident, ou comprendre quelles tâches les salariés confient à l’IA pour mieux les accompagner. Mais les prompts sont personnels. Ils révèlent ce sur quoi quelqu’un bute, ce qu’il ignore et comment il réfléchit.
La question n’est donc pas de savoir si vous pouvez avoir une visibilité, mais laquelle, pour quoi, et avec quelles garanties.
Ce que disent les règles
| Règle | Ce que cela implique pour la visibilité sur l’usage de l’IA |
|---|---|
| RGPD : base légale, finalité, proportionnalité | La finalité doit être fixée à l’avance, et vous choisissez le moyen le moins intrusif. Une lecture systématique « pour contrôler » est rarement proportionnée. |
| Code du travail, art. L.1222-4 | Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. |
| Code du travail, art. L.2312-38 | Le CSE est informé et consulté, préalablement à leur mise en œuvre, sur les moyens ou techniques permettant un contrôle de l’activité des salariés. |
| AIPD | La surveillance systématique de l’activité des salariés figure parmi les traitements pour lesquels la CNIL exige une analyse d’impact. |
| Règlement européen sur l’IA | La reconnaissance des émotions sur le lieu de travail est interdite. Analyser des prompts pour en déduire l’humeur ou l’état d’esprit d’une personne y ressemble vite. |
Attention : cela s’applique même sans intention. Un service d’IA qui conserve tous les prompts par utilisateur et les rend consultables par les administrateurs permet de contrôler l’activité, et relève donc déjà de ces règles.
Un dispositif équilibré : trois niveaux de visibilité
- Anonyme, par défaut. L’organisation voit des tendances agrégées : types de questions, modèles utilisés, fréquence des données bloquées. Assez pour piloter et améliorer, sans suivre les individus.
- Par service, lorsqu’il y a une raison. La même vision par équipe, pour la capacité et pour cibler la formation. Avec des groupes assez grands pour qu’aucun individu ne soit identifiable.
- Par utilisateur, seulement en cas d’incident. Consulter des prompts individuels uniquement sur soupçon concret, après accord de deux administrateurs et avec trace dans un journal d’audit. Jamais pour un contrôle quotidien.
Formalisez le niveau retenu, faites-le valider par le DPO et soumettez-le au CSE. Voir aussi Rédiger une charte IA et L’AIPD pour l’IA générative.
Comment cela fonctionne dans werqly AI Control
Dans werqly AI Control, ce choix est précisément un réglage : anonyme (par défaut), par service, ou par utilisateur avec l’accord de deux administrateurs. Chaque changement de niveau est lui-même tracé dans le journal d’audit, visible par le DPO et présentable au CSE.
Comme les modèles tournent sur votre propre nœud dans votre salle serveur, les prompts ne sont nulle part ailleurs. Aucun fournisseur d’IA externe ne les conserve selon ses propres conditions, et vous fixez la durée de conservation des journaux. Vous disposez ainsi de la visibilité nécessaire à la sécurité, sans dispositif qui surveille les salariés à leur insu. Pour comprendre pourquoi un environnement validé est le meilleur point de départ : Shadow AI.
Questions fréquentes
Questions sur ce sujet
Un employeur peut-il lire les conversations ChatGPT de ses salariés ?
Seulement avec une finalité claire, si c’est nécessaire et proportionné, et si les salariés en sont informés au préalable. Une lecture systématique est rarement proportionnée. Avec un compte entreprise, un administrateur peut souvent voir les conversations ; précisez à l’avance si et quand cela arrive.
Le CSE doit-il être consulté pour un outil d’IA ?
Si l’outil permet de contrôler l’activité des salariés, oui : information et consultation préalables du CSE (article L.2312-38 du Code du travail), dans les entreprises d’au moins cinquante salariés. Un service d’IA qui enregistre les prompts par utilisateur entre vite dans ce cas.
Faut-il une AIPD si l’on journalise l’usage de l’IA par les salariés ?
En cas de surveillance systématique de l’activité des salariés, oui : c’est l’un des traitements pour lesquels la CNIL exige une AIPD. Même en dehors de ce cas, la journalisation des prompts est un traitement à risques qui mérite une analyse d’impact.
Combien de temps conserver les journaux d’IA ?
Pas plus longtemps que nécessaire à la finalité. Pour les enquêtes de sécurité, quelques mois sont courants ; des statistiques agrégées peuvent être conservées plus longtemps. Fixez la durée dans la charte et assurez-vous que l’environnement l’applique techniquement.
Sources
- CNIL — Le contrôle de l’activité des personnes employées
- CNIL — L’analyse d’impact relative à la protection des données (AIPD)
- Règlement sur l’IA — règlement (UE) 2024/1689, article 5
Cet article est une information générale, pas un conseil juridique. Les règles et les recommandations évoluent ; en cas de doute, consultez les sources citées ou votre juriste ou DPO.