Le salarié RH qui utilise l'IA sans mandat : qui porte les obligations RGPD ? Par Marc Marie-Eugénie Monteil.
L’usage individuel et non encadré d’outils d’IA générative par des salariés RH, comme la copie de CV dans ChatGPT pour accélérer un recrutement, soulève une question juridique majeure : qui assume les obligations RGPD dans une configuration où l’employeur en ignore l’existence ? Cette pratique, anodine en apparence, crée une dissociation entre la finalité du traitement (recrutement pour l’entreprise) et le moyen choisi (un outil personnel non validé), exposant l’employeur à une responsabilité impossible à démontrer.
Quels sont les trois acteurs impliqués dans ce type de traitement de données, et pourquoi leur coexistence pose-t-elle problème ?
Le traitement implique le candidat (dont les données sont utilisées), le SaaS de recrutement (l’outil professionnel officiel) et le compte d’IA générative personnel connecté par le salarié. Cette architecture n’est pas prévue par le droit, car l’employeur, responsable du traitement, ignore que ses données transitent vers un outil tiers non contractualisé, ce qui rend impossible le respect des principes RGPD comme la minimisation ou la licéité, et complique la démonstration de conformité en cas de contrôle.
Pourquoi l’employeur reste-t-il responsable du traitement malgré l’initiative individuelle du salarié ?
Le RGPD considère que le salarié agit sous l’autorité de l’employeur tant qu’il traite les données dans le cadre de sa mission professionnelle. L’employeur est donc responsable de la finalité du traitement (le recrutement), même si le moyen (l’outil d’IA personnel) lui échappe. Cette dissociation crée une situation paradoxale où l’employeur doit répondre de la conformité d’un traitement qu’il n’a ni choisi ni identifié, rendant la preuve de sa légalité quasi impossible.
Comment un candidat peut-il découvrir qu’un employeur a utilisé une IA personnelle pour traiter sa candidature, et quels sont ses recours ?
Le candidat peut exercer son droit d’accès RGPD pour obtenir des explications sur le traitement de ses données. Cette démarche révèle parfois l’usage d’une IA personnelle par un salarié, que l’employeur ignorait. Si le traitement est contesté, l’employeur doit prouver sa légalité, mais la Cour de justice de l’Union européenne exige des explications concrètes, pas seulement des données brutes, ce qui rend la défense difficile.
Quelles conséquences juridiques une entreprise encourt-elle si elle découvre tardivement un tel usage d’IA par un salarié ?
La découverte d’un usage non encadré d’IA par un salarié peut entraîner une obligation de consultation du CSE si l’entreprise décide d’encadrer l’outil a posteriori, comme l’a jugé la Cour d’appel de Paris en 2026. Même si l’usage initial était individuel, l’introduction formelle de l’outil par l’entreprise génère de nouvelles obligations, notamment en matière de consultation des représentants du personnel, indépendamment de l’origine de l’initiative.
Ce que ça pourrait changer
Cette situation pourrait pousser les entreprises à renforcer leur contrôle sur les outils utilisés par leurs salariés, au-delà des dispositifs professionnels officiels, sous peine de se retrouver responsables de traitements non maîtrisés. Elle met aussi en lumière l’importance du droit d’accès RGPD comme outil de révélation des pratiques internes, et souligne la nécessité pour les employeurs de documenter systématiquement les usages d’IA, même informels, pour éviter des sanctions liées à l’ignorance. À terme, une jurisprudence plus précise sur la responsabilité des employeurs dans ces cas pourrait émerger, avec des conséquences sur les politiques de conformité en matière de recrutement algorithmique.
