RH : les usages IA qui ne posent pas de problème juridique

En bref. Les usages RH de l'IA qui restent juridiquement sûrs sont ceux qui se cantonnent à l'assistance documentaire, à la planification de formations basées sur des données déjà agrégées, et à la réponse automatisée à des questions fréquentes internes, à condition que les données soient anonymisées, que le salarié soit informé et que le traitement reste sous contrôle humain.

Lors d'un point mensuel du comité de direction d'une PME de sous-traitance aéronautique, le responsable RH montre un extrait du tableau de suivi des candidatures : sur les 200 reçus le mois précédent, 60 ont été pré‑sélectionnés par un script qui analyse les mots‑clés des CV.

Cadrage juridique des traitements de données personnelles en RH

En France, le traitement de données personnelles relatif aux salariés relève du RGPD et de la loi Informatique et Libertés. Toute opération qui consiste à collecter, enregistrer ou exploiter des informations identifiantes doit reposer sur une base légale : consentement exécution du contrat, intérêt légitime ou obligation légale. En RH, le consentement est rarement adapté puisqu’il crée un déséquilibre de pouvoir ; l’intérêt légitime doit être démontré et proportionné. Lorsqu’une IA intervient sur des données telles que le nom, l’adresse e‑mail, le numéro de sécurité sociale ou les appréciations de performance, elle devient un sous‑traitant et doit présenter des garanties de sécurité et de confidentialité. Si aucune de ces conditions n’est remplie, le recours à l’IA est interdit.

Usages autorisés : assistance à la rédaction de contrats et de procédures

Un assistant d’écriture basé sur un modèle de langage (par exemple Claude ou Mistral) peut proposer des clauses types ou reformuler des passages déjà validés par le service juridique. L’outil ne crée pas de nouvelles obligations ; il se contente de reproduire des modèles existants. Dans ce cadre, les données entrées sont généralement des titres de poste ou des références de convention collective, qui ne sont pas considérées comme des données sensibles. Il convient toutefois de conserver une trace humaine de validation : chaque sortie doit être relue par un juriste ou un responsable RH avant d’être intégrée dans un document définitif. L’utilisation de n8n ou Make pour automatiser l’envoi du texte vers un système de gestion documentaire reste permissible dès lors que le flux ne modifie pas le contenu.

Usages autorisés : planification de formations basée sur les besoins identifiés

Lorsque les besoins de formation sont déjà agrégés à partir d’entretiens annuels ou de fiches de compétences stockées dans un ERP, une IA peut suggérer des parcours pédagogiques adaptés. Par exemple, en croisant les intitulés de postes avec les compétences requises dans un référentiel interne, GPT‑4o peut proposer une liste de modules disponibles dans le catalogue de formation. L’algorithme ne prend pas de décision d’affectation ; il fournit une recommandation que le responsable formation examine et valide. Les données utilisées sont souvent des codes de poste et des niveaux de compétence, qui ne sont pas considérés comme des données sensibles dès lors qu’ils sont pseudonymisés. Un tableau simple dans Excel peut suffire à suivre les historiques, tandis que Make peut déclencher l’inscription automatique dans le LMS après validation humaine.

Usages à éviter : recrutement automatisé et évaluation de performance

Faire appel à un modèle de langage pour classer des CV, noter des entretiens vidéo ou produire un score de performance présente un risque élevé de biais discriminatoire. Même si l’outil est entraîné sur des données internes, il peut reproduire des stéréotypes liés à l’âge, au sexe ou à l’origine, ce qui constitue une violation du principe de non‑discrimination inscrit dans le Code du travail. La CNIL a déjà sanctionné des entreprises qui ont utilisé ce type de traitement sans analyse d’impact préalable. Par conséquent, la consigne est claire : ne déléguez pas la prise de décision d’embauche ou de promotion à une IA. Si vous souhaitez tout de même explorer l’aide à la présélection, limitez‑la à un filtrage basé sur des critères objectifs et non pertinents (par exemple la présence d’une certification obligatoire) et conservez une revue humaine systématique de chaque résultat.

Bonnes pratiques de mise en œuvre : gouvernance, formation et contrôle

Avant d’intégrer un outil d’IA dans un processus RH, désignez un référent chargé de vérifier la conformité au RGPD et de tenir à jour le registre des traitements. Documentez la finalité, la base légale, les catégories de données concernées et les mesures de sécurité (chiffrement, contrôle d’accès). Formez les équipes opérationnelles à la lecture critique des sorties de l’IA : elles doivent savoir reconnaître une suggestion générique d’une recommandation qui pourrait influencer une décision individuelle. Enfin, prévoyez une procédure de révision périodique (au moins annuelle) pour s’assurer que le modèle n’a pas dérivé et que les données d’entrée restent pertinentes et proportionnées.

Questions fréquentes

Puis‑je utiliser un chatbot interne pour répondre aux questions sur les congés payés ?

Oui, à condition que le bot ne stocke pas d’informations identifiantes au-delà de la session en cours. Les questions portent généralement sur des règles déjà publiées dans le règlement intérieur ; les réponses peuvent être générées à partir d’une base de connaissances préalablement validée par le service juridique. Il faut toutefois prévoir un escalade vers un conseiller humain lorsque la requête sort du cadre prévu.

Est‑ce légal de faire analyser les sentiments des échanges sur la messagerie d’entreprise par une IA ?

Non. L’analyse de sentiment repose sur le contenu des messages, qui peut contenir des données personnelles (opinions, état de santé, appartenance syndicale). Ce traitement nécessite une base légale difficile à justifier en RH et risque de porter atteinte à la vie privée. La CNIL considère ce type de surveillance comme potentiellement disproportionnée et interdite sans accord collectif explicite.

Comment m’assurer que l’outil d’IA que je teste ne biaise pas les entretiens d’embauche ?

Commencez par réaliser un test d’impact sur un petit échantillon de CV anonymisés, en comparant les résultats de l’IA avec ceux d’un comité de recrutement humain. Recherchez systématiquement les écarts liés à l’âge, au genre ou à l’origine. Si des disparités apparaissent, cessez l’utilisation et révisez les critères d’entrée ou le modèle lui‑même. Documentez chaque étape afin de pouvoir démontrer votre diligence en cas de contrôle.

Dois‑je déclarer l’utilisation d’un modèle de langage comme sous‑traitant auprès de la CNIL ?

Oui, dès lors que le modèle traite des données personnelles au nom de votre entreprise, il agit comme sous‑traitant. Vous devez donc inclure ce prestataire dans votre registre des activités de traitement, préciser la nature des données confiées, les mesures de sécurité mises en place et la durée de conservation. Une clause contractuelle spécifique doit garantir que le prestataire ne réutilise pas les données à d’autres fins.

Puis‑je automatiser l’envoi des convocations aux entretiens via Make sans risque juridique ?

Oui, l’automatisation de l’envoi de convocations relève d’une simple exécution de tâche administrative. Les données utilisées (nom, adresse e‑mail, date et heure) sont déjà présentes dans votre système de recrutement et sont nécessaires à l’exécution du contrat de travail. Tant que le flux ne modifie pas le contenu du message et que chaque convocatoire reste accessible à un vérificateur humain, cette pratique est conforme au RGPD.