Accueil › Blog › IA au travail : obligations de l'employeur

IA au travail : ce que ton employeur doit te dire (et ne te dit pas)

Publié le 22 septembre 2026 · par Amine, AI business analyst en CAC 40 · 7 min de lecture

Tu arrives au bureau un matin, et un outil que tu n'as jamais vu fait déjà partie de ton quotidien : il trie les candidatures, il note ton activité, il aide ton manager à rédiger ton évaluation. Personne ne t'a rien dit. Est-ce que c'est légal ? La réponse tient en une ligne : non, dans la plupart des cas, ton employeur avait une obligation de te le dire. Et cette obligation est écrite noir sur blanc dans trois textes différents.

Qu'est-ce que l'AI Act oblige ton employeur à te dire ?

Le point de départ, c'est le règlement européen sur l'intelligence artificielle, l'AI Act. Son article 26 est consacré aux obligations des « déployeurs » — c'est-à-dire des entreprises qui utilisent un système d'IA, pas de celles qui le fabriquent. Le paragraphe 7 est d'une clarté rare en droit : avant de mettre en service ou d'utiliser un système d'IA à haut risque sur le lieu de travail, l'employeur informe les représentants des travailleurs et les travailleurs concernés qu'ils seront soumis à ce système.

Deux mots comptent dans cette phrase. « Avant » d'abord : l'information doit précéder l'usage, pas le suivre. Un employeur qui t'annonce en réunion « au fait, depuis trois mois l'outil note vos réponses » est en retard de trois mois sur la loi. « À haut risque » ensuite : c'est ce qualificatif qui décide si l'obligation s'applique ou pas.

Et ce qui est « à haut risque » au travail est plus large que ce qu'on imagine. L'annexe III du règlement classe explicitement dans cette catégorie les systèmes d'IA utilisés pour le recrutement et la sélection — annonces ciblées, tri et classement des CV, évaluation des candidats —, pour les décisions de promotion ou de rupture du contrat, pour l'attribution des tâches, et pour le suivi et l'évaluation de la performance et du comportement. Autrement dit, dès qu'une IA intervient sur qui on recrute, qui on promeut, qui on garde ou comment on te note, ton employeur a une obligation légale de t'en informer avant.

Il y a une seconde obligation, plus discrète mais tout aussi réelle : l'article 4 impose à l'employeur de garantir un niveau suffisant de « littératie en IA » à ses équipes. En clair, il ne suffit pas de te dire qu'un outil existe ; l'entreprise doit s'assurer que tu comprends assez de quoi il s'agit pour travailler avec, en connaissance de ses limites. Cette obligation s'applique depuis le 2 février 2025, donc avant même le reste du règlement.

Et le RGPD, qu'est-ce qu'il ajoute ?

L'AI Act te protège parce que tu es un travailleur. Le RGPD, lui, te protège parce que tu es une personne dont on traite des données. Ce sont deux logiques différentes qui se superposent, et c'est souvent la seconde qu'on oublie.

Les articles 13 et 14 du RGPD imposent au responsable de traitement — ton employeur, dès qu'il traite tes données — de te fournir un ensemble précis d'informations : son identité et celle de son DPO s'il en a un, les finalités du traitement, la base légale, les destinataires des données, les transferts hors d'Europe, la durée de conservation, et tes droits. L'article 13 vaut quand tu fournis toi-même tes données ; l'article 14 quand elles viennent d'ailleurs — par exemple quand un outil les collecte sans que tu les saisisses.

Concrètement, si ton employeur branche une IA sur tes e-mails, tes comptes rendus, tes évaluations ou tes données de télémétrie, il doit t'expliquer ce qui est traité, pourquoi, et par qui. Cette information doit être « concise, transparente, compréhensible, facilement accessible », dans un langage clair — c'est l'article 12 qui le dit. Une note de dix pages en jargon juridique enfouie dans l'intranet ne remplit pas vraiment cette obligation, même si beaucoup d'entreprises font comme si.

La nuance qui change tout, c'est que le RGPD t'ouvre un droit d'accès : l'article 15 te permet de demander précisément quelles données te concernant sont traitées, et comment. C'est l'outil le plus concret que tu aies pour passer de « on m'a dit qu'il y avait une IA » à « voilà ce que l'IA fait de mes données ».

Le code du travail : une protection plus ancienne que tu crois

Il y a une forme d'ironie à ce que la protection la plus nette ne vienne pas des textes récents sur l'IA, mais d'un article du code du travail écrit pour une autre époque. L'article L1222-4 dispose qu'aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n'a pas été porté préalablement à sa connaissance.

Cet article a été pensé pour la vidéosurveillance et les badges, mais sa logique s'applique telle quelle à l'IA : avant de te mesurer, de te noter ou de t'analyser avec un outil, l'employeur doit t'avoir prévenu. Le principe français, c'est qu'il n'y a pas de collecte cachée. Un salarié ne doit jamais découvrir par hasard qu'un dispositif recueille des informations sur lui.

À ça s'ajoute le rôle de tes représentants. L'AI Act exige d'informer « les représentants des travailleurs » — en France, le comité social et économique. C'est cohérent avec la logique du droit du travail : l'information individuelle est indispensable, mais elle gagne à être relayée et vérifiée collectivement, parce qu'un outil déployé sur une équipe est une question collective, pas seulement individuelle.

Ce que la loi ne couvre pas, et pourquoi c'est là que ça se joue

Voilà le tableau rassurant. Maintenant, les fissures, parce qu'elles sont réelles et qu'on ne te les présente jamais.

D'abord, l'obligation la plus forte — celle de l'article 26(7) — ne concerne que les IA à haut risque. Un assistant de rédaction, un traducteur, un outil de synthèse de réunions, un chatbot interne : tant qu'ils ne servent pas à une décision d'emploi ni à du suivi de performance, ils ne sont pas à haut risque, et l'obligation spécifique d'information préalable ne s'applique pas. Le RGPD reste là dès que des données personnelles circulent — et c'est presque toujours le cas, ne serait-ce que ton nom et le contenu de tes messages —, mais l'information est alors souvent noyée dans une politique de confidentialité générique.

Ensuite, la loi te dit que tu dois être informé, pas que tu dois comprendre ce que fait l'algorithme ni pouvoir contester une décision précise. Expliquer la logique d'une décision automatisée relève du RGPD — article 22 pour les décisions entièrement automatisées, article 15 pour l'information sur la logique sous-jacente —, et ce sont des régimes plus étroits, avec des conditions. Être prévenu qu'une IA existe ne te donne pas le pouvoir de la refuser ni de comprendre pourquoi elle t'a classé en bas d'une liste.

Enfin, et c'est peut-être le plus important : l'information n'est pas le consentement. Te dire qu'une IA va être utilisée sur toi n'ouvre pas un droit de veto. Dans l'immense majorité des cas, ton employeur peut déployer l'outil après t'avoir informé — pas avec ton accord. L'information te permet de savoir, de questionner, de vérifier, d'exercer tes droits d'accès ; elle ne te donne pas la main sur la décision. C'est exactement pour ça que savoir ce qu'on doit te dire, et repérer ce qu'on ne te dit pas, a une vraie valeur : c'est ton premier levier, celui sur lequel tous les autres reposent.

Comment vérifier ce que ton employeur a fait ?

Tu n'as pas besoin d'être juriste pour faire un contrôle simple. Trois questions suffisent, et chacune a une réponse que tu peux chercher toi-même.

Première question : est-ce qu'une information a été donnée, et sous quelle forme ? Cherche une charte, une note interne, une politique de confidentialité RH qui mentionne l'outil. Un e-mail envoyé il y a six mois compte comme une information ; une clause dans un document que personne n'a vu aussi, techniquement. Ce qui compte, c'est l'existence d'une trace et sa clarté.

Deuxième question : tes représentants ont-ils été informés ? Le CSE est censé être dans la boucle pour les systèmes à haut risque. Si personne n'en a entendu parler, c'est un signal.

Troisième question : que fait l'outil de tes données ? C'est là que le droit d'accès du RGPD devient ton meilleur ami. Une demande d'accès adressée à ton employeur ou à son DPO t'oblige — l'entreprise — à te répondre sur les données traitées à ton sujet et leurs finalités. C'est la façon la plus propre de transformer une inquiétude vague en faits vérifiables.

Ce que je constate dans les organisations où j'ai travaillé, c'est que le problème n'est presque jamais une volonté de cacher. C'est une ignorance tranquille : on déploie un outil parce qu'il fait gagner du temps, et personne ne pense à la couche d'information qui l'accompagne. La loi, elle, y a pensé. Savoir ce qu'on doit te dire, c'est pouvoir repérer où la pratique n'a pas suivi. Et c'est déjà beaucoup.

Questions fréquentes

Écrit par Amine Lounnas

AI business analyst depuis cinq ans dans des grands groupes du CAC 40 — banque, assurance, énergie. Certifié DPO et CIPP/E. Mon métier consiste à identifier quelles tâches une entreprise peut automatiser ; ce site retourne cette méthode vers les salariés.

Qui écrit ici, et comment →