Conversations avec ChatGPT et Claude au travail : quels droits pour l'employeur et le salarié ? Par Chaouki Gaddada, Avocat.

Un compte d’entreprise pour des outils comme ChatGPT ou Claude n’est pas un simple abonnement individuel. Il s’agit d’un espace de travail administré par l’organisation, avec des fonctionnalités de gestion des utilisateurs, de conservation des données, d’audit ou d’export. Selon les offres (ChatGPT Business, Claude Team, etc.), l’entreprise peut accéder aux prompts, fichiers et réponses générées. Par exemple, OpenAI indique que l’administrateur peut exporter, auditer ou supprimer les données associées au compte. L’étendue de cet accès varie selon le produit souscrit et les règles internes de l’entreprise. Une entreprise ne peut donc pas prétendre avoir un accès illimité sans tenir compte des fonctionnalités activées et des contrats souscrits.

Le fait que l’entreprise puisse techniquement accéder à une conversation ne signifie pas qu’elle a le droit de le faire. En droit français, l’employeur dispose d’un pouvoir de direction et de contrôle, mais ce pouvoir est encadré par le Code du travail (articles L1121-1 et L1222-4). Par exemple, toute restriction aux droits des salariés doit être justifiée par la tâche à accomplir et proportionnée. De plus, si les conversations contiennent des données personnelles, l’employeur doit respecter le RGPD (règlement général sur la protection des données), qui impose des principes comme la transparence, la minimisation des données et la limitation de la durée de conservation. Un accès systématique sans justification claire serait donc illégal.

Les conversations avec une intelligence artificielle ne sont pas clairement assimilables à des correspondances au sens juridique, comme le sont les emails. Cependant, elles peuvent contenir des éléments relevant de la vie privée (santé, opinions, projets personnels). La Cour de cassation a rappelé dans l’arrêt Nikon (2 octobre 2001) que le salarié a droit au respect de sa vie privée, même au travail. L’employeur peut consulter les éléments professionnels, mais doit respecter la proportionnalité et la transparence. Une difficulté supplémentaire réside dans l’absence de mécanisme clair pour identifier une conversation comme « personnelle » dans les outils d’IA, ce qui fragilise la protection juridique du salarié.

Un usage personnel raisonnable des outils professionnels est généralement toléré, mais il est risqué avec les outils d’IA. Une requête anodine peut révéler des informations sensibles, comme des projets personnels ou des données médicales. Dans un compte Enterprise, ces éléments restent associés à l’identité professionnelle du salarié et peuvent être accessibles lors d’un audit. L’article souligne que le salarié ne doit pas considérer un compte professionnel d’IA comme un espace confidentiel. À l’inverse, utiliser un compte personnel pour des données professionnelles peut exposer l’entreprise à des risques de fuite ou de non-conformité au secret des affaires.

La question de l’accès aux conversations ne doit pas être confondue avec celle de la propriété intellectuelle. Une entreprise peut consulter une conversation sans en détenir automatiquement les droits d’auteur. Les prompts (instructions données à l’IA) peuvent être protégés s’ils reflètent une création originale et humaine, mais un prompt fonctionnel comme « résume ce document » ne l’est généralement pas. Les réponses générées par l’IA ne sont pas automatiquement protégées, car elles reposent sur une machine. Cependant, si le salarié retravaille ces réponses (sélection, réécriture, organisation), sa contribution peut être protégée. Le contrat de travail ne transfère pas automatiquement ces droits à l’employeur.

En droit français, le contrat de travail ne transfère pas automatiquement les droits d’auteur du salarié à l’employeur. Une cession valable doit être précise et identifier les droits transmis. Certaines exceptions existent, comme pour les logiciels créés dans le cadre des fonctions du salarié. Dans le contexte de l’IA, plusieurs critères doivent être examinés : la création correspond-elle aux fonctions du salarié ? A-t-elle été réalisée à la demande de l’employeur ? Le contrat prévoit-il une clause de cession ? Le simple paiement de l’abonnement ne suffit pas à transférer les droits. À l’inverse, un résultat réalisé avec les ressources de l’entreprise ne peut être revendiqué comme une création personnelle.

Un salarié peut exercer son droit d’accès aux données personnelles le concernant, conformément au RGPD. Ce droit permet de connaître les catégories de données conservées, leurs finalités et leurs destinataires. Cependant, ce droit peut être limité par le secret des affaires, la confidentialité d’une enquête ou les droits des tiers. Par exemple, un salarié peut demander à consulter les conversations associées à son identité, mais l’employeur n’est pas obligé de lui fournir une copie si cela porte atteinte à d’autres droits. Ce droit est particulièrement important au moment du départ du salarié, pour clarifier ce qui peut être récupéré ou conservé.

L’article recommande aux entreprises d’élaborer une charte d’utilisation de l’IA pour encadrer les pratiques. Cette charte devrait préciser les services autorisés, la distinction entre comptes personnels et professionnels, les conditions d’accès administratif aux conversations, les finalités de ces accès, les personnes habilitées, les durées de conservation des données, et les règles en cas de départ du salarié. La transparence est essentielle : un salarié ne doit pas découvrir après coup que ses conversations pouvaient être exportées. La charte doit aussi aborder le régime des prompts, workflows et créations assistées par IA, ainsi que les modalités d’exercice des droits relatifs aux données personnelles.