Oui, Votre Employeur Peut Lire Vos Prompts IA. Le Vrai Flou, C'est Qui Possède les Journaux
Les outils d'IA d'entreprise arrivent avec la journalisation activée par défaut, et le RGPD autorise largement les employeurs à regarder. Ce qu'aucune loi, aucun contrat ni aucun régulateur n'a tranché, c'est ce qu'ils peuvent faire d'un enregistrement de la manière dont leurs salariés raisonnent.
Votre employeur peut-il surveiller vos prompts IA au travail ? Sur un poste professionnel, partez du principe que oui. La documentation de Microsoft sur les journaux d'audit couvrant Copilot et les applications d'IA indique que chaque interaction génère automatiquement une entrée : qui a formulé la requête, quand, dans quelle application, et quels fichiers l'assistant a mobilisés pour construire sa réponse. Les engagements de confidentialité entreprise d'OpenAI placent quant à eux les administrateurs de l'espace de travail aux commandes de l'accès et de la conservation des données. Les organisations paient l'offre entreprise en partie pour cette visibilité, qui ne nécessite aucun réglage supplémentaire.
La question intéressante se situe un cran plus bas. Le droit du travail et le droit des données personnelles ont passé vingt-cinq ans à définir dans quelles conditions un employeur peut vous observer. Ils commencent à peine à se pencher sur ce qu'il peut faire d'un enregistrement, lisible par une machine, de votre façon de raisonner. C'est dans cet écart entre une visibilité déjà actée et une propriété encore floue que se loge désormais le risque, pour l'employeur comme pour le salarié.
Que permet réellement le droit en matière de surveillance ?
La surveillance au travail est licite dès lors qu'elle est menée ouvertement et de façon proportionnée. C'est le principe que pose le RGPD, et que le régulateur britannique a détaillé de façon particulièrement opérationnelle : dans ses lignes directrices sur la surveillance des salariés publiées en octobre 2023, l'ICO rappelle que l'employeur doit disposer d'une base légale, informer les salariés de la nature, de l'ampleur et des raisons de toute surveillance, réaliser une analyse d'impact lorsque celle-ci présente un risque élevé, et ne recourir à la surveillance dissimulée que dans des circonstances exceptionnelles. Le principe de finalité et de proportionnalité posé par le RGPD, et rappelé en France par la CNIL, revient exactement au même. Rien de tout cela n'interdit la journalisation des prompts ; l'effet est de la placer au grand jour et de la rendre justiciable.
La jurisprudence européenne va dans le même sens, et elle s'applique directement en France. Dans l'arrêt Bărbulescu contre Roumanie, la Grande Chambre de la Cour européenne des droits de l'homme a jugé qu'un employeur ayant consulté les messages d'un salarié sans préavis suffisant avait violé son droit au respect de la vie privée, et a fixé les critères qui rendent une surveillance défendable : information préalable, périmètre limité, motifs légitimes, examen de moyens moins intrusifs. Lu attentivement, l'arrêt ressemble moins à un bouclier contre la surveillance qu'à un mode d'emploi pour la rendre licite. Un employeur qui impose un assistant IA, annonce la journalisation dans sa charte informatique et la cantonne aux comptes professionnels franchit généralement la barre, qu'il s'agisse d'une scale-up de la French Tech ou d'un grand groupe du CAC 40.
À qui appartient un enregistrement de votre façon de penser ?
Visibilité et propriété sont deux questions juridiques distinctes, et c'est sur la seconde que le droit patine. Commençons par l'argument le plus solide côté employeur : le droit d'auteur. Outre-Manche, où la question a déjà été tranchée noir sur blanc, la section 11(2) du Copyright, Designs and Patents Act 1988 attribue à l'employeur toute œuvre créée par un salarié dans l'exercice de ses fonctions, sauf clause contraire. Un prompt soigneusement rédigé est plausiblement une œuvre littéraire, et un usage imposé par la hiérarchie relève sans ambiguïté de l'exercice des fonctions ; la section 39 du Patents Act 1977 fait de même pour les inventions. En France, le principe est proche pour les logiciels créés par un salarié dans l'exercice de ses missions, où le droit revient par défaut à l'employeur. Si l'analyse s'arrêtait là, l'employeur emporterait tout.
Elle ne s'arrête pas là, parce qu'un journal de prompts est deux choses à la fois. C'est un corpus de production professionnelle, et c'est aussi une donnée personnelle concernant le salarié : un enregistrement horodaté de la façon dont une personne identifiée raisonne, structure un problème et corrige ses erreurs. Or toute donnée personnelle est soumise au principe de limitation des finalités que pose l'article 5 du RGPD : collectée pour des finalités déterminées et explicites, elle ne peut être traitée ultérieurement d'une manière incompatible avec celles-ci. Une organisation qui annonce journaliser l'usage de l'assistant pour des raisons de sécurité et de qualité, puis exploite discrètement ces journaux pour entraîner un système reproduisant le jugement d'un expert, ou pour justifier une requalification de poste, poursuit une nouvelle finalité. Sous le RGPD comme sous le contrôle de la CNIL, elle devrait établir la compatibilité de ce nouvel usage ou revenir vers ses salariés en toute transparence avant de s'y engager. La réutilisation silencieuse est précisément ce que le principe de finalité vise à empêcher.
Reste l'angle mort de la consultation. En France, le comité social et économique dispose en principe d'un droit de regard sur l'introduction d'outils susceptibles d'affecter les conditions de travail des salariés, ce qui devrait, en théorie, couvrir un assistant IA journalisé. En pratique, ce droit se heurte à la présentation même de l'outil : un déploiement vendu comme un simple gain de productivité, sans mention explicite d'une fonction de surveillance, échappe souvent à cette qualification et donc au débat en instance. Outre-Manche, le vide est plus net encore : les Information and Consultation of Employees Regulations 2004 ne s'appliquent qu'aux entreprises d'au moins cinquante salariés, et seulement après une demande formelle qui déclenche la procédure. Des deux côtés de la Manche, la plupart des contrats de travail, rédigés à une époque où la production professionnelle désignait des documents et des inventions, ne disent rien de la télémétrie comportementale. L'actif s'accumule quand même, régi par des clauses écrites pour une autre décennie.
Pourquoi la question de la réutilisation ne restera pas théorique
L'incitation est déjà sur la table. Mark Zuckerberg a attribué les suppressions de postes prévues chez Meta à la hausse des dépenses d'investissement dans l'IA, décrivant les infrastructures de calcul et les effectifs comme les deux principaux postes de coûts de l'entreprise, à la même période où Meta annonçait publiquement un investissement de plus de 600 milliards de dollars aux États-Unis d'ici 2028 dans les technologies et infrastructures d'IA. C'est l'arithmétique d'une seule entreprise, énoncée par son propre directeur général, mais elle devrait recalibrer la lecture de l'arbitrage pour tout le monde. Lorsque main-d'œuvre et infrastructure IA se disputent la même ligne budgétaire, tout jeu de données qui rend l'expertise transférable des salariés vers le logiciel acquiert une valeur, qu'un contrat l'ait nommée ou non. Les journaux de prompts sont ce jeu de données.
Régler la question sur le papier avant le contentieux
La réponse pratique diffère selon le poste occupé. Les directions doivent traiter les journaux de prompts comme un actif assorti de passifs : trancher la question de la propriété, de la conservation et des usages secondaires autorisés de façon délibérée, l'inscrire dans une politique écrite, et situer la décision là où elle appartient, aux côtés de la stratégie technique plutôt qu'enfouie dans les paramètres du client. C'est l'argument que nous développons dans l'IA au service d'un contrôle humain réel : la couche de gouvernance compte davantage que l'outil qu'elle encadre. Les salariés, eux, ont intérêt à lire la charte informatique, puis à demander par écrit ce qui est journalisé, combien de temps c'est conservé, et si ces journaux peuvent servir à l'entraînement de systèmes ou à la refonte de postes. Au regard des exigences de transparence du RGPD, ces questions méritent une réponse, et un employeur incapable d'en fournir une vous dit déjà beaucoup sur le retard de sa gouvernance par rapport à ses outils.
Questions fréquentes
Un employeur peut-il voir les prompts ChatGPT de ses salariés ?
Sur un espace de travail entreprise, partez du principe que oui. La documentation entreprise d'OpenAI place les administrateurs aux commandes de l'accès et de la conservation, et les produits comparables inscrivent par défaut chaque interaction dans le journal d'audit de l'organisation. Même sur un compte personnel, l'activité menée sur un poste ou un réseau professionnel reste souvent visible via la surveillance classique des terminaux et du réseau. Considérez comme observable tout ce que vous tapez sur un système professionnel.
À qui appartiennent les prompts IA rédigés par un salarié ?
Le droit d'auteur sur une œuvre créée dans l'exercice des fonctions revient par défaut à l'employeur, un principe posé noir sur blanc outre-Manche par la section 11(2) du Copyright, Designs and Patents Act 1988, et que l'on retrouve, pour les logiciels, en droit français. Les prompts eux-mêmes constituent donc généralement une production professionnelle. Le journal qui vous concerne, lui, est différent : c'est une donnée personnelle, et le RGPD limite sa réutilisation à des finalités incompatibles avec celles annoncées au départ. Vérifiez les clauses de propriété intellectuelle et de surveillance de votre contrat, et demandez par écrit la politique de conservation et de réutilisation.
Un employeur peut-il utiliser mes journaux de conversation avec l'IA pour m'évaluer ou entraîner un système ?
Seulement dans les limites posées par le droit des données personnelles. Le principe de limitation des finalités signifie qu'un journal collecté pour un motif donné, la sécurité par exemple, ne peut être discrètement redirigé vers un usage incompatible, et les lignes directrices de l'ICO comme la doctrine de la CNIL imposent à l'employeur d'informer les salariés de la nature, de l'ampleur et des raisons de toute surveillance. Un employeur qui souhaite utiliser ces journaux pour l'entraînement d'un système ou la refonte d'un poste devrait le dire ouvertement, et vous êtes en droit de lui demander par écrit si c'est le cas.
À lire aussi
- Déqualification par l'IA : le risque de réversibilité que votre conseil n'a pas chiffré
- Thérapie par IA : le bon calcul est un plancher, pas un plafond
- L'oligopole de la mémoire qui fait grimper la facture de l'IA
- AI & Automation
Rédigé par un persona éditorial IA du système éditorial propriétaire d'Abyshire et relu par notre équipe.