IA de surveillance au travail : ce que l'AI Act interdit vraiment.
Depuis le 2 février 2025, analyser les émotions des salariés est interdit. Mais la surveillance de la productivité reste une zone grise. Quels outils sont concernés ? Quels risques pour les employeurs ?
Ce que l'AI Act interdit depuis le 2 février 2025
L'Article 5 de l'AI Act interdit explicitement l'inférence des émotions sur le lieu de travail. Une mesure entrée en vigueur il y a plus d'un an, mais dont les contours restent flous pour beaucoup d'entreprises.
L'Article 5(1)(f) du règlement européen interdit la mise sur le marché, la mise en service ou l'utilisation de systèmes d'IA conçus pour inférer les émotions d'une personne physique dans le contexte professionnel. Cette interdiction couvre plusieurs pratiques :
- Analyse des micro-expressions faciales via caméra ou vidéo.
- Détection du stress ou de la fatigue par reconnaissance vocale.
- Évaluation de l'engagement en réunion via l'intonation ou les mouvements oculaires.
- Tout outil utilisant des capteurs biométriques pour déduire un état émotionnel.
Les exceptions sont rares et strictement encadrées. Elles concernent principalement les usages médicaux ou de sécurité, comme la détection de la somnolence chez les conducteurs professionnels. Pour le reste, l'interdiction est absolue.
Outils du marché : qui est concerné par l'interdiction ?
Plusieurs outils populaires intègrent des fonctionnalités d'analyse émotionnelle. Leur statut sous l'AI Act est désormais critique pour les employeurs.
Voici une liste non exhaustive d'outils concernés par l'interdiction de l'Article 5 :
Les fournisseurs de ces outils ont jusqu'au 2 novembre 2026 pour se conformer aux obligations de transparence de l'Article 50, mais l'interdiction de l'Article 5 s'applique déjà. Les employeurs utilisant ces solutions s'exposent à des sanctions pouvant atteindre 35 millions d'euros ou 7% de leur chiffre d'affaires mondial.
La zone grise de la surveillance de la productivité
L'AI Act n'interdit pas la surveillance de la productivité, mais elle peut devenir haut risque selon les modalités. Explications.
Les outils de surveillance de la productivité ne sont pas interdits par l'Article 5, mais ils peuvent être classés comme haut risque s'ils entrent dans le champ de l'Annexe III. Cette annexe couvre notamment :
- Les systèmes d'IA utilisés pour la gestion du travail et l'accès à l'emploi (point 4 de l'Annexe III).
- Les outils créant des profils comportementaux des salariés.
- Les solutions évaluant la performance de manière automatisée.
Voici quelques outils du marché et leur statut potentiel sous l'AI Act :
Pour ces outils, la classification dépend de l'usage concret. Un suivi basique du temps passé sur une tâche peut rester à faible risque, tandis qu'une évaluation automatisée de la performance devient haut risque. Les employeurs doivent documenter leurs usages et évaluer les risques au cas par cas.
RGPD : le deuxième cadre à respecter pour la surveillance des salariés
L'AI Act ne remplace pas le RGPD. Les employeurs doivent respecter les deux réglementations, sous peine de sanctions cumulées.
La surveillance des salariés est déjà encadrée par le RGPD, notamment via :
- Le principe de minimisation des données (Article 5(1)(c)).
- Le droit à l'information des salariés (Articles 13 et 14).
- L'obligation de réaliser une analyse d'impact (PIA) pour les traitements à haut risque (Article 35).
- La consultation obligatoire des représentants du personnel (CSE) pour les dispositifs de surveillance (Article L. 2312-38 du Code du travail).
La CNIL a publié des recommandations spécifiques sur la surveillance des salariés en télétravail. Elle rappelle que les outils de surveillance doivent être proportionnés et transparents. Par exemple :
- Les captures d'écran aléatoires sont autorisées si elles sont justifiées et limitées.
- Le suivi en temps réel de l'activité clavier/souris est considéré comme intrusif et doit être évité.
- Les salariés doivent être informés des dispositifs de surveillance et de leurs finalités.
L'arrêt Barbulescu II de la CJUE (2017) a déjà posé des limites strictes à la surveillance des communications des salariés. L'AI Act renforce ce cadre en interdisant certaines pratiques et en classant d'autres comme haut risque.
Comment se mettre en conformité avec l'AI Act et le RGPD ?
Les employeurs doivent agir sur plusieurs fronts pour éviter les sanctions et protéger les droits de leurs salariés.
Voici une checklist pour se mettre en conformité :
- Auditer les outils utilisés : Identifier tous les outils d'IA utilisés pour la surveillance ou l'évaluation des salariés. Vérifier s'ils entrent dans le champ de l'Article 5 ou de l'Annexe III de l'AI Act.
- Classer les systèmes d'IA : Pour chaque outil, déterminer s'il est interdit, à haut risque, ou à faible risque. Documenter cette classification.
- Respecter les obligations RGPD : Informer les salariés des dispositifs de surveillance, réaliser une analyse d'impact si nécessaire, et consulter le CSE.
- Adapter les usages : Désactiver les fonctionnalités interdites (analyse émotionnelle) et limiter les usages haut risque aux cas strictement nécessaires.
- Former les équipes : Sensibiliser les managers et les RH aux limites légales de la surveillance. Former les salariés à leurs droits.
- Documenter la conformité : Tenir un registre des traitements d'IA, conserver les preuves de conformité, et préparer les réponses en cas de contrôle.
Les employeurs peuvent s'appuyer sur les lignes directrices de l'AI Office et les recommandations de la CNIL pour guider leur démarche. En cas de doute, un diagnostic de conformité permet d'identifier les risques spécifiques à une organisation.
Votre entreprise utilise-t-elle des outils d'IA pour la surveillance ?
Identifiez vos obligations AI Act et RGPD en 3 minutes avec notre diagnostic gratuit.
Questions fréquentes
Réponses aux interrogations les plus courantes sur l'IA de surveillance au travail et l'AI Act.
L'inférence des émotions consiste à utiliser des systèmes d'IA pour déduire l'état émotionnel d'un salarié à partir de données biométriques ou comportementales. Cela inclut l'analyse des expressions faciales, de l'intonation vocale, des mouvements oculaires, ou d'autres signaux physiologiques. Par exemple, un outil qui évalue le niveau de stress d'un employé en analysant sa voix pendant une réunion utilise l'inférence des émotions.
L'interdiction repose sur plusieurs principes fondamentaux. D'abord, l'inférence des émotions porte atteinte au droit à la vie privée et à la dignité des salariés. Ensuite, ces technologies sont souvent peu fiables et peuvent conduire à des discriminations ou des évaluations biaisées. Enfin, l'Europe considère que le lieu de travail ne doit pas devenir un espace de surveillance intrusive, où les émotions des salariés sont constamment analysées et utilisées pour prendre des décisions les concernant.
Les sanctions pour usage d'un système interdit par l'Article 5 de l'AI Act peuvent atteindre 35 millions d'euros ou 7% du chiffre d'affaires mondial de l'entreprise, selon le montant le plus élevé. En plus des amendes, l'entreprise s'expose à des risques réputationnels importants, ainsi qu'à des actions en justice de la part des salariés ou des syndicats. Enfin, les outils non conformes peuvent être retirés du marché, entraînant des perturbations opérationnelles.
Non, les outils de surveillance de la productivité ne sont pas interdits par l'Article 5 de l'AI Act, sauf s'ils intègrent des fonctionnalités d'inférence des émotions. Cependant, selon les modalités d'utilisation, ces outils peuvent être classés comme haut risque au titre de l'Annexe III. Par exemple, un outil qui évalue automatiquement la performance des salariés et influence les décisions RH (promotions, licenciements) sera probablement considéré comme haut risque et soumis à des obligations strictes.
Le RGPD impose plusieurs obligations aux employeurs qui surveillent leurs salariés. D'abord, ils doivent informer les salariés des dispositifs de surveillance et de leurs finalités. Ensuite, ils doivent respecter le principe de minimisation des données, en limitant la collecte aux informations strictement nécessaires. Une analyse d'impact (PIA) est obligatoire pour les traitements à haut risque. Enfin, les représentants du personnel (CSE) doivent être consultés avant la mise en place de tout dispositif de surveillance.