Avant de cartographier l'IA : informer les salariés, consulter le CSE, tenir le registre

Cartographier l’usage de l’IA, c’est lire des traces laissées par des personnes : une ligne de note de frais au nom d’un salarié, une requête DNS partie de son poste, une application autorisée avec son compte. Même si les noms sont remplacés par des pseudonymes et que seuls des totaux par service s’affichent, l’entreprise collecte des informations sur ses salariés.

Le droit français pose des conditions avant de commencer, et elles ne sont pas de pure forme. Ces repères ne sont pas un avis juridique : faites-les valider par votre DPO ou votre conseil.

Informer les salariés, avant

L’article L1222-4 du Code du travail tient en une phrase : « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. » Le mot qui compte est « préalablement ». Une note envoyée après le premier import ne rattrape rien.

Une bonne note d’information répond à six questions, avec des mots simples :

• Quoi : les sources analysées (abonnements à des outils d’IA en note de frais, visites de sites d’outils d’IA dans les journaux du réseau) et ce qui n’est jamais retenu (les autres sites, le contenu de ce qui est écrit).
• Ce qui est gardé : le nom de l’outil, la date, le service, un pseudonyme à la place du nom.
• Pourquoi : choisir les bons outils, fixer des règles claires, protéger les données. Et ce que ce n’est pas : un outil d’évaluation individuelle ou de sanction.
• Combien de temps : la durée de conservation, en mois.
• Sur quelle base : le plus souvent l’intérêt légitime de l’entreprise (article 6.1.f du RGPD).
• Quels droits : à qui s’adresser, et la possibilité de saisir la CNIL.

Diffusez-la par les canaux habituels, intranet, affichage ou e-mail, et gardez la preuve de sa diffusion. Dans sa fiche sur le contrôle de l’activité des personnes employées, la CNIL rappelle que l’employeur doit pouvoir prouver qu’il a respecté ces conditions.

Consulter le CSE

Dans les entreprises d’au moins cinquante salariés, l’article L2312-38 prévoit que le CSE est informé et consulté, « préalablement à la décision de mise en œuvre dans l’entreprise », sur les moyens ou les techniques permettant un contrôle de l’activité des salariés.

Une cartographie de l’IA n’a pas pour but de contrôler qui que ce soit. Mais elle lit des journaux et des dépenses, et elle permettrait, mal réglée, de suivre une personne. Le plus sûr est de la présenter au CSE pour ce qu’elle est, avec ses garde-fous, et de recueillir son avis avant le premier import.

Préparez des réponses écrites aux questions que les élus poseront : quelles sources, qui verra les résultats, à partir de combien de personnes un chiffre s’affiche, combien de temps on garde, et si un salarié pourra être sanctionné sur cette base. Un accès du CSE en lecture aux résultats agrégés aide aussi.

Inscrire le traitement au registre

Le traitement doit figurer au registre des activités de traitement de l’entreprise, prévu par l’article 30 du RGPD. La fiche reprend ce que dit la note aux salariés, en plus précis :

• la finalité : connaître l’usage des outils d’IA pour l’encadrer ;
• les personnes concernées, les salariés, et les catégories de données : pseudonyme, service, outil, date, montant pour les notes de frais ;
• les destinataires, dont le prestataire qui réalise la cartographie, en qualité de sous-traitant ;
• les délais d’effacement ;
• une description des mesures de sécurité.

Pour le sous-traitant, demandez où sont hébergées les données, ce qui est gardé et ce qui ne l’est jamais. Chez Lanterne, ces réponses sont publiques : la politique de confidentialité et la page sur la sécurité de la plateforme.

Faut-il une analyse d’impact ?

L’article 35 du RGPD demande une analyse d’impact relative à la protection des données (AIPD) quand un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. La CNIL a publié la liste des traitements pour lesquels une AIPD est requise. On y trouve les traitements « ayant pour finalité de surveiller de manière constante l’activité des employés concernés », avec en exemple les dispositifs qui analysent les courriels sortants pour détecter des fuites d’information.

Une cartographie agrégée, sous pseudonyme, limitée aux outils d’IA, n’a pas cette finalité. Mais la réponse dépend de vos réglages : la période de journaux importée, le niveau de détail affiché, qui y a accès. Le bon réflexe est de poser la question à votre DPO et de garder sa réponse par écrit. Si l’AIPD est nécessaire, elle se fait avant.

Dans tous les cas, restez proportionné. La CNIL relève qu’une surveillance constante est en général jugée excessive. Quelques semaines de journaux suffisent pour une première image ; des années, non. Ne gardez que ce qui concerne l’IA, effacez les fichiers une fois lus, et n’affichez aucun chiffre pour un trop petit groupe.

Dans quel ordre s’y prendre

1. Le questionnaire. S’il est vraiment anonyme (ni compte, ni adresse, rien qui désigne qui répond), il peut en général partir en premier ; vérifiez-le avec votre DPO.
2. Le courrier au CSE, qui décrit les sources choisies, puis son avis.
3. La note aux salariés, diffusée avant toute collecte.
4. La fiche du registre, et la réponse du DPO sur l’analyse d’impact.
5. Les sources : notes de frais, annuaire, réseau.

Dans Lanterne, aucun import n’est possible tant qu’un administrateur n’a pas confirmé l’information des salariés, la consultation du CSE et l’inscription au registre ; la note et le courrier au CSE sont préremplis, et le DPO peut confirmer lui-même. La page DPO et juridique décrit ce cadre.

Une fois le cadre posé, la cartographie peut commencer : voir ce qu’on trouve en cherchant le Shadow IA, puis comment en tirer une charte d’usage de l’IA.