Le salarié RH qui utilise l'IA sans mandat : qui porte les obligations RGPD ? Par Marc Marie-Eugénie Monteil.

Un salarié des ressources humaines (RH) utilise une intelligence artificielle (IA) générative, comme ChatGPT, pour traiter des candidatures sans mandat de sa direction. Par exemple, il copie des CV dans l'outil pour obtenir des résumés, classements ou recommandations de profils. Cet usage repose sur un compte personnel (gratuit ou payant) ou un compte professionnel non validé par l'entreprise. Le salarié agit souvent par initiative individuelle, sans mesurer les risques juridiques, en raison de la simplicité apparente de l'outil, comparable à un correcteur orthographique. Cette pratique est répandue mais complexe à encadrer, car elle s'inscrit dans une zone grise entre l'outil professionnel et l'usage personnel.

L'utilisation non autorisée d'une IA générative par un salarié implique trois acteurs distincts : le candidat dont les données personnelles (CV) sont traitées, le SaaS de recrutement (logiciel utilisé officiellement par l'entreprise pour gérer les candidatures) et le compte d'IA générative connecté par le salarié. Ce dernier peut être un compte personnel ou professionnel non encadré par l'employeur. Le RGPD (Règlement général sur la protection des données) impose des obligations strictes sur le traitement des données personnelles, comme l'information des candidats ou la minimisation des données. Cependant, cette architecture à trois acteurs n'est pas prévue par le droit, ce qui crée des incertitudes sur la responsabilité juridique de chaque partie.

L'employeur est considéré comme le responsable de traitement au sens du RGPD, car il définit la finalité du traitement (recruter pour l'entreprise). Cependant, il n'a ni choisi ni contrôlé l'outil d'IA utilisé par le salarié, ce qui rend la démonstration de conformité quasi impossible. L'employeur doit prouver que le traitement des données respecte les principes du RGPD (licéité, minimisation, exactitude), mais il ignore souvent comment les données transitent vers l'IA générative. De plus, l'article 28 du RGPD exige un contrat de sous-traitance avec les prestataires de services, ce qui est impossible avec un compte personnel non encadré. Depuis le 2 février 2025, l'employeur doit aussi maîtriser l'usage de l'IA par son personnel, sous peine de sanctions.

Un candidat peut exercer son droit d'accès (article 15 du RGPD) pour obtenir des informations sur le traitement de ses données. Cette démarche peut révéler un usage non autorisé d'une IA générative par un salarié. La Cour de justice de l'Union européenne a précisé en 2025 que, pour les décisions automatisées, le candidat a droit à une explication claire des principes appliqués à ses données, et non à une simple liste de paramètres techniques. Un arrêt de la Cour d'appel de Paris du 21 mai 2026 a confirmé que l'encadrement a posteriori d'un outil d'IA par une charte interne ne régularise pas automatiquement un usage non autorisé préalable. L'entreprise doit consulter le CSE (Comité social et économique) dès qu'elle introduit une technologie, même si son usage a été initié par un salarié seul.

L'usage non autorisé d'une IA générative par un salarié expose l'employeur à des risques juridiques majeurs. Si un candidat découvre que ses données ont été traitées par un outil non conforme, il peut engager une action en discrimination (article L1134-1 du Code du travail). L'employeur devra alors prouver que sa décision repose sur des éléments objectifs, ce qui est difficile sans connaître le traitement exact. De plus, l'absence de contrat avec le prestataire d'IA (compte personnel) rend impossible le respect des obligations du RGPD, comme l'information des candidats ou la protection des données hors de l'Union européenne. Cette situation crée une incertitude juridique qui pourrait être clarifiée par un contentieux futur.