Shadow AI en entreprise : ce que risque le salarié qui utilise ChatGPT sans autorisation, ce que peut faire l'employeur

Par Maître Arnaud Sirven, avocat fondateur d’Auron Avocat, Barreau de Paris Mis à jour le 7 septembre 2026

À retenir Le shadow AI désigne l’usage d’une intelligence artificielle générative par un salarié en dehors de tout cadre défini par l’entreprise, sur un compte personnel ou sur un compte professionnel dont personne n’a fixé les règles. Un compte fourni par l’employeur reste un espace de travail administré : l’employeur peut en principe consulter ce qui s’y trouve, mais seulement si la restriction est justifiée et proportionnée, si le salarié a été informé au préalable et si le comité social et économique a été consulté sur le dispositif de contrôle. La difficulté propre aux conversations avec une IA est qu’aucune fonction ne permet au salarié de les marquer comme personnelles, alors que la jurisprudence fait précisément dépendre sa protection de ce marquage. Le salarié qui verse des données confidentielles dans un compte non approuvé s’expose à une sanction disciplinaire, et l’employeur qui exploite une conversation à des fins probatoires sans respecter les conditions du droit à la preuve voit son licenciement fragilisé. Le réflexe utile, des deux côtés, est de faire adopter une charte IA opposable avant qu’un litige ne survienne, et non après.

Les salariés utilisent déjà l’intelligence artificielle générative. Pas dans le cadre d’un projet piloté par la direction des systèmes d’information, pas après une formation, pas au titre d’un abonnement recensé : sur un onglet ouvert à côté du logiciel métier, pour reformuler un courriel difficile, résumer un rapport de quarante pages, préparer une note ou trouver l’angle d’une présentation. C’est ce que l’on appelle le shadow AI, par analogie avec le shadow IT, cette informatique parallèle que les entreprises ont mis dix ans à cartographier.

La question juridique n’attend pas que les entreprises soient prêtes. Un salarié a-t-il le droit d’utiliser ChatGPT au travail ? L’employeur peut-il lire ce qu’il y a écrit ? Peut-il s’en servir pour le sanctionner ? À qui appartiennent les prompts, et le texte qui en sort ? Et que se passe-t-il quand un collaborateur, pour gagner une heure, colle dans une fenêtre de conversation le contrat qu’il est en train de négocier ?

Aucune décision française ne tranche encore spécifiquement la consultation d’un historique de conversation avec une IA. Cela ne signifie pas que le sujet soit hors du droit. Il se trouve à l’intersection de trois corps de règles déjà solidement construits : le contrôle de l’activité des salariés, la protection des données personnelles et la propriété intellectuelle. Cet article expose ce que ces règles permettent d’affirmer aujourd’hui, ce qu’elles ne permettent pas encore, et où se situent les points de fragilité pour chacune des deux parties.

Le shadow AI, ou l’intelligence artificielle qui entre par la porte de service

Le shadow AI est l’usage d’un outil d’IA générative sans cadre défini par l’entreprise, que le compte soit personnel ou fourni par l’employeur. Le phénomène n’est pas une fraude, et c’est ce qui le rend difficile à traiter : dans la plupart des cas, le salarié cherche simplement à faire son travail plus vite. Il ne se cache pas, il ne demande pas.

Les usages du shadow AI se répartissent en trois situations très différentes, que la même expression dissimule. La première est celle du salarié qui utilise son compte personnel pour traiter des sujets professionnels. La deuxième est celle du salarié qui dispose d’un compte professionnel administré par l’entreprise et qui s’en sert aussi pour des recherches personnelles. La troisième est celle de l’entreprise qui a déployé un outil sans écrire la moindre règle sur ce que l’on peut y mettre, qui peut y accéder et pendant combien de temps les échanges sont conservés.

Trois questions à ne pas confondre

L’erreur la plus fréquente consiste à traiter comme une seule question ce qui en constitue trois. Ce qu’un outil rend matériellement possible, ce que le droit autorise, et ce que l’on peut revendiquer sur le résultat obéissent à des logiques séparées, et se règlent séparément.

Qu’une console d’administration permette d’exporter les échanges d’un utilisateur ne signifie pas qu’un responsable hiérarchique puisse les lire librement. Qu’une entreprise paie l’abonnement ne signifie pas qu’elle détienne les droits sur tout ce qui a été produit. Et qu’un salarié ait rédigé un prompt de sa main ne signifie pas qu’il puisse revendiquer une œuvre.

En clair : pouvoir techniquement, avoir le droit et être propriétaire sont trois choses différentes. Une entreprise qui confond les trois prend un risque, et un salarié qui les confond aussi.

Pourquoi l’usage personnel change tout

L’usage personnel d’un outil professionnel est traditionnellement toléré, et cette tolérance est précisément ce qui rend le sujet délicat. Une recherche personnelle sur un moteur de recherche laisse une trace pauvre : une liste de mots-clés. Une conversation prolongée avec une IA générative laisse une trace d’une autre nature. Elle peut contenir l’état de santé d’un proche, la préparation d’un entretien de recrutement chez un concurrent, le brouillon d’une lettre à un avocat ou le récit de difficultés personnelles.

C’est pourquoi le sujet ne peut pas être réglé par la seule affirmation selon laquelle un compte professionnel est professionnel. Le contenu d’un échange avec une IA touche fréquemment à l’intimité de la vie privée, et cette intimité est protégée jusque dans l’entreprise.

Un compte IA fourni par l’entreprise n’est pas un carnet personnel

Un compte d’IA générative mis à disposition par l’employeur est un outil de travail, soumis à son pouvoir de direction et de contrôle. L’employeur peut contrôler le bon usage des outils qu’il finance, veiller à la sécurité de ses systèmes, réagir lorsqu’un incident affecte ses données et maintenir l’activité en cas d’absence. Cela relève de son pouvoir normal d’organisation.

Ce pouvoir n’est pas illimité, et le Code du travail en fixe deux bornes que tout dispositif de contrôle doit franchir.

La double condition : justification et information préalable

Toute restriction aux droits et libertés du salarié doit être justifiée par la nature de la tâche à accomplir et proportionnée au but recherché, en application de l’article L. 1121-1 du Code du travail. C’est la règle générale, et elle s’applique à un accès aux conversations comme à une caméra ou à une géolocalisation.

S’y ajoute l’article L. 1222-4, aux termes duquel aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. Cette exigence est décisive en pratique : une entreprise qui découvre, à l’occasion d’un audit, que ses administrateurs peuvent exporter l’intégralité des échanges de chaque collaborateur, et qui ne l’a jamais dit à personne, se trouve dans une situation où la preuve tirée de cet export sera contestée.

Enfin, selon les caractéristiques du dispositif, le comité social et économique doit être informé et consulté préalablement à la mise en œuvre des moyens de contrôle de l’activité des salariés, en application de l’article L. 2312-38 du Code du travail.

Exemple : Julien travaille dans un cabinet de conseil qui a souscrit un abonnement d’entreprise à un outil d’IA générative. Aucune note interne n’a été diffusée, aucun point n’a été mis à l’ordre du jour du comité social et économique, et la fonction d’export des conversations a été activée par défaut lors du paramétrage. Six mois plus tard, la direction exporte les échanges de Julien parce qu’elle le soupçonne de préparer son départ. Le contenu est peut-être accablant. Il n’en reste pas moins que le dispositif n’a jamais été porté à sa connaissance, et que la consultation du comité n’a pas eu lieu.

Ce que l’arrêt Nikon a fixé, et ce qu’il n’a pas prévu

Depuis 2001, le salarié a droit, même au temps et au lieu de travail, au respect de l’intimité de sa vie privée, ce qui implique en particulier le secret de ses correspondances (Cass. soc., 2 oct. 2001, n° 99-42.942). C’est l’arrêt Nikon, et il structure encore aujourd’hui l’ensemble du contentieux du contrôle des outils numériques. La Cour européenne des droits de l’homme a retenu une logique voisine s’agissant de la surveillance des communications électroniques d’un salarié (CEDH, 12 janv. 2016, n° 61496/08, Barbulescu c/ Roumanie).

Cette jurisprudence a été construite pour des correspondances, c’est-à-dire pour des échanges adressés à une personne déterminée. Or une conversation avec une IA générative n’est pas adressée à une personne : elle est adressée à un service automatisé. C’est la première objection sérieuse que rencontre toute transposition, et il faut l’énoncer clairement plutôt que de faire comme si elle n’existait pas.

L’objection a une portée réelle, mais elle est plus limitée qu’il n’y paraît. Le secret des correspondances n’est qu’un des fondements de la protection du salarié. Restent le respect de la vie privée, la protection des données personnelles et l’exigence de proportionnalité, qui ne supposent aucun destinataire humain. Un employeur qui voudrait tirer de l’absence de correspondance un droit d’accès général se heurterait à ces trois fondements.

Ce que la jurisprudence des fichiers et de la messagerie permet de transposer

La jurisprudence sur les fichiers informatiques et la messagerie professionnelle fournit la grille la plus proche de notre sujet : elle repose sur une présomption, assortie d’une exception que le salarié doit déclencher lui-même.

La présomption de caractère professionnel

Les fichiers créés par un salarié à l’aide de l’outil informatique mis à sa disposition par l’employeur sont présumés avoir un caractère professionnel, de sorte que l’employeur peut y accéder hors sa présence (Cass. soc., 18 oct. 2006, n° 04-48.025 ; Cass. soc., 21 oct. 2009, n° 07-43.877). La même logique a été appliquée à une clé USB connectée à l’outil professionnel (Cass. soc., 12 févr. 2013, n° 11-28.649) et aux messages écrits envoyés ou reçus par le salarié au moyen du téléphone mis à sa disposition (Cass. com., 10 févr. 2015, n° 13-14.779).

Appliquée à un espace de conversation fourni par l’entreprise, cette présomption conduit à un résultat simple : le contenu est présumé professionnel, et l’employeur peut en principe le consulter, sous réserve des conditions de justification et d’information examinées plus haut.

L’exception, et le geste qu’elle exige du salarié

L’exception joue lorsque le salarié a identifié le fichier ou le message comme étant personnel (Cass. soc., 17 mai 2005, n° 03-40.017 ; Cass. soc., 17 juin 2009, n° 08-40.274 ; Cass. soc., 9 oct. 2024, n° 23-14.465). Encore faut-il que l’identification soit explicite, et la Cour de cassation s’est montrée exigeante sur ce point.

Un dossier intitulé « mes documents » ne suffit pas à conférer un caractère personnel aux fichiers qu’il contient (Cass. soc., 10 mai 2012, n° 11-13.884), pas davantage qu’un dossier portant le prénom ou les initiales du salarié (Cass. soc., 21 oct. 2009, n° 07-43.877). Et renommer le disque dur entier « données personnelles » ne confère pas ce caractère à l’intégralité des données qu’il contient (Cass. soc., 4 juill. 2012, n° 11-12.502). Ce que la jurisprudence reconnaît, c’est la mention « personnel » ou « confidentiel » portée clairement sur le message ou le document lui-même (Cass. ch. mixte, 18 mai 2007, n° 05-40.803).

Un point mérite d’être relevé au bénéfice du salarié : lorsqu’un contenu est identifié comme personnel, l’employeur ne peut pas le consulter, et il importe peu que l’utilisation non professionnelle de l’outil ait été expressément interdite (Cass. soc., 2 oct. 2001, n° 99-42.942 ; Cass. soc., 12 oct. 2004, n° 02-40.392). L’interdiction d’usage personnel figurant dans un règlement intérieur ne fait donc pas tomber la protection.

Sur les messageries, la distinction est nette entre l’outil professionnel et l’outil personnel. Les messages d’une messagerie personnelle, distincte de la messagerie professionnelle, échappent au pouvoir de contrôle de l’employeur (Cass. soc., 26 janv. 2016, n° 14-15.360), et il en va de même d’une messagerie instantanée personnelle (Cass. soc., 23 oct. 2019, n° 17-28.448).

En clair : la protection du salarié ne lui est pas accordée d’office. Elle suppose qu’il ait pris la peine de dire, d’une manière ou d’une autre, que tel contenu était privé. C’est un geste que le droit attend de lui.

La faille propre aux conversations avec une IA

Aucun outil d’IA générative ne propose aujourd’hui l’équivalent d’un dossier « personnel » visible par l’administrateur. C’est le point de rupture entre la jurisprudence existante et la réalité technique du sujet, et c’est probablement le plus important de cet article.

Dans une messagerie, le salarié peut écrire « personnel » dans l’objet. Dans une arborescence de fichiers, il peut nommer un dossier. Dans un espace de conversation administré, il n’a ni objet, ni dossier, ni étiquette : il n’a qu’un fil, indistinct des autres, dans une liste chronologique. Le geste que la jurisprudence attend de lui est matériellement impossible.

Cette lacune ne fait pas disparaître sa protection, qui repose aussi sur la vie privée et la protection des données. Mais elle le place dans une situation probatoire nettement plus fragile : il devra démontrer le caractère personnel d’un échange sans pouvoir invoquer le marquage que le juge a l’habitude de rechercher. La conséquence pratique est directe. Un salarié qui tient à la confidentialité d’une recherche véritablement personnelle ne devrait pas la conduire dans un espace administré par son employeur.

Utiliser une conversation comme preuve d’une faute

Une conversation avec une IA peut théoriquement servir de preuve d’une faute, mais l’employeur qui l’exploite doit franchir les conditions posées par la jurisprudence récente sur la preuve, faute de quoi son licenciement sera fragilisé.

La révolution probatoire de décembre 2023 et ses conditions

Depuis l’assemblée plénière du 22 décembre 2023, une preuve obtenue de manière déloyale n’est plus nécessairement écartée du débat : le juge doit apprécier si son utilisation porte atteinte au caractère équitable de la procédure et la mettre en balance avec les droits antinomiques en présence (Cass. ass. plén., 22 déc. 2023, n° 20-20.648). Le même jour, la Cour s’est prononcée sur l’exploitation d’une conversation privée à l’appui d’un licenciement (Cass. ass. plén., 22 déc. 2023, n° 21-11.330).

Cette ouverture est très souvent mal comprise. Elle n’autorise pas l’employeur à produire n’importe quoi. Encore faut-il qu’il invoque expressément le droit à la preuve, qu’il démontre le caractère indispensable de la production et l’absence de moyen moins attentatoire aux droits du salarié (Cass. soc., 8 mars 2023, n° 20-21.848, n° 21-17.802 et n° 21-20.798). À défaut, la preuve est écartée sans que le juge procède à la moindre mise en balance (Cass. soc., 17 janv. 2024, n° 22-17.474 ; Cass. soc., 14 févr. 2024, n° 22-23.073).

En clair : l’employeur qui produit un historique de conversation sans expliquer pourquoi il ne pouvait pas faire autrement perd deux fois. Il perd la preuve, et il donne au salarié un argument supplémentaire.

Trois pièges pour l’employeur

Le détournement de finalité est le premier. Un dispositif déployé pour une finalité déterminée ne peut pas être utilisé pour une autre, et la Cour de cassation a écarté la preuve tirée d’un système de badgeage utilisé à des fins étrangères à celles annoncées (Cass. soc., 8 oct. 2014, n° 13-14.991). Un outil d’IA déployé pour améliorer la productivité, puis exploité pour surveiller les opinions ou l’implication d’un collaborateur, appelle la même analyse.

Le second est la production d’éléments relevant de la vie privée. La production en justice de courriels personnels du salarié emporte à elle seule la nullité du licenciement (Cass. soc., 25 sept. 2024, n° 23-11.860). Une conversation contenant des éléments intimes, versée sans précaution au dossier prud’homal, expose l’employeur à ce risque.

Le troisième est le coût autonome de l’atteinte. La seule atteinte à la vie privée ouvre droit à réparation, sans que le salarié ait à démontrer un préjudice (Cass. soc., 12 nov. 2020, n° 19-20.583). Une entreprise peut donc gagner sur le licenciement et payer néanmoins pour la manière dont elle a collecté ses éléments.

Ce que le salarié peut opposer

Le droit à la preuve de l’employeur sur l’ordinateur du salarié et sur ses outils numériques n’est pas un droit d’accès sans condition, et le salarié dispose d’une chaîne de contestation ordonnée qu’il est utile de connaître dans l’ordre où elle se déploie. Il peut invoquer le défaut d’information préalable sur le dispositif au titre de l’article L. 1222-4, le défaut de consultation du comité social et économique au titre de l’article L. 2312-38, le détournement de la finalité annoncée, la disproportion du contrôle, et enfin la réparation de l’atteinte portée à sa vie privée.

Cette chaîne ne conduit pas systématiquement au succès, en particulier depuis l’infléchissement de 2023. Elle conserve toute son efficacité lorsque l’employeur a négligé les formalités préalables, ce qui est fréquent sur des outils déployés vite.

Le revers : ce que le salarié fait courir à l’entreprise

Le shadow AI présente un risque symétrique, souvent plus lourd financièrement que le premier : celui du salarié qui verse dans un compte non approuvé des informations que l’entreprise avait intérêt à protéger.

Coller un document confidentiel dans une fenêtre de conversation

Verser un document confidentiel dans un outil non approuvé constitue potentiellement un manquement à l’obligation de confidentialité et à l’obligation de loyauté, indépendamment de toute intention de nuire. Un contrat en cours de négociation, un fichier clients, un code source, une donnée de santé ou un élément couvert par le secret des affaires ne perd pas sa nature parce qu’il a été copié dans une interface commode.

La qualification disciplinaire des faits suppose alors de vérifier les paramètres habituels : la prescription de deux mois des faits fautifs, la proportionnalité de la sanction aux faits reprochés, la précision des motifs et le respect des étapes de la procédure. Une entreprise qui découvre ce type d’usage six mois après devra soigner le point de départ du délai.

Exemple : Claire, responsable des ressources humaines, colle dans un outil d’IA grand public la liste des salariés concernés par un projet de réorganisation, afin d’obtenir une aide à la rédaction. Le document contient des noms, des rémunérations et des appréciations. Le geste a pris trois secondes et il fait sortir du périmètre de l’entreprise un traitement de données particulièrement sensible. La faute n’est pas dans l’usage de l’outil, elle est dans le contenu transmis.

Confidentialité ChatGPT : ce que l’entreprise ne maîtrise pas

La confidentialité des données ChatGPT, comme celle de tout autre service d’IA générative, dépend du contrat souscrit et non d’une promesse générale. Une offre grand public, une offre professionnelle et une offre d’entreprise administrée ne comportent pas les mêmes garanties en matière de conservation, de réutilisation des contenus soumis et d’accès des administrateurs.

Cette différence est capitale et elle est presque toujours ignorée du salarié qui ouvre un onglet. Sur le plan juridique, l’entreprise reste responsable du traitement des données personnelles qu’elle laisse partir vers un service qu’elle n’a pas homologué, et elle ne peut opposer à personne le fait qu’un collaborateur a agi de sa propre initiative.

Quand le départ du salarié transforme le sujet

Le passage d’informations de l’entreprise vers un compte personnel prend une dimension différente lorsqu’il précède un départ. La captation de données de clientèle a été retenue comme constitutive d’un comportement déloyal sur le terrain de la concurrence déloyale (Cass. com., 6 avr. 2022, n° 21-11.434). Un constat effectué sur la messagerie électronique personnelle d’un ancien salarié a par ailleurs donné lieu à un contentieux spécifique sur les conditions d’une telle mesure (Cass. 1re civ., 20 sept. 2017, n° 16-13.082).

L’articulation est ici délicate, et elle constitue l’un des terrains sur lesquels Auron Avocat intervient régulièrement : la même opération matérielle, à savoir la copie d’un fichier dans un espace extérieur, se lit à la fois comme un manquement contractuel, comme une éventuelle atteinte au secret des affaires et comme un fait de concurrence déloyale susceptible d’engager le nouvel employeur.

La règle pratique, dans les deux sens

La règle utile est double, et elle tient en deux phrases. Ce qui relève de l’intime n’a pas sa place sur un outil que l’entreprise administre. Ce qui appartient à l’entreprise n’a pas sa place sur un service qu’elle n’a pas validé.

Cette symétrie est le meilleur résumé possible du sujet. Le salarié qui l’observe se protège, et l’employeur qui la fait connaître se protège aussi.

Prompts, résultats, créations : qui peut revendiquer quoi

La propriété du contenu produit avec une IA générative ne se déduit ni de l’accès à l’outil ni du paiement de l’abonnement, et elle s’analyse élément par élément.

Les idées et les thèmes de recherche

En matière de droit d’auteur, l’IA générative ne change rien à un principe ancien : les idées circulent librement et la protection ne les saisit pas. Interroger une IA sur un marché, une méthode ou un angle de travail ne crée donc aucun monopole sur le sujet exploré, quelle que soit la finesse de la question posée.

D’autres protections peuvent néanmoins intervenir sur le même objet : le secret des affaires, une obligation contractuelle de confidentialité, un brevet ou la concurrence déloyale. L’absence de droit d’auteur ne signifie pas l’absence de tout droit.

Les prompts

Un prompt purement fonctionnel a peu de chances d’être protégé, faute d’originalité. La protection par le droit d’auteur suppose que l’œuvre porte l’empreinte de la personnalité de son auteur, personne physique, et une instruction du type « résume ce document » ne la porte pas.

Il en va autrement d’une consigne développée, architecturée, portant des partis pris de rédaction personnels, ou d’un ensemble d’instructions patiemment constitué et enchaîné, qui relève alors du savoir-faire et possède une valeur économique propre. Encore faut-il démontrer l’originalité de la contribution humaine, ce qui suppose de conserver les éléments de preuve du travail créatif accompli.

Les résultats générés

Un texte sorti tel quel de la machine ne trouve pas nécessairement d’abri dans le droit d’auteur, lequel suppose une personne physique et une création originale. Appuyer sur un bouton ne fait pas naître de droit sur le texte affiché à l’écran.

Un résultat repris en profondeur par le salarié peut en revanche porter une contribution humaine protégeable. Ce qui compte alors, c’est le tri opéré entre les propositions, l’ordre qui leur est donné, les passages récrits, le ton imposé, l’assemblage avec des éléments venus d’ailleurs. La qualité d’auteur se cherche dans la maîtrise effective du processus, non dans le déclenchement de la génération.

Le piège des conditions générales de l’éditeur

Les conditions générales de l’outil utilisé peuvent attribuer à l’éditeur des droits sur les contenus générés, ce qui est le point le plus souvent négligé de tout le débat. La société éditrice peut ainsi se prévaloir de droits sur ces contenus et s’opposer, le cas échéant, à un dépôt sur le fondement de l’article L. 711-3 du Code de la propriété intellectuelle.

La vérification des conditions générales est donc un préalable à toute revendication de titularité, côté employeur comme côté salarié. Une entreprise qui croit détenir des droits parce qu’elle paie l’abonnement peut découvrir que la stipulation contractuelle dit autre chose.

Ce que le contrat de travail transfère, et ce qu’il ne transfère pas

Le contrat de travail n’emporte pas, à lui seul, cession des droits d’auteur du salarié sur ses créations. Deux règles verrouillent le mécanisme : la prohibition de la cession globale des œuvres futures, posée par l’article L. 131-1 du Code de la propriété intellectuelle, et l’exigence d’une mention distincte de chacun des droits cédés, posée par l’article L. 131-3. Ce sont deux grilles de contrôle directement utilisables pour attaquer une clause de cession rédigée trop largement.

Une clause prévoyant la cession des droits au fur et à mesure de leur réalisation a en revanche été validée, de même qu’une rémunération forfaitaire ne distinguant pas la prestation de travail de la contrepartie de la cession (CA Paris, pôle 5, ch. 1, 25 janv. 2023, n° 19/15256).

Des régimes spéciaux jouent par ailleurs au bénéfice de l’entreprise. Pour les logiciels créés par un salarié dans l’exercice de ses fonctions ou d’après les instructions de l’employeur, les droits patrimoniaux sont dévolus à ce dernier en application de l’article L. 113-9 du Code de la propriété intellectuelle. La question reste entière, en revanche, pour le logiciel conçu hors des fonctions, hypothèse loin d’être théorique lorsqu’un salarié développe un projet personnel avec l’aide d’une IA.

En matière d’inventions, l’article L. 611-7 du même code distingue l’invention de mission, qui appartient à l’employeur, et l’invention hors mission attribuable, sur laquelle il dispose d’un droit d’attribution lorsqu’elle se situe dans le domaine d’activité de l’entreprise ou procède de techniques ou de données qu’elle a procurées. Deux points méritent l’attention du salarié : l’obligation de déclarer immédiatement toute invention à l’employeur s’impose quelle que soit la catégorie, son inobservation ayant été jugée fautive, et la rémunération supplémentaire due au titre d’une invention de mission est d’ordre public.

La qualité d’inventeur reste humaine

Une IA ne peut pas être désignée comme inventeur dans une demande de brevet, position retenue par plusieurs offices et juridictions à l’occasion des affaires Thaler relatives au système Dabus (OEB, chambre de recours juridique, 21 déc. 2021, J 8/20 et J 9/20 ; Cour suprême du Royaume-Uni, 20 déc. 2023). Une IA, dépourvue de personnalité juridique, ne peut pas davantage être titulaire d’une marque ou d’un dessin et modèle.

Une décision allemande a toutefois admis qu’une contribution humaine ayant influencé de manière significative le résultat suffisait à satisfaire l’exigence (Bundesgerichtshof, 11 juin 2024, X ZB 5/22). C’est la même idée que celle qui gouverne le droit d’auteur : ce n’est pas l’outil qui crée, c’est la personne qui l’a effectivement dirigé.

La charte IA : ce qui la rend opposable, ce qui la rend inutile

Une charte IA n’a d’intérêt que si elle est opposable, et son opposabilité dépend entièrement de la manière dont elle a été adoptée. C’est le point où le plus grand nombre d’entreprises se trompe, en croyant qu’un document diffusé par courriel suffit à créer une règle sanctionnable.

Charte informatique, charte IA, note de service

Une charte d’utilisation des outils numériques peut être annexée au règlement intérieur, et l’usage de l’intelligence artificielle et des outils informatiques figure désormais parmi les clauses sensibles qu’un règlement intérieur peut légitimement encadrer. Le rattachement au règlement intérieur a une conséquence directe : il permet d’assortir les prescriptions de sanctions disciplinaires.

Ce rattachement impose en retour de respecter un ordre de formalités impératif. Le comité social et économique doit être consulté avant la communication du texte à l’inspecteur du travail, et les formalités de dépôt et de publicité doivent être accomplies. Le défaut de consultation ou une publicité insuffisante entraînent l’inopposabilité du texte, ce qui vide la sanction de son fondement.

Une charte peut encadrer l’usage, dans des limites précises

Le règlement intérieur, ou une charte informatique annexée et adoptée selon la procédure de l’article L. 1321-5 du Code du travail, peut réglementer l’utilisation de l’intelligence artificielle, et cette charte est alors opposable aux salariés. L’employeur peut choisir de prohiber l’usage de l’IA à des fins professionnelles, d’exclure nominativement certains outils, notamment les services gratuits, ou de n’autoriser qu’une IA internalisée.

Deux limites encadrent cette liberté. D’abord, aucune clause ne peut apporter aux droits des personnes et aux libertés individuelles des restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché (C. trav., art. L. 1321-3). Ensuite, s’agissant des outils informatiques, le règlement intérieur peut strictement limiter l’usage personnel, mais non l’interdire totalement. Une prohibition générale de l’IA au temps et au lieu de travail est d’ailleurs discutée en doctrine, précisément sous l’angle du but poursuivi et de la proportionnalité de la mesure.

À l’inverse, un document dépourvu de caractère contraignant ne fonde aucune sanction. De simples lignes de conduite relatives à l’usage des réseaux sociaux, qui ne se présentaient ni comme un règlement intérieur ni comme une note de service, ont été jugées inopposables au salarié (Cass. soc., 20 sept. 2023, n° 21-18.593). Une charte IA rédigée comme un guide de bonnes pratiques, sans valeur normative et sans procédure d’adoption, produira le même résultat : elle ne servira à rien le jour où il faudra sanctionner.

En clair : une charte utilisation IA n’est pas un document de communication interne. C’est soit une norme adoptée dans les formes, opposable et sanctionnable, soit un texte décoratif. Il n’y a pas d’intermédiaire.

Ce qu’une charte doit trancher

Une charte IA d’entreprise utile règle par avance les questions qui font naître les litiges, et non celles qui sont faciles. Peu importe qu’elle soit intitulée charte éthique IA, charte utilisation IA en entreprise ou charte numérique : ce sont son contenu et son mode d’adoption qui déterminent sa portée. Interdire la transmission de données confidentielles est nécessaire, mais très insuffisant. Il faut également décider quels services et quels comptes sont autorisés, si un usage personnel est toléré et dans quelles limites, s’il existe un accès administrateur aux échanges et pour quelles finalités, quelles personnes sont habilitées à en user, dans quelles circonstances une consultation peut être déclenchée, combien de temps les prompts et les réponses sont conservés, et ce qu’il advient de l’historique au départ du salarié.

La transparence est ici l’exigence centrale, et elle rejoint l’article L. 1222-4 : aucun salarié ne devrait découvrir après coup que ses échanges pouvaient être exportés par l’organisation. La rédaction d’un modèle de charte IA et son articulation avec le règlement intérieur existant relèvent d’un travail de rédaction juridique sur mesure, que nous conduisons dossier par dossier plutôt qu’à partir d’un formulaire type.

RGPD, règlement IA et l’arrêt Nikon qui manque encore

L’usage d’une IA générative sur un compte identifiant le salarié constitue un traitement de données à caractère personnel, ce qui déclenche l’application du RGPD indépendamment de toute question de droit du travail.

Les obligations que le RGPD ajoute

La consultation d’échanges rattachés à un utilisateur identifiable suppose une finalité déterminée, une base légale, une information transparente, une minimisation des données collectées, une durée de conservation limitée et une restriction des accès aux seules personnes qui en ont réellement besoin. Ces exigences résultent notamment des articles 5 et 6 du RGPD, l’article 88 renvoyant par ailleurs aux droits nationaux le soin d’encadrer les traitements dans le cadre des relations de travail.

Deux conséquences pratiques en découlent. Une surveillance systématique de toutes les conversations, sans objectif précis ni information des salariés, serait très difficile à justifier. Un accès ciblé, déclenché par une alerte de sécurité, une enquête interne ou une obligation réglementaire, transparent et proportionné, se défend beaucoup mieux.

Le salarié dispose de son côté d’un droit d’accès aux données personnelles le concernant, au titre de l’article 15 du RGPD, sans que ce droit équivaille à un droit de propriété sur les documents de l’entreprise et sous réserve des droits des tiers, du secret des affaires et de la confidentialité d’une enquête en cours. Ce mécanisme fait l’objet d’un traitement détaillé dans notre guide consacré au droit d’accès RGPD.

Une décision récente donne à ce droit une portée considérable dans notre contexte. La Cour de cassation a jugé que les courriels émis ou reçus par le salarié grâce à sa messagerie électronique professionnelle constituent des données à caractère personnel au sens de l’article 4 du RGPD, de sorte que le salarié a le droit d’y accéder, y compris après la rupture de son contrat de travail et notamment pour établir une preuve devant le juge prud’homal. L’employeur doit alors lui fournir tant les métadonnées, horodatage et destinataires, que le contenu, sauf si les éléments demandés sont de nature à porter atteinte aux droits et libertés d’autrui (Cass. soc., 18 juin 2025, n° 23-19.022).

Le raisonnement paraît transposable à un historique de conversation rattaché à un compte nominatif. Si tel est le cas, la relation s’inverse : l’espace que l’employeur administre devient aussi celui auquel le salarié peut réclamer l’accès, y compris pour se constituer une preuve contre lui.

Le règlement européen sur l’intelligence artificielle

Le règlement (UE) 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle comporte des obligations de transparence et des exigences propres à certains systèmes, notamment à ses articles 3, 50 et 53. Ce texte s’ajoute au RGPD sans le remplacer.

Ses conditions d’application dans le temps et les obligations exactes pesant sur un employeur utilisateur évoluent rapidement, et les sources sur lesquelles repose cet article ne permettent pas d’en dresser un état arrêté à ce jour. Ce point mérite une vérification actualisée avant toute décision de déploiement.

Les questions que la Cour de cassation devra trancher

Aucune décision ne dit encore comment qualifier un espace de conversation avec une IA, et c’est ce vide qui explique l’essentiel des incertitudes exposées ici. Un même fil de discussion tient du carnet de requêtes, du traitement de texte, du répertoire de pièces jointes, de l’atelier de production et, certains jours, de la confidence. Aucune des catégories forgées par la jurisprudence ne l’épouse.

Plusieurs points appellent une réponse. Le premier tient à la qualification : échanger avec un service automatisé, est-ce correspondre au sens où l’entend l’arrêt Nikon ? Le deuxième tient à la preuve : que doit faire le salarié pour établir qu’un fil relevait de sa sphère privée, quand rien dans l’outil ne le lui permet ? Le troisième tient à l’usage disciplinaire du contenu ainsi obtenu. Le quatrième tient à la mesure : jusqu’où une exportation massive reste-t-elle proportionnée ?

Dans l’attente, un principe permet de raisonner sans se tromper trop lourdement : le compte fourni par l’entreprise demeure un outil de travail qu’elle administre, sans que cette qualité n’y suspende la vie privée du salarié ni les droits qu’il tire du RGPD. Savoir si la console d’administration permet la lecture ne règle donc rien. La vraie question est celle des conditions, du motif et des précautions qui rendent cette lecture défendable devant un juge.

Récapitulatif

Pour l’employeur qui veut sécuriser l’usage de l’IA générative :

• Recenser les outils réellement utilisés avant d’écrire la moindre règle, le shadow AI étant par définition invisible dans les licences officielles.
• Faire adopter la charte IA dans les formes du règlement intérieur, consultation du comité social et économique avant transmission à l’inspecteur du travail, puis dépôt et publicité.
• Informer expressément les salariés de l’existence, des finalités et des modalités d’un éventuel accès administrateur aux conversations, conformément à l’article L. 1222-4.
• Réserver la consultation à des circonstances définies et documenter la raison pour laquelle aucun moyen moins attentatoire n’était disponible.
• Ne jamais verser au dossier prud’homal un échange contenant des éléments relevant de la vie privée.

Pour le salarié qui utilise déjà ces outils :

• Ne conduire aucune recherche véritablement personnelle sur un compte fourni par l’entreprise, faute de pouvoir en marquer le caractère privé.
• Ne coller aucune donnée confidentielle de l’entreprise dans un compte personnel non approuvé.
• Déclarer immédiatement toute invention, quelle que soit la catégorie dans laquelle elle paraît entrer.
• Conserver les éléments démontrant le travail créatif accompli sur les résultats retravaillés, si une revendication de titularité est envisagée.
• Vérifier les conditions générales de l’outil avant de revendiquer un droit sur une production.

FAQ : les questions les plus fréquentes sur l’usage de l’IA au travail

Peut-on utiliser ChatGPT au travail ?

Oui, sauf si l’employeur l’a valablement interdit ou encadré. Le pouvoir de direction lui permet de restreindre l’usage des outils de communication mis à disposition, à condition que la restriction soit justifiée et proportionnée et qu’elle figure dans un texte opposable. En l’absence de règle interne, l’usage n’est pas fautif en lui-même, mais le contenu transmis peut l’être, notamment s’il porte sur des informations confidentielles.

Comment utiliser ChatGPT au travail sans se mettre en faute ?

En séparant strictement les sphères. Utilisez le compte fourni par l’entreprise pour les seuls sujets professionnels, ne versez aucune donnée confidentielle dans un compte personnel non approuvé, et ne conduisez aucune recherche véritablement privée sur un espace administré par votre employeur. Ces trois réflexes couvrent la quasi-totalité des situations à risque.

Comment utiliser l’intelligence artificielle au travail quand aucune règle n’existe dans l’entreprise ?

En raisonnant comme si la règle existait. L’absence de charte ne fait disparaître ni l’obligation de loyauté, ni l’obligation de confidentialité, ni la protection du secret des affaires. Un salarié sanctionné pour avoir transmis un document confidentiel à un outil externe ne pourra pas utilement se retrancher derrière le silence de l’entreprise sur le sujet.

L’employeur peut-il interdire ChatGPT ?

Oui, dans le cadre de son pouvoir de direction, mais pas sans limite. Le règlement intérieur, ou une charte informatique annexée, peut prohiber l’usage de l’IA à des fins professionnelles, exclure nominativement certains outils ou n’autoriser qu’une IA internalisée. La restriction doit rester justifiée par la nature des tâches et proportionnée (C. trav., art. L. 1321-3), et une interdiction totale est précisément discutée sur ce terrain. S’agissant des outils informatiques, l’usage personnel peut être strictement limité, non totalement interdit.

Peut-on interdire ChatGPT en entreprise par une simple note interne ?

Non, si l’objectif est de pouvoir sanctionner. Un document dépourvu de caractère contraignant est inopposable au salarié, comme l’a jugé la Cour de cassation à propos de lignes de conduite relatives aux réseaux sociaux (Cass. soc., 20 sept. 2023, n° 21-18.593). Pour être sanctionnable, l’interdiction doit passer par le règlement intérieur ou une charte annexée, avec la consultation et la publicité requises.

L’employeur peut-il consulter l’ordinateur professionnel du salarié ?

Oui, en principe, et même hors sa présence. Les fichiers créés avec l’outil informatique mis à disposition par l’employeur sont présumés professionnels (Cass. soc., 18 oct. 2006, n° 04-48.025). L’exception concerne les fichiers que le salarié a expressément identifiés comme personnels, la jurisprudence exigeant un marquage explicite : « mes documents » ne suffit pas (Cass. soc., 10 mai 2012, n° 11-13.884).

L’employeur peut-il lire mes conversations avec ChatGPT ?

Sur un compte fourni par l’entreprise, il peut en principe y accéder, mais à trois conditions cumulatives. La restriction doit être justifiée et proportionnée au regard de l’article L. 1121-1, le dispositif de contrôle doit avoir été porté préalablement à votre connaissance au titre de l’article L. 1222-4, et le comité social et économique doit avoir été consulté selon les caractéristiques du dispositif. Un accès non annoncé fragilise durablement toute exploitation ultérieure.

Que risque un salarié qui a collé des documents confidentiels dans ChatGPT ?

Une sanction disciplinaire pouvant aller jusqu’au licenciement, selon la sensibilité des informations et les circonstances. Le manquement s’analyse sur le terrain de la confidentialité et de la loyauté, indépendamment de toute intention de nuire. L’employeur reste tenu par la prescription de deux mois des faits fautifs et par l’exigence de proportionnalité de la sanction aux faits reprochés.

Une charte éthique interne s’applique-t-elle aux cadres ?

Oui, dès lors qu’elle a été adoptée dans les formes et qu’elle est opposable, sans que le statut de cadre y change quoi que ce soit. La question déterminante n’est pas la catégorie professionnelle du destinataire mais la valeur normative du texte : une charte annexée au règlement intérieur s’applique à l’ensemble du personnel, un simple guide de bonnes pratiques ne s’applique disciplinairement à personne.

Faut-il consulter le comité social et économique avant de déployer une IA ?

Oui, lorsque l’outil comporte un dispositif permettant de contrôler l’activité des salariés. L’article L. 2312-38 du Code du travail impose l’information et la consultation préalables du comité sur les moyens de contrôle de l’activité. L’omission de cette formalité constitue l’un des premiers arguments soulevés en défense pour écarter une preuve issue du dispositif.

Les prompts que j’écris m’appartiennent-ils ?

Rarement, s’agissant du droit d’auteur. Un prompt purement fonctionnel n’est pas original et n’est donc pas protégé. Une instruction longue, structurée et personnelle, ou une bibliothèque de prompts élaborée, peut en revanche constituer un savoir-faire ayant une valeur économique, protégeable par d’autres voies que le droit d’auteur, notamment le secret des affaires et la confidentialité contractuelle.

Un texte écrit par une intelligence artificielle est-il protégé par le droit d’auteur ?

Pas en lui-même. La protection suppose une création originale portant l’empreinte de la personnalité d’un auteur personne physique, ce qu’une production entièrement générée par une machine ne présente pas. Un résultat substantiellement retravaillé peut en revanche porter une contribution humaine protégeable, à charge pour celui qui l’invoque de démontrer le travail créatif réellement accompli.

Mon employeur détient-il les droits sur ce que je produis avec l’IA parce qu’il paie l’abonnement ?

Non, le paiement de l’abonnement ne transfère aucun droit de propriété intellectuelle. Il constitue en revanche un indice du caractère professionnel de l’usage. Le contrat de travail n’emporte pas cession globale des droits, la cession des œuvres futures étant prohibée par l’article L. 131-1 du Code de la propriété intellectuelle, sous réserve des régimes spéciaux comme celui des logiciels créés dans l’exercice des fonctions.

Que devient l’historique de mes conversations quand je quitte l’entreprise ?

Cela dépend de ce que l’entreprise a prévu, et le plus souvent elle n’a rien prévu. Le salarié conserve toutefois un droit d’accès à ses données : la Cour de cassation a jugé que les courriels de la messagerie professionnelle sont des données personnelles auxquelles il peut accéder, y compris après la rupture de son contrat, métadonnées et contenu compris, sauf atteinte aux droits d’autrui (Cass. soc., 18 juin 2025, n° 23-19.022). Trois questions méritent d’être anticipées : ce que le salarié peut récupérer, la durée de conservation, et qui peut consulter après la désactivation du compte.

Vous avez des questions sur l’usage de l’intelligence artificielle dans votre entreprise ?

Le shadow AI place les deux parties dans une situation inconfortable. L’employeur découvre souvent l’ampleur des usages au moment où un incident survient, à un stade où les formalités préalables n’ont pas été accomplies et où sa capacité à sanctionner est déjà entamée. Le salarié, de son côté, ignore fréquemment que ses échanges les plus personnels se trouvent dans un espace que son employeur administre.

Auron Avocat vous accompagne pour rédiger et faire adopter une charte utilisation IA opposable, articuler ce document avec votre règlement intérieur et votre charte informatique, sécuriser un accès aux conversations dans le cadre d’une enquête interne, apprécier la licéité d’une preuve issue d’un outil numérique, et traiter les questions de titularité et de confidentialité qui se posent au départ d’un collaborateur.

La prescription des faits fautifs étant de deux mois, et les délais de contestation en matière prud’homale étant courts, il est préférable de faire analyser la situation sans attendre.

Contactez Auron Avocat pour une consultation personnalisée.