IA en entreprise — Ce que dit le Code du travail en 2026

Quand on déploie de l'intelligence artificielle dans une entreprise française, on ne joue pas seulement sur le terrain du RGPD et de l'EU AI Act. Le Code du travail impose ses propres règles : information préalable des salariés, consultation du CSE, transparence des dispositifs de surveillance. Ces règles existaient bien avant l'IA mais s'y appliquent pleinement. Voici l'état du droit en 2026, illustré par la jurisprudence et les avis CNIL récents.

1. Pourquoi le Code du travail s'applique à l'IA

L'IA en entreprise touche très vite à des sujets que le législateur français a choisi de réguler depuis longtemps : la surveillance des salariés, l'évaluation de leur performance, la prise de décision les concernant (embauche, promotion, licenciement). Ces sujets sont encadrés par le Code du travail bien avant l'arrivée de l'IA générative, et le législateur n'a pas eu besoin d'une loi spéciale « IA » pour étendre la protection.

Le texte complet du Code du travail est consultable sur legifrance.gouv.fr — Code du travail. Les articles clés pour l'IA sont disséminés dans le livre II (relations individuelles) et le livre III (relations collectives). La CNIL apporte la lecture opérationnelle : ses guides sur la surveillance des salariés, accessibles sur cnil.fr — dispositifs de contrôle des salariés, sont la référence pratique.

2. Article L1222-4 — Information préalable obligatoire

L'Article L1222-4 du Code du travail est le pivot. Sa formulation : « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n'a pas été porté préalablement à sa connaissance. » C'est lapidaire mais puissant : un dispositif de surveillance ou de collecte d'informations sur le salarié n'est opposable que s'il lui a été annoncé avant son installation et son usage.

Appliqué à l'IA, ça veut dire :

• Si vous installez un outil qui analyse les emails des collaborateurs (filtres de productivité, analyse de sentiment des réponses clients), il faut les en informer avant la mise en service.
• Si vous déployez un copilote IA qui logue les prompts des salariés (Microsoft Copilot, ChatGPT Enterprise), il faut le dire et préciser ce qui est conservé, combien de temps, par qui ce sera consulté.
• Si votre call center utilise un outil IA d'analyse vocale (sentiment, qualité d'appel, scoring de performance), l'information préalable est obligatoire — sans préjudice de l'interdiction reconnaissance émotionnelle au travail par l'EU AI Act (Article 5).

L'information n'est pas une formalité : elle doit être claire, précise, accessible. Une mention enfouie dans un avenant au contrat de travail ou un email collectif générique ne suffit pas. La pratique recommandée : note de service formelle, affichage en interne, point en réunion d'équipe.

La Cour de cassation rappelle régulièrement la rigueur de cette obligation. La décision Cass. soc., 23 juin 2021, n° 19-13.856 a confirmé qu'un dispositif de géolocalisation non porté à la connaissance des salariés ne peut pas être invoqué pour justifier une sanction. Le principe vaut a fortiori pour les outils IA modernes.

3. Article L2312-38 — Consultation du CSE

L'Article L2312-38 du Code du travail impose la consultation du Comité Social et Économique (CSE) préalablement à la décision de mise en œuvre « dans l'entreprise, sur les moyens ou les techniques permettant un contrôle de l'activité des salariés ». L'IA tombe pleinement dans cette catégorie dès qu'elle permet de mesurer, comparer, scorer l'activité d'un collaborateur.

Pour les entreprises de moins de 11 salariés, il n'y a pas de CSE et cette obligation tombe. À partir de 11 salariés, le CSE est obligatoire et la consultation préalable s'impose. L'avis du CSE n'est pas contraignant juridiquement, mais l'absence de consultation peut entraîner :

• Le délit d'entrave (Article L2317-1, peine d'amende).
• La nullité du dispositif en cas de contentieux : un outil mis en place sans consultation peut être déclaré inopposable, et toute sanction reposant dessus annulée.
• Un climat social dégradé, ce qui est le risque le plus immédiat en pratique.

La consultation suppose une information préalable suffisante pour que les élus puissent rendre un avis éclairé : finalité du dispositif, données collectées, durée de conservation, accès, garanties techniques. Prévoyez de transmettre un dossier écrit au moins 15 jours avant la réunion.

4. Articles L1121-1 et L1132-1 — Proportionnalité et non-discrimination

L'Article L1121-1 du Code du travail prévoit que « nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché ». C'est le principe de proportionnalité, central en droit du travail français.

Concrètement pour l'IA : un dispositif qui collecte trop, surveille en permanence, mesure des indicateurs sans lien direct avec la performance attendue sera potentiellement disproportionné. Le test : pouvez-vous démontrer que la même finalité ne pouvait pas être atteinte par un moyen moins intrusif ?

L'Article L1132-1 du Code du travail interdit toute discrimination, notamment dans l'embauche et le déroulement de carrière. Les outils IA de tri de CV, de scoring de candidats, de recommandation de promotion sont en première ligne : un biais algorithmique discriminatoire (sur le genre, l'origine, l'âge) engage la responsabilité de l'employeur, même si l'outil vient d'un fournisseur tiers.

La Cour de cassation, dans l'arrêt Cass. soc., 14 juin 2023, n° 21-23.643, a rappelé que l'employeur reste responsable de l'effet discriminatoire d'un dispositif qu'il choisit de déployer. L'externalisation n'efface pas la responsabilité.

5. La doctrine CNIL sur la surveillance et l'IA

La CNIL a publié plusieurs documents qui complètent le Code du travail :

• Le guide Dispositifs de contrôle des salariés, régulièrement mis à jour, qui détaille les conditions de licéité de la vidéosurveillance, géolocalisation, contrôle des emails, biométrie.
• Le guide Le contrôle de l'utilisation d'internet et de la messagerie, qui fixe les limites de la surveillance numérique.
• Les fiches IA, qui posent les principes : information, base légale, minimisation, exercice des droits.

Quatre principes opérationnels CNIL particulièrement importants pour l'IA employeur :

1. Pas de surveillance permanente sans justification: un outil qui analyse en continu la frappe au clavier, la position devant l'écran, le temps de pause, est en général disproportionné.
2. Pas d'intrusion dans la vie privée: la lecture systématique des emails personnels est interdite ; les emails marqués « personnel » sont protégés par la jurisprudence Nikon (Cass. soc., 2 oct. 2001, n° 99-42.942).
3. Décision finale humaine: un licenciement, une non-embauche, un refus de promotion fondés exclusivement sur un score IA sont contestables au titre de l'Article 22 RGPD et du Code du travail. Il faut une appréciation humaine motivée.
4. Information et droits du salarié : accès à ses données, rectification, opposition. Ces droits doivent être effectifs, pas théoriques.

6. Articulation avec l'EU AI Act : les systèmes à haut risque RH

L'Annexe III du règlement (UE) 2024/1689 classe explicitement comme systèmes à haut risque les IA utilisées pour :

• Le recrutement, notamment le tri ciblé des candidatures.
• Les décisions affectant les conditions de la relation de travail, la promotion, la cessation des relations contractuelles.
• L'attribution des tâches sur la base de comportements individuels.
• Le suivi et l'évaluation des performances et du comportement des personnes dans ces relations.

Si vous déployez un ATS avec recommandation IA, un outil de people analytics, un système de scoring commercial qui détermine les commissions : vous êtes en haut risque AI Actà partir du 2 décembre 2027 (échéance reportée par le Digital Omnibus du 7 mai 2026 ; l'Article 50 sur la transparence, lui, reste applicable dès le 2 août 2026). Les obligations seront lourdes : analyse d'impact, supervision humaine effective, documentation technique, traçabilité.

La bonne nouvelle : si vous respectez déjà le Code du travail français (information, consultation CSE, proportionnalité, non-discrimination), vous avez déjà l'essentiel des garanties exigées par l'AI Act. La France part en avance sur ces sujets. Voir notre guide EU AI Act PME — Guide complet pour le tableau d'ensemble.

7. Jurisprudence 2024-2025 : ce que disent les juges

La jurisprudence française sur l'IA au travail commence à se constituer. Trois décisions à connaître :

Cass. soc., 23 juin 2021, n° 19-13.856 — Géolocalisation non annoncée

La Cour confirme qu'un dispositif de géolocalisation des véhicules dont les salariés n'ont pas été informés ne peut pas servir à justifier une sanction. Le principe vaut pour tout outil IA de tracking.

Cass. soc., 14 juin 2023, n° 21-23.643 — Biais discriminatoire et externalisation

L'employeur reste responsable de l'effet discriminatoire d'un outil même fourni par un tiers. Conséquence pratique : les contrats avec les fournisseurs IA doivent comporter des garanties de non-discrimination et permettre les audits.

Cass. soc., 25 nov. 2020, n° 17-19.523 — Preuve déloyale

Une preuve obtenue par un dispositif non déclaré n'est plus systématiquement écartée depuis l'Ass. plén. 22 déc. 2023 (n° 20-20.648), mais reste fragile. Le contentieux IA va probablement faire évoluer la doctrine dans les prochaines années.

8. Checklist déploiement IA RH — étape par étape

1. Étape 1: Cadrer le besoin (quelle finalité, quel périmètre, quels indicateurs ?). Documenter l'analyse de proportionnalité (Art L1121-1).
2. Étape 2 : Évaluer le niveau de risque AI Act (haut risque probable si RH).
3. Étape 3 : Mener une DPIA (voir DPIA agent IA).
4. Étape 4 : Compléter le registre des traitements (voir Registre IA).
5. Étape 5 : Préparer le dossier CSE (description, finalité, données, sous-traitants, garanties, durées).
6. Étape 6: Consulter le CSE (Art L2312-38), recueillir et documenter l'avis.
7. Étape 7 : Information préalable des salariés (Art L1222-4) par note de service formelle.
8. Étape 8: Mise en service avec dispositif d'exercice des droits opérationnel.
9. Étape 9 : Revue annuelle (efficacité du dispositif, incidents, plaintes éventuelles, ajustements).

9. Mon point de vue de fondateur

Quand je discute avec des dirigeants de PME qui veulent déployer de l'IA pour leurs équipes, je vois deux réflexes opposés. Le premier : tout passer en douce sans rien dire au CSE « pour ne pas créer de remous ». Mauvais calcul : à la première friction, les salariés découvrent le dispositif, le CSE saisit l'inspection du travail, et vous vous retrouvez avec un délit d'entrave qui se règle au tribunal. Le second : tout bloquer par peur du juridique. Pas mieux : vos concurrents avancent et vous restez à quai.

La voie médiane est très praticable : un cadrage propre, un dossier CSE clair, une note d'information aux salariés, et un dispositif proportionné. Ça prend deux semaines de préparation pour un déploiement qui tiendra dans le temps. C'est le coût d'une option d'assurance face à un risque sinon ingérable. Et c'est aussi un signal positif à vos équipes : l'IA arrive avec de la transparence, pas en cachette.

Pour les PME qui n'ont pas les ressources internes, Bpifrance et France Travail proposent des accompagnements sur la transformation IA des emplois. Voir bpifrance.fr — IA pour le volet financement et acculturation.

Questions fréquentes

Dois-je consulter le CSE si j'utilise simplement ChatGPT en interne ?

Si l'usage est libre (chaque salarié l'utilise comme il veut), pas forcément. Mais dès que vous structurez l'usage (déploiement Copilot, logging des prompts, scoring de productivité), la consultation devient obligatoire. Dans le doute, informer et consulter coûte peu et sécurise beaucoup.

Puis-je analyser les emails de mes salariés avec une IA ?

Pour les emails professionnels non marqués « personnel », oui, sous réserve d'information préalable, de consultation CSE, de proportionnalité, et d'une finalité légitime. Les emails marqués « personnel » sont protégés. L'analyse de masse à des fins de surveillance est presque systématiquement disproportionnée.

Un outil IA peut-il décider seul d'un licenciement ?

Non. L'Article 22 RGPD et le Code du travail imposent une décision humaine motivée pour les décisions à effet juridique ou significatif. L'IA peut préparer, scorer, recommander, mais la décision finale doit être prise par une personne identifiée capable de la justifier.

Quels sont les risques si je ne consulte pas le CSE ?

Délit d'entrave (Article L2317-1, amende), inopposabilité du dispositif en cas de contentieux, et dégradation du climat social. Le coût d'une consultation propre est minime ; le coût d'un défaut de consultation peut être très significatif.

Le télétravail change-t-il les obligations IA ?

Non sur le fond. Le télétravailleur bénéficie des mêmes protections que le salarié sur site. Attention : la surveillance des outils numériques est plus tentante en télétravail (logging activité, captures d'écran), mais la jurisprudence Cass. soc. 26 jan. 2022 confirme que la proportionnalité reste la règle.

Brouillon assisté par IA, revu et signé par Curtys ACCIPE, fondateur PilotCrew. Dernière revue : 23 mai 2026.