Aller au contenu
Founderz : accueil de la boîte à outils pour une utilisation responsable de l’IA

en collaboration avec Microsoft

Références

La place du droit

Quand solliciter le service juridique, la protection des données ou les RH avant d’utiliser l’IA au travail.

Vue d’ensemble

Le droit fixe le minimum à respecter dans votre travail. Les règles applicables dépendent de votre pays, de votre secteur et de votre rôle. Avant de partager des données personnelles, d’utiliser l’IA pour recruter ou de travailler sur des fichiers clients, identifiez les règles qui encadrent la tâche. Consultez votre service juridique pour un cas précis.

Données à caractère personnel

Le droit de la protection des données s’applique dès que l’IA traite des informations sur des personnes identifiables. Dans l’UE, le RGPD définit largement les données personnelles comme toute information concernant une personne identifiée ou identifiable. Il exige une base légale, une finalité claire et des données limitées au nécessaire. Remplacer les noms par des codes ne soustrait pas les données à la loi. D’autres pays ont leurs propres règles, comme le UK GDPR britannique, la LGPD brésilienne et la LPRPDE canadienne.

L’article 22 du RGPD encadre les décisions entièrement automatisées qui produisent des effets juridiques ou tout aussi significatifs sur une personne. Si la décision est nécessaire à un contrat avec cette personne ou repose sur son consentement explicite, elle a le droit de demander une intervention humaine, d’exprimer son point de vue et de contester la décision. Si le droit européen ou national autorise la décision, il doit prévoir des garanties appropriées.

Le règlement européen sur l’IA

Le règlement européen sur l’IA s’applique par étapes. L’AI Omnibus de juillet 2026 a modifié plusieurs dates. Les dispositions les plus courantes au travail :

  • Depuis le 2 février 2025, certaines pratiques sont interdites, dont l’IA qui déduit les émotions au travail ou dans l’enseignement, sauf à des fins médicales ou de sécurité.
  • Les organisations qui fournissent ou utilisent des systèmes d’IA doivent prendre des mesures pour développer la maîtrise de l’IA au sein de leur personnel. La modification de juillet 2026 a maintenu cette obligation sans fixer de niveau requis.
  • Depuis le 2 août 2026, les règles de transparence s’appliquent : les fournisseurs doivent généralement informer les personnes qu’elles interagissent directement avec une IA, sauf si le contexte le rend évident. Les organisations qui créent des hypertrucages avec l’IA doivent généralement indiquer comment ils ont été réalisés. Les systèmes génératifs déjà commercialisés ont jusqu’au 2 décembre 2026 pour marquer les contenus synthétiques.
  • À partir du 2 décembre 2026, l’AI Omnibus interdit certains usages de l’IA visant à créer ou modifier des représentations intimes de personnes identifiables sans leur consentement, ou à créer ou modifier des contenus représentant des abus sexuels sur mineurs.
  • À partir du 2 décembre 2027, les obligations s’appliquent aux usages à haut risque énumérés dans le règlement, dont l’IA utilisée pour recruter, promouvoir, licencier ou évaluer des travailleurs.

Le règlement peut aussi s’appliquer à des organisations hors de l’UE, par exemple lorsque les résultats de leurs systèmes d’IA y sont utilisés. Votre service juridique peut préciser le rôle de votre organisation pour chaque système.

Décisions concernant des personnes

Le droit du travail et la lutte contre les discriminations s’appliquent aux décisions concernant des personnes, avec ou sans IA. Associez les RH et le service juridique avant d’utiliser l’IA pour le recrutement, la promotion, la rémunération, l’évaluation ou le licenciement. Dans l’UE, les systèmes qui sélectionnent des candidats ou aident à choisir les personnes promues sont généralement à haut risque. Un outil qui ne fait que planifier des entretiens peut ne pas relever de cette catégorie. Les règles de protection des données restent applicables aux informations personnelles des candidatures et dossiers du personnel. Le principe 1 explique pourquoi ces décisions restent humaines.

Droit d’auteur et contenus

La propriété du travail réalisé avec l’IA et ce que vous pouvez fournir aux outils dépendent du pays et des licences concernées. Aux États-Unis, le rapport 2025 du Copyright Office a conclu que le droit d’auteur protège la création humaine et que les contenus purement générés par l’IA ne sont pas protégés. Consultez les règles de votre organisation avant de publier des images, du texte ou du code générés par l’IA et respectez les licences des contenus téléversés.

Contrats et conditions clients

Les contrats de vos clients et fournisseurs peuvent prévoir des conditions sur l’IA : autorisation d’utilisation sur leur travail, traitement de leurs données et cas où son usage doit être signalé. Vérifiez-les avant d’utiliser l’IA pour un client. En 2025, un ministère australien a demandé à Deloitte de restituer le dernier paiement d’un rapport. Dans sa lettre, le ministère invoquait des erreurs et le non-respect par le cabinet de sa propre politique d’information du client sur l’usage de l’IA.

Cadres volontaires

De nombreuses organisations utilisent des cadres volontaires en complément du droit. Parmi les références courantes figurent les Principes de l’OCDE sur l’IA, le NIST AI Risk Management Framework et son profil consacré à l’IA générative, ISO/IEC 42001 pour les systèmes de management de l’IA et, pour les agents, le Model AI Governance Framework for Agentic AI de Singapour. Aucun de ces cadres n’est une loi. Ils sont utiles pour traduire au niveau de l’organisation ce que ce référentiel demande aux individus.

Étapes pratiques

  1. 01Consultez votre service juridique, votre équipe de protection des données ou les RH avant un nouvel usage de l’IA avec des données personnelles, pour des décisions concernant des personnes ou dans une activité réglementée.
  2. 02Vérifiez les contrats clients avant d’utiliser l’IA pour leur travail.
  3. 03En cas de doute, gardez la tâche à un niveau où l’IA rédige et vous décidez.

Sources

Ces sources étayent les faits présentés sur cette page. Pour chacune, nous précisons ce qu’elle établit et les questions qu’elle laisse ouvertes. Les recommandations sont les nôtres. Voir toutes nos sources.

  1. Regulation (EU) 2016/679 (General Data Protection Regulation) European Union, Official Journal · 27 avril 2016 · Droit Définit largement les données à caractère personnel (article 4) et donne aux personnes des droits concernant les décisions fondées exclusivement sur un traitement automatisé ayant des effets juridiques ou tout aussi significatifs sur elles (article 22). Limites : D’autres pays ont leurs propres lois de protection des données. La Commission européenne a proposé des modifications de l’article 22 : vérifiez si elles ont été adoptées.
  2. Regulation (EU) 2024/1689 (Artificial Intelligence Act) European Union, Official Journal · 13 juin 2024 · Droit Le texte contraignant du règlement européen sur l’IA, notamment les définitions de la maîtrise de l’IA et de l’hypertrucage (article 3), les pratiques interdites comme la reconnaissance des émotions au travail (article 5), la supervision humaine contre le biais d’automatisation (article 14) et les obligations de transparence (article 50). Limites : S’applique par étapes et a été modifié en juillet 2026 (voir l’AI Omnibus). Les obligations dépendent du rôle de l’organisation et du système. Les résumés de ce site ne sont pas des conseils juridiques.
  3. Regulation (EU) 2026/1744 (AI Omnibus) European Union, Official Journal · Adopté le 8 juillet 2026 ; en vigueur le 27 juillet 2026 · Droit Modifie le règlement sur l’IA : maintient l’obligation de maîtrise de l’IA des fournisseurs et déployeurs sans niveau garanti, reporte les échéances des systèmes à haut risque au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I), donne aux systèmes génératifs déjà commercialisés jusqu’au 2 décembre 2026 pour marquer les contenus synthétiques et ajoute, à partir du 2 décembre 2026, des interdictions concernant les hypertrucages intimes non consentis et les contenus représentant des abus sexuels sur mineurs. Limites : Texte modificatif. À lire avec la version consolidée du règlement sur l’IA.
  4. AI Act: regulatory framework for AI European Commission · Mis à jour le 19 octobre 2026 · Synthèse officielle La synthèse du règlement sur l’IA par la Commission. Elle classe les outils d’IA pour l’emploi, la gestion des travailleurs et l’accès au travail indépendant, comme les logiciels de tri des CV, parmi les usages à haut risque, avec des obligations à partir du 2 décembre 2027. Limites : Cette synthèse présente le règlement. Pour son libellé exact, consultez le texte juridique.
  5. Code of Practice on transparency of AI-generated content European Commission · Version finale du 10 juin 2026 ; jugée adéquate le 8 juillet 2026 · Code volontaire Code volontaire pour le marquage des contenus générés par l’IA (fournisseurs) et le signalement des hypertrucages et de certains textes (déployeurs), jugé adéquat par la Commission pour l’article 50 du règlement sur l’IA. Limites : Volontaire. Sa signature ne constitue pas une preuve concluante de conformité et les obligations légales s’appliquent dans tous les cas.
  6. Deloitte’s AI mess just got worse, and HR should be paying close attention Human Resources Director Australia · 14 novembre 2025 · Article de presse Rapporte une correspondance publiée par le ministère montrant une demande de 97 587,11 dollars australiens, motivée par les problèmes du rapport et le non-respect par Deloitte de sa propre politique d’information du client sur l’usage de l’IA. Limites : Article de presse sur une correspondance rendue publique.
  7. Recommendation of the Council on Artificial Intelligence (OECD AI Principles) OECD · Adoptés le 22 mai 2019 ; révisés le 3 mai 2024 · Principes intergouvernementaux Préconise des garanties comme la capacité d’action et de supervision humaines (principe 1.2), la responsabilité assortie de la traçabilité des jeux de données, processus et décisions (1.5), et des systèmes dont les décisions peuvent être écartées, qui peuvent être réparés ou arrêtés en toute sécurité (1.4). Limites : Sans force juridique contraignante.
  8. AI Risk Management Framework US National Institute of Standards and Technology · AI RMF 1.0, janvier 2023 · Cadre volontaire Cadre volontaire largement utilisé pour gérer les risques de l’IA dans les organisations. Limites : Volontaire. Le NIST indique que le cadre est en cours de révision.
  9. Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile (NIST AI 600-1) US National Institute of Standards and Technology · 26 juillet 2024 · Cadre volontaire Énumère douze risques de l’IA générative, dont la confabulation (contenu faux affirmé avec assurance, parfois assorti de références inventées) et la configuration humain-IA, qui couvre le biais d’automatisation et la dépendance excessive. Limites : Volontaire. Publié en application d’un décret présidentiel abrogé depuis ; le cadre plus large est en cours de révision.
  10. ISO/IEC 42001: Artificial intelligence management system ISO and IEC · 2023 · Norme internationale La norme internationale pour les systèmes de management de l’IA dans les organisations. Limites : Fixe des exigences pour les organisations qui gèrent des systèmes d’IA. Ne fournit pas de conseils aux utilisateurs individuels.
  11. Model AI Governance Framework for Agentic AI Infocomm Media Development Authority, Singapore · Version 1.5 du 20 mai 2026 (première publication le 22 janvier 2026) · Cadre volontaire Les organisations et les personnes chargées de la supervision répondent des actions des agents. Le cadre préconise une approbation humaine aux étapes importantes, par exemple avant une suppression de données, un envoi de messages ou un paiement. Lorsque c’est possible, le système doit imposer cette approbation. Des examens très rapides ou de très rares interventions pour annuler une décision peuvent signaler des validations par habitude. Limites : Recommandations volontaires, pas une loi. Les études de cas ont été fournies par les entreprises elles-mêmes.
  12. Correspondence relating to the Targeted Compliance Framework Assurance Review – Final Report Australian Department of Employment and Workplace Relations · décembre 2025 · Correspondance gouvernementale Dans une lettre à Deloitte, le ministère demandait le remboursement de 97 587,11 dollars australiens. Il invoquait les problèmes du rapport et la reconnaissance par Deloitte du non-respect de sa propre politique d’information du client sur l’usage de l’IA. Limites : La lettre consigne une demande de remboursement. Un porte-parole du ministère a ensuite confirmé le remboursement à CFO Dive.