Charte IA au travail : peut-on sanctionner un salarié qui transmet des données à ChatGPT ?

Temps de lecture : 8 minutes

Un commercial utilise ChatGPT pour préparer une campagne de prospection et y copie un fichier contenant des noms, des coordonnées et des informations sur ses clients. Son employeur découvre l’opération et envisage une sanction, en invoquant une charte d’utilisation de l’intelligence artificielle envoyée à l’équipe quelques mois plus tôt. Est-ce suffisant ? Pas nécessairement. La réponse dépend de la nature de la charte, des formalités suivies, des obligations déjà applicables au salarié et des circonstances de l’incident.

• La question concerne désormais de nombreuses entreprises : une IA peut être autorisée pour rédiger, résumer ou analyser des documents sans que tous les collaborateurs sachent quelles données peuvent y être introduites.
• La CNIL recommande justement de définir les usages permis, les usages interdits et les précautions de confidentialité. Reste à distinguer la recommandation informatique de la règle susceptible de fonder une sanction.

Une charte IA devient-elle une annexe au règlement intérieur ?

L’article L. 1321-5 du Code du travail vise les notes de service et autres documents qui posent des obligations générales et permanentes dans les matières du règlement intérieur. Lorsqu’un règlement intérieur existe, de tels documents sont considérés comme des adjonctions à celui-ci. Leur intitulé importe moins que leur contenu.

Une fiche expliquant comment rédiger une bonne requête, ou proposant une liste d’outils, reste en principe un support de bonnes pratiques. Une charte qui interdit durablement de transmettre des données clients, impose l’utilisation exclusive de certains logiciels, prévoit des comportements obligatoires ou renvoie à des sanctions pour non-respect des consignes appelle, elle, un examen au regard des règles du règlement intérieur.

Le règlement intérieur est obligatoire à partir de 50 salariés, une fois les conditions légales de franchissement du seuil réunies (article L. 1311-2). Une entreprise plus petite peut néanmoins en établir un volontairement. Elle ne doit pas supposer qu’un document disciplinaire échappe à toute règle simplement parce que son effectif est inférieur à 50 salariés.

Les quatre vérifications avant d’invoquer la charte contre un salarié

• La charte a-t-elle été soumise à l’avis du CSE lorsqu’un comité compétent existe ? Une consultation ne se résume pas à un envoi pour information.
• Les règles ont-elles été portées à la connaissance des personnes concernées par une publicité adaptée ? Il faut pouvoir en conserver la preuve.
• Le texte et l’avis du CSE, lorsqu’il est requis, ont-ils été communiqués à l’inspection du travail en même temps que la publicité ?
• La date d’entrée en vigueur respecte-t-elle un délai d’au moins un mois après les formalités de publicité ? Une charte ne peut pas régulariser rétroactivement un comportement antérieur.

Ces étapes découlent notamment de l’article L. 1321-4 du Code du travail. Les modalités exactes dépendent du contenu du document et de la situation de l’entreprise. L’avis du CSE doit être recueilli, mais son accord n’est pas nécessairement requis.

Un salarié peut-il être sanctionné sans charte IA opposable ?

Oui, dans certaines circonstances. Il faut éviter deux raccourcis : considérer qu’une charte envoyée à tous les salariés suffit à établir une faute, ou conclure qu’aucune sanction n’est possible si la charte est irrégulière.

La divulgation de données confidentielles peut contrevenir à des obligations préexistantes, notamment celles découlant du contrat de travail, d’instructions licites déjà connues ou de l’obligation de loyauté. L’employeur doit établir les faits, leur imputabilité et leur gravité. La sanction doit être proportionnée et respecter la procédure disciplinaire. Une interdiction nouvelle figurant uniquement dans une charte inopposable ne peut pas être présentée comme si elle avait été valablement imposée avant les faits.

Une réponse inexacte produite par l’IA n’est pas, à elle seule, une faute du salarié. L’analyse porte sur son comportement : a-t-il suivi les consignes applicables, contrôlé les résultats lorsqu’il devait le faire, agi avec diligence ? Une négligence caractérisée peut être appréciée différemment d’une erreur isolée commise malgré des vérifications normales.

Si l’incident conduit à un litige plus grave, les règles de procédure et de qualification demeurent celles du droit commun. TPE Actu détaille les motifs et étapes d’un licenciement en CDI.

Fichier clients transmis à ChatGPT : que doit faire l’employeur ?

La priorité est aussi la sécurité de l’information. Un fichier peut contenir des données personnelles, des éléments commerciaux stratégiques, ou les deux. Copier ces informations dans un service d’IA externe n’entraîne pas mécaniquement une violation de données à notifier, mais l’entreprise doit examiner la nature des informations, la configuration du service, les possibilités de conservation ou de réutilisation et le niveau de risque.

La CNIL précise dans ses questions-réponses sur l’IA générative que les organisations doivent notamment encadrer la transmission de données personnelles ou confidentielles, vérifier leurs relations avec les fournisseurs et former les utilisateurs. Une vérification technique et, si nécessaire, l’intervention du délégué à la protection des données sont donc à prévoir avant de se concentrer uniquement sur la sanction.

Historique des prompts : l’employeur peut-il tout consulter ?

Pas sans précautions. La collecte d’informations personnelles sur les salariés à partir des historiques de requêtes peut constituer un dispositif de contrôle de leur activité. L’article L. 1222-4 impose une information préalable des intéressés. Dans les entreprises relevant de ces attributions, l’article L. 2312-38 prévoit aussi l’information et la consultation préalables du CSE sur les moyens de contrôle.

L’entreprise doit également respecter le RGPD, notamment en ce qui concerne la finalité du traitement, sa proportionnalité, les accès aux historiques et la durée de conservation. Une surveillance permanente de toutes les requêtes ne devient pas licite du seul fait qu’elle est annoncée dans une charte.

Cette problématique rejoint les questions déjà abordées dans notre analyse de l’accès des RH aux conversations Teams et dans notre dossier sur la surveillance numérique en télétravail.

Ouvrir l’accès à une IA peut déclencher une consultation du CSE

La cour d’appel de Paris, dans un arrêt du 21 mai 2026 (RG n° 25/13232), a examiné le déploiement d’un assistant rédactionnel interne, ainsi que l’autorisation et l’encadrement d’outils comme ChatGPT par une charte informatique. Les juges ont retenu que ces outils étaient susceptibles de modifier sensiblement les tâches et les conditions de travail.

Dans ce dossier, le fait que certains salariés aient déjà utilisé des outils d’IA, parfois sans autorisation, ou que le nouvel assistant soit facultatif, n’a pas dispensé l’employeur d’une consultation préalable. La décision concerne les attributions du CSE en matière d’organisation et d’introduction de nouvelles technologies dans les entreprises d’au moins 50 salariés, et ne signifie pas que chaque utilisation individuelle d’un chatbot impose à elle seule une consultation.

Le fondement légal est l’article L. 2312-8 du Code du travail. Cette question doit être examinée séparément de celle de l’opposabilité disciplinaire d’une charte.

La checklist RH pour sécuriser sa charte IA

• Relire la charte ligne par ligne : distinguer les conseils pédagogiques des interdictions et obligations permanentes.
• Vérifier la date d’adoption, les documents présentés au CSE, les preuves de publicité et la transmission à l’inspection du travail lorsque ces formalités s’appliquent.
• Identifier les informations interdites dans les outils externes : fichiers clients, données RH, secrets commerciaux, documents contractuels.
• Décrire les outils autorisés et les règles de vérification humaine des réponses, avec des exemples adaptés aux métiers.
• Vérifier si l’accès à l’IA transforme les tâches ou le contrôle du travail, afin de déterminer les obligations d’information ou de consultation du CSE.
• Informer les salariés de tout contrôle des historiques et documenter son cadre RGPD.
• Faire examiner le dispositif et les modalités de sanction par un professionnel du droit avant le premier incident.

Sources officielles et décisions citées

• Code du travail, article L. 1321-5 : notes et adjonctions au règlement intérieur
• Code du travail, article L. 1321-4, version applicable depuis le 28 mai 2026
• Code du travail, article L. 2312-38 : moyens de contrôle des salariés
• Cour d’appel de Paris, 21 mai 2026, RG n° 25/13232
• CNIL : encadrement des usages de l’IA générative