Accueil › Blog › Tes droits sur tes données
Tes droits sur tes données quand ton entreprise déploie une IA
Ton employeur installe une IA, et d'un coup elle lit tes mails, note tes tickets, ou prépare des décisions qui te concernent. Ce que presque personne ne te dit, c'est que cette situation ne te laisse pas sans droits. Tu en as, ils sont précis, et ils viennent d'un texte que ton employeur ne peut pas ignorer : le RGPD.
Le RGPD te donne des droits concrets face à tout traitement de tes données, y compris par une IA : accès (article 15), rectification (article 16), effacement (article 17), opposition (article 21), et le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé (article 22). Tu les exerces auprès de ton employeur, qui doit répondre en principe dans un délai d'un mois. L'IA ne crée aucun droit nouveau de te surveiller davantage : elle rend juste ces droits plus nécessaires.
Quelles données ton employeur peut-il traiter avec une IA ?
La première chose à comprendre, c'est que l'IA ne change pas la règle de base. Ton employeur n'a pas plus de droits sur toi parce qu'il branche un outil plus intelligent. Il reste tenu au même principe : il ne peut traiter que des données adéquates, pertinentes et limitées à ce qui est nécessaire à la finalité qu'il poursuit. La CNIL le rappelle noir sur blanc dans sa page dédiée au travail et aux données personnelles : un salarié peut demander à son employeur la communication des données qu'il détient sur lui, et l'employeur est responsable de ce qu'il collecte, même quand ce sont ses outils qui le font.
Concrètement, ça veut dire quoi ? Que si ton entreprise déploie un assistant qui analyse tes messages ou un outil qui évalue ta performance, elle doit être capable de te dire quelles données sont traitées, pour quoi faire, et sur quelle base légale. Ce n'est pas de la politesse, c'est l'article 13 et l'article 14 du RGPD. Et si la réponse est « on ne sait pas trop, c'est l'outil », c'est l'entreprise qui est en défaut, pas toi.
Quels droits concrets peux-tu exercer ?
Le RGPD t'ouvre cinq droits qui s'appliquent tels quels aux outils d'IA. Ils sont numérotés dans le texte, et c'est utile de connaître les numéros, parce qu'ils font gagner du temps dans une discussion.
Le droit d'accès (article 15) te permet de demander une copie des données te concernant. La CNIL a actualisé sa fiche sur ce point précis le 31 janvier 2025, pour les salariés et leurs courriels professionnels : tu peux demander ce qui est traité, pourquoi, et à qui c'est transmis. Le droit de rectification (article 16) corrige les données inexactes — utile quand une IA te classe dans une catégorie qui ne correspond pas à ta réalité. Le droit à l'effacement (article 17) vise la suppression de données dont le traitement n'a plus de raison d'être. Le droit d'opposition (article 21) te permet de t'opposer à un traitement fondé sur l'intérêt légitime de l'entreprise, en invoquant des raisons liées à ta situation particulière.
Ces droits ne sont pas théoriques. Ils ont une conséquence très pratique : l'entreprise doit répondre en principe dans un délai d'un mois. Ce délai peut être prolongé de deux mois pour les demandes complexes, mais il faut alors t'en informer dans le premier mois. Une absence de réponse n'est pas une décision, c'est un manquement.
Peux-tu refuser une décision prise par une IA ?
C'est l'article 22 du RGPD, et c'est le plus mal connu alors qu'il est le plus directement protecteur. Il te donne le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé qui produit des effets juridiques à ton égard ou qui t'affecte de manière significative de façon similaire.
Le mot clé, c'est « exclusivement ». Si une IA prépare un score, une note ou un classement, mais qu'un humain garde la main et prend réellement la décision finale, on n'est pas dans l'article 22. En revanche, si le licenciement, la sanction ou le refus de promotion repose uniquement sur ce que la machine a produit, sans intervention humaine réelle, tu peux exiger qu'une personne intervienne, exprimer ton point de vue, et contester la décision.
La CNIL a publié ses recommandations sur l'IA et le RGPD à partir de juillet 2025, et elle insiste sur un point que peu de salariés mesurent : l'obligation d'informer sur la logique sous-jacente du traitement automatisé. Autrement dit, tu as le droit de comprendre comment la machine raisonne à ton sujet, pas seulement de subir son verdict.
Comment exercer ces droits sans te mettre en danger ?
La crainte, on la connaît : demander ses données ou contester une décision, ça peut être perçu comme un acte d'hostilité. En réalité, un droit exercé proprement est une demande factuelle, pas une déclaration de guerre. Quelques réflexes changent tout.
D'abord, va voir le délégué à la protection des données (le DPO) de ton entreprise s'il en existe un. C'est son métier de traiter ce type de demande, et il est indépendant de ta hiérarchie. Ensuite, écris : une demande écrite est datable, traçable, et elle déclenche le délai d'un mois. Cible précisément ce que tu veux — une donnée, une catégorie de données, une décision — plutôt que de demander « tout ce que vous avez sur moi ». Une demande floue est la façon la plus rapide de recevoir une réponse évasive.
Enfin, sache où tu mets les pieds. Si l'entreprise ne répond pas dans le délai, ou répond à côté, tu peux saisir la CNIL. C'est un recours, pas une menace à brandir au premier mail : la plupart des blocages viennent de l'ignorance des règles par des gens de bonne volonté, pas d'une volonté de nuire.
Savoir où tu en es, avant d'avoir besoin de te défendre
12 questions, 10 minutes, un score sur 100 et le détail de ce qui t'expose et de ce qui te protège dans ton poste précis. Gratuit, sans compte à créer.
Faire le diagnostic gratuit →Tu sais déjà où tu en es et tu cherches quoi faire ensuite ? Le système, c'est ici.
Questions fréquentes
Quelles données mon employeur peut-il traiter quand il déploie une IA ?
Les mêmes que sans IA : uniquement celles qui sont adéquates, pertinentes et limitées à ce qui est nécessaire. L'IA ne crée pas un droit nouveau à collecter davantage. La CNIL rappelle que le salarié peut demander à son employeur la communication des données personnelles qu'il détient sur lui.
Quels droits puis-je exercer sur mes données face à une IA ?
Accès (article 15), rectification (article 16), effacement (article 17), opposition (article 21), et le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé (article 22). Ton employeur doit répondre en principe dans un délai d'un mois.
Puis-je refuser une décision prise par une IA ?
Oui, si la décision est fondée exclusivement sur un traitement automatisé et produit des effets juridiques ou t'affecte de manière significative. L'article 22 du RGPD te donne le droit d'exiger une intervention humaine et de contester la décision.
Comment exercer ces droits sans me mettre en difficulté ?
Par écrit, en ciblant précisément les données ou la décision, en t'appuyant sur le DPO de ton entreprise s'il existe, et en sachant que l'absence de réponse dans un délai d'un mois peut être signalée à la CNIL.
Écrit par Amine Lounnas
AI business analyst depuis cinq ans dans des grands groupes du CAC 40 — banque, assurance, énergie. Certifié DPO et CIPP/E. Mon métier consiste à identifier quelles tâches une entreprise peut automatiser ; ce site retourne cette méthode vers les salariés.
Sources
- CNIL — Travail et données personnelles — le salarié peut demander à son employeur l'accès aux données personnelles qu'il détient.
- CNIL — Le droit d'accès des salariés à leurs données et aux courriels professionnels — fiche actualisée le 31 janvier 2025.
- CNIL — RGPD, chapitre III, droits de la personne concernée — articles 15 à 22 (accès, rectification, effacement, opposition, décision automatisée).
- CNIL — IA et RGPD : nouvelles recommandations — information des personnes concernées et logique sous-jacente des traitements automatisés.