Un employeur peut-il contrôler l'activité de ses salariés ?

Oui, la CNIL rappelle qu'un employeur a le pouvoir d'encadrer et de contrôler l'activité des membres du personnel. Ce pouvoir est encadré : le dispositif doit être annoncé et proportionné.

Faut-il informer les salariés avant de mettre un outil de contrôle en place ?

Oui. Selon la CNIL, le dispositif doit être porté à la connaissance des personnes concernées préalablement à sa mise en place.

Une surveillance permanente est-elle permise ?

La CNIL indique qu'une surveillance constante est excessive. Un contrôle doit donc rester proportionné à son objectif.

Surveiller les salariés avec l'IA : limites et règles CNIL

Un outil d'IA peut produire, en plus de son service, des traces : qui s'en est servi, pour quelle tâche, à quelle heure, combien de fois. Un dirigeant peut être tenté d'utiliser ces traces pour mesurer ce que font ses salariés. Cette page explique ce que la CNIL dit du contrôle de l'activité au travail, et pourquoi un outil d'IA ne doit jamais devenir un outil de surveillance sans cadre écrit.

Ce n'est pas un avis juridique. Les règles reprises ici sont celles que la CNIL décrit sur sa page officielle consacrée au contrôle de l'activité des personnes employées.

Ce que dit la CNIL

La page de la CNIL sur le contrôle de l'activité des personnes employées pose quatre repères lisibles :

Le pouvoir de contrôle existe. Un employeur a le pouvoir d'encadrer et de contrôler l'activité des membres du personnel.
L'information est préalable. Le dispositif doit être porté à la connaissance des personnes concernées, avant sa mise en place.
La proportion est exigée. Le dispositif doit être proportionné à l'objectif poursuivi.
La surveillance constante est excessive. Un suivi permanent d'un salarié ne se justifie pas au regard de la règle.

La même page renvoie aussi à la question de la durée de conservation : il faut déterminer combien de temps les données de contrôle sont conservées, et la CNIL a une page dédiée sur ce point. Cette page ne reprend pas les durées : elles doivent être vérifiées sur la source officielle.

Ce qu'un outil d'IA change, et ce qu'il ne change pas

Un outil d'IA ne change pas le principe. Si l'entreprise veut savoir qui a utilisé l'outil et pour quoi, cela reste un traitement de données sur des salariés, donc soumis aux mêmes repères. Le fait que la collecte soit faite par un logiciel ne la rend pas moins encadrée.

La CNIL rappelle par ailleurs, dans sa page sur l'IA générative, que les personnes doivent être informées lorsqu'elles interagissent avec un système d'IA, et que les contenus produits doivent être vérifiés avant usage. Ces deux règles valent aussi pour les salariés.

Ce qui est acceptable, et ce qui ne l'est pas

Usage	Lecture donnée par cette page
Vérifier qu'un texte produit a été relu avant envoi	Acceptable si la relecture est annoncée et ne sert pas à noter la personne
Compter les heures passées sur l'outil, individuellement	À éviter : c'est un suivi de personne, il faut un cadre écrit et annoncé
Lire les conversations de chaque salarié avec l'outil	Non : c'est une surveillance constante, excessive selon la CNIL
Évaluer une personne sur ses réponses d'IA	Non sans cadre : la CNIL demande une finalité claire et proportionnée
Suivre des volumes globaux, sans nom, pour décider d'une formation	Plus proportionné, à décrire par écrit avant

Ce tableau donne des repères, pas un avis. Le cas concret dépend de l'outil, de ce qu'il enregistre et de ce que l'entreprise en fait.

Règles pratiques pour le dirigeant

Dire avant ce qui est collecté. Une note écrite précise les données que l'outil reçoit et celles qu'il garde.
Limiter la finalité. Un outil installé pour aider à rédiger ne sert pas à évaluer les personnes.
Ne pas suivre les conversations individuelles. Si un besoin de contrôle existe, il se traite par une règle générale et par la relecture.
Fixer une durée de conservation et la vérifier sur la source officielle de la CNIL.
Garder le registre à jour, avec le traitement décrit et sa finalité.

Ce que disent les salariés

Un salarié qui craint d'être surveillé demande presque toujours la même chose : savoir ce qui est enregistré. Répondre par une liste claire, datée et écrite désamorce la crainte. Répondre « on ne surveille personne » sans rien montrer ne suffit pas. Voir les craintes des salariés.

Erreurs à éviter

Activer les journaux de l'outil sans les lire ni les annoncer.
Utiliser les traces d'usage dans un entretien annuel.
Installer un outil de surveillance « pour voir » avant d'avoir défini la finalité.
Dire aux salariés qu'ils ne sont pas suivis alors que l'outil garde leurs requêtes.

Liste de vérification

La finalité du suivi, s'il existe, est écrite.
Les salariés ont été informés avant la mise en place.
Le suivi est proportionné, sans surveillance constante.
La durée de conservation est fixée, et vérifiée sur la source officielle.
Le registre des traitements est à jour.

Ce qui reste au dirigeant

Décider d'un contrôle, en fixer la finalité et l'annoncer relèvent de la direction. Ce guide ne remplace pas un juriste ni le délégué à la protection des données quand l'entreprise en a un. Pour les usages que les salariés font de leur propre initiative, voir les usages personnels.