Accueil › Blog › Surveillance par l'IA au travail

Peut-on être surveillé par l'IA au travail ? La réponse légale

Publié le 18 septembre 2026 · par Amine, certifié DPO et CIPP/E · 7 min de lecture

Ton employeur a le droit de contrôler que tu fais bien ton travail. Ça, c'est acquis, et c'est même l'une des contreparties normales du contrat de travail. La vraie question n'est pas de savoir s'il peut te surveiller, mais jusqu'où, avec quels outils, et ce qu'il est obligé de te dire avant.

Que dit la loi sur le droit de surveiller ses salariés ?

Le point de départ est simple : le pouvoir de direction de l'employeur l'autorise à contrôler l'activité de ses équipes. C'est la contrepartie normale du contrat de travail. Mais ce pouvoir n'est pas illimité, et c'est précisément là que les choses deviennent intéressantes.

L'article L.1121-1 du code du travail pose la règle de fond : « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. » Traduction : toute limite à ta vie privée doit avoir une vraie raison, et ne pas aller au-delà de ce que cette raison exige.

De ce principe, la Cour de cassation a tiré dès 2001 une conséquence qui surprend encore beaucoup de gens : le salarié a droit, même au temps et au lieu de travail, au respect de l'intimité de sa vie privée. Ton espace professionnel n'est pas une zone de non-droit. La surveillance n'est légitime que si elle vise le travail, pas la personne.

Une IA, c'est différent d'une caméra ?

Juridiquement, non, pas vraiment. Que l'outil soit une caméra, un logiciel de géolocalisation ou un système d'IA qui analyse ton activité, il reste un dispositif de contrôle, et il tombe sous les mêmes règles. Ce qui change avec l'IA, c'est l'échelle : un algorithme peut traiter en continu, croiser des données, inférer des choses sur toi qu'aucun humain n'aurait eu le temps de regarder. C'est pour ça que le RGPD traite certains de ces usages comme des traitements à risque élevé, et que l'AI Act a classé les systèmes d'IA utilisés dans la gestion du personnel parmi les usages à risque élevé.

La CNIL résume la chose en trois conditions cumulatives, valables pour tout dispositif de contrôle de l'activité. Le dispositif doit être justifié et proportionné à l'objectif poursuivi. Il doit être soumis aux instances représentatives du personnel, selon les règles en vigueur. Et il doit être porté à la connaissance des salariés. Si une seule de ces trois conditions manque, le contrôle n'est pas licite.

Qu'est-ce qu'une surveillance « proportionnée », concrètement ?

C'est la question qui départage le licite de l'illicite, et la CNIL donne des exemples précis qui valent mieux que n'importe quelle explication abstraite.

Le mauvais exemple : un logiciel d'enregistrement de frappe au clavier, le fameux keylogger. La CNIL le qualifie de disproportionné. Pourquoi ? Parce qu'il enregistre tout, sans distinguer ce qui relève du travail de ce qui relève de la vie privée, et qu'il place le salarié sous surveillance constante. Même en télétravail, ce type d'outil est interdit.

Le bon exemple : un logiciel qui compte et transmet à l'encadrant, de façon transparente, le nombre de dossiers traités par trimestre. Là, la fréquence de la remontée n'est pas assimilable à une surveillance constante, et l'indicateur mesure un résultat de travail sur une période longue, ce qui est cohérent.

Le principe qui se dégage : la surveillance constante est en général excessive. Ce qui est admissible, c'est la mesure ponctuelle ou agrégée d'un résultat, portée à ta connaissance. Entre les deux, il y a toute la différence entre piloter une activité et surveiller une personne.

Que doit te dire ton employeur avant de te surveiller ?

La transparence n'est pas une politesse, c'est une obligation légale, et elle est double.

D'abord, le code du travail. L'article L.1222-4 dispose qu'aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n'a pas été porté préalablement à sa connaissance. Autrement dit : si tu découvres après coup que tu étais surveillé, c'est que le dispositif était illicite. L'information doit être préalable, pas postérieure.

Ensuite, le RGPD. Son article 88 renvoie aux États le soin d'encadrer le traitement de données dans les relations de travail, mais les principes généraux s'appliquent de plein fouet : tu as un droit d'information sur les données collectées, leur finalité, leur durée de conservation et leurs destinataires. Et en entreprise de plus de 50 salariés, le comité social et économique doit être consulté avant le déploiement d'un dispositif de contrôle.

Concrètement, si un jour ton entreprise déploie un outil d'IA censé mesurer la productivité, tu es en droit de demander : quelles données exactement, pour quel but, conservées combien de temps, et qui y a accès. L'absence de réponse n'est pas un détail technique.

Quand la surveillance bascule-t-elle dans l'illicite ?

Trois cas de figure reviennent dans la jurisprudence et les sanctions de la CNIL.

La surveillance permanente et non justifiée. La Cour européenne des droits de l'homme, dans l'arrêt Bărbulescu c. Roumanie de 2017, a posé les critères d'appréciation : information préalable du salarié, légitimité du but poursuivi, proportionnalité, et absence de moyens moins intrusifs. Ces critères, dégagés à propos de la messagerie, se transposent aux outils de surveillance au travail. Placer un salarié sous surveillance vidéo constante à son poste, hors circonstances exceptionnelles de sécurité, est régulièrement sanctionné.

Le but caché. Un outil présenté comme un instrument de gestion ne peut pas servir en réalité à évaluer ou fliquer individuellement les gens sans le leur dire.

La collecte excessive. Capter plus de données que nécessaire — des frappes de clavier, des mouvements, des conversations — pour en tirer des inférences sur la personne, c'est le contraire de la minimisation des données exigée par le RGPD.

Dans les trois cas, ce n'est pas l'outil qui est en cause, c'est la façon dont il est utilisé. Une IA qui produit un indicateur agrégé et déclaré est licite. Une IA qui surveille en continu et en cachette ne l'est pas.

Questions fréquentes

Écrit par Amine Lounnas

AI business analyst depuis cinq ans dans des grands groupes du CAC 40 — banque, assurance, énergie. Certifié DPO et CIPP/E. Je traduis le droit de l'IA et des données en langage que les salariés peuvent utiliser.

Qui écrit ici, et comment →