Prompts IA des salariés : ce que l’employeur peut consulter, et à quelles conditions
Aucune décision publiée de la Cour de cassation ne règle encore l’accès d’un employeur aux requêtes saisies par un salarié dans une IA générative, selon une avocate. Les règles sur le contrôle des salariés et les données personnelles s’appliquent déjà, et elles imposent de documenter ce qui est tracé.
Un salarié colle un extrait de contrat dans un assistant d’IA générative, depuis son poste professionnel et avec un compte personnel. L’employeur peut-il ouvrir l’historique ? Dans un article publié le 12 novembre 2026 sur Village de la justice, l’avocate Sophie Reichman répond par la prudence : pouvoir lire des journaux d’activité ne donne pas le droit de les consulter. Selon elle, aucune décision publiée de la Cour de cassation ne statue à ce jour sur l’accès de l’employeur au contenu de ces requêtes, les prompts. C’est son analyse, que la rédaction n’a pas pu confirmer par une recherche exhaustive de jurisprudence.
Il faut d’abord distinguer ce qui est tracé : connexion, métadonnées d’usage, texte de la requête, pièces jointes, réponse, historique complet. Constater qu’un salarié s’est connecté à un service externe relève de la supervision ordinaire du système d’information ; lire ce qu’il a écrit touche davantage à sa vie privée.
Deux repères existent pour les outils informatiques, sans avoir été conçus pour l’IA. L’arrêt Nikon (chambre sociale, 2 octobre 2001) reconnaît au salarié le respect de sa vie privée et le secret de ses correspondances, même au temps et au lieu de travail. L’arrêt du 17 mai 2005 (pourvoi n° 03-40.017) présume professionnels les fichiers créés avec les outils de l’entreprise, sauf s’ils sont identifiés comme personnels. L’auteure relève qu’une interface de conversation ne permet généralement pas de marquer un échange comme « personnel », ce qui fragilise cette présomption.
Avant tout contrôle, le Code du travail pose des conditions. L’article L. 1121-1 exige que les restrictions aux libertés des salariés soient justifiées et proportionnées au but recherché. L’article L. 1222-4 interdit de collecter une information personnelle par un dispositif non porté préalablement à la connaissance du salarié. Le comité social et économique doit être consulté avant la mise en œuvre de moyens de contrôle de l’activité. La Cour européenne des droits de l’homme (Bărbulescu c. Roumanie, 2017) attend une information préalable sur la nature et l’étendue de la surveillance.
Le RGPD s’ajoute à ces textes : dès qu’un journal est rattachable à un salarié, l’entreprise doit justifier sa base légale, limiter les finalités et collecter le strict nécessaire. L’auteure recommande des paliers : suivi statistique, alertes ciblées sur un risque défini, puis accès humain au contenu en dernier recours, sur autorisation. Elle précise que l’employeur peut constater des connexions depuis son réseau, mais ne peut pas exiger les identifiants d’un compte personnel ni en explorer l’historique.
Conseil de la rédaction, distinct de l’analyse juridique : un organisme de formation, dont les équipes manipulent des données de stagiaires, de financeurs et de clients, gagne à publier une charte IA lisible. Elle devrait préciser les outils autorisés, les informations à ne jamais saisir dans un service externe, ce qui est journalisé et qui peut y accéder. Mieux vaut décrire fidèlement la traçabilité que promettre une confidentialité que l’outil ne garantit pas.
Reste la preuve. Le texte d’une requête ne prouve pas à lui seul qu’un document a été envoyé. Les arrêts de l’Assemblée plénière du 22 décembre 2023 permettent au juge civil d’admettre, sous conditions strictes, une preuve obtenue de façon déloyale ou illicite, sans régulariser le traitement de données. Cet article résume une analyse et ne remplace pas un avis juridique : avant tout contrôle, consultez un juriste en droit social.
Violation de données dans un organisme de formation : quand ne pas notifier la CNIL — et comment le prouver
Un fichier de stagiaires brièvement exposé, un support égaré puis retrouvé : tout incident de sécurité ne déclenche pas nécessairement une notification à la CNIL. Mais la décision de ne pas notifier doit être documentée aussi rigoureusement qu'une notification.
Déployer l'IA en entreprise : ce que la loi impose déjà aux employeurs, et ce que les formateurs doivent en savoir
Le droit du travail ne contient aucune mention de l'intelligence artificielle, mais il encadre déjà son déploiement via le règlement intérieur, le pouvoir disciplinaire et l'obligation de formation. Une analyse juridique décrypte les pièges et les obligations que les organismes de formation doivent maîtriser.
Journée RGPD CNIL à Poitiers le 1er décembre : cybersécurité, IA Act et éducation numérique au programme
La CNIL, l'AFCDP et la Ville de Poitiers organisent le 1er décembre 2026 une Journée RGPD aux Salons de Blossac. Le programme en quatre sessions couvre cybersécurité, préparation aux contrôles, articulation RGPD/Règlement IA et usages du numérique en éducation. Inscription gratuite, en présentiel uniquement.