La réponse courte : cela dépend d'où vous travaillez et de ce qui vous a été communiqué

La surveillance des employés par l'intelligence artificielle n'est ni uniformément autorisée ni uniformément interdite. La situation juridique varie considérablement selon la juridiction et, surtout, selon que vous en avez été informé ou non. Dans la plupart des grandes juridictions, votre employeur peut vous surveiller à l'aide d'outils d'IA sur les systèmes de l'entreprise, mais uniquement moyennant une information adéquate, une finalité proportionnée et le respect du droit de la protection des données. Une surveillance par IA clandestine, effectuée à votre insu, est illégale dans la plupart des juridictions.

À quoi ressemble concrètement la surveillance par IA aujourd'hui

La surveillance au travail a largement dépassé le simple suivi de l'utilisation d'Internet et le comptage des frappes au clavier. Les outils de surveillance par IA actuels peuvent : analyser le contenu des e-mails et des messages pour en évaluer le ton, les sujets ou le risque de non-conformité ; surveiller l'activité informatique, y compris les applications ouvertes, les sites web visités et les documents consultés ; suivre la productivité à travers la création de documents, la fréquence des communications et l'achèvement des tâches ; noter la qualité du service dans les centres d'appels et le service client en analysant les appels enregistrés ; évaluer la participation et l'engagement en réunion par analyse vidéo ; mesurer la localisation physique et les déplacements dans les entrepôts et les commerces ; analyser des données biométriques (détection de la fatigue, reconnaissance des émotions dans certains contextes) ; et agréger l'ensemble de ces éléments en scores de risque ou en profils de performance des employés.

Des outils comme Microsoft 365 Copilot, lorsqu'ils sont déployés avec toutes les autorisations, peuvent analyser l'intégralité de l'empreinte numérique d'un employé à travers ses e-mails, Teams, ses documents et ses calendriers. Cette capacité change profondément la donne, elle signifie que la surveillance par IA est désormais accessible à toute organisation disposant d'une licence Microsoft entreprise, et non plus seulement à celles qui font spécifiquement l'acquisition d'un logiciel de surveillance.

Juridiction par juridiction : ce qui est permis et ce qui ne l'est pas

Australie : le Privacy Act exige une gestion ouverte et transparente des informations personnelles (APP 1). Les employeurs doivent vous indiquer quelles informations personnelles sont collectées et pourquoi, cela inclut les données de surveillance. Les lois des États sur la surveillance ajoutent des restrictions supplémentaires. Le Workplace Surveillance Act 2005 (NSW) exige un préavis écrit avant toute surveillance informatique ; la surveillance déclarée doit être communiquée au moyen d'une politique écrite. L'Australie-Méridionale, le Queensland et d'autres États ont des exigences similaires. La surveillance clandestine, c'est-à-dire une surveillance mise en œuvre sans vous en informer, nécessite une ordonnance judiciaire en Nouvelle-Galles du Sud et une autorisation équivalente dans la plupart des États. Une surveillance par IA qui collecte des informations sensibles (données biométriques, informations de santé) nécessite votre consentement ou une exception prévue par la loi.

Royaume-Uni : les lignes directrices de l'ICO intitulées « Employment Practices: Monitoring at Work » exigent que la surveillance soit mentionnée dans votre contrat de travail, le règlement intérieur ou l'avis de confidentialité. Une analyse d'impact relative à la protection des données (AIPD) est requise avant le déploiement de toute technologie de surveillance affectant significativement les employés. Le RGPD britannique (UK GDPR) exige une base légale, en principe l'intérêt légitime, laquelle doit être mise en balance avec les droits des employés en matière de vie privée dans le cadre d'une évaluation de l'intérêt légitime. Plus la surveillance est intrusive, plus cet équilibre est difficile à atteindre. La surveillance clandestine n'est licite qu'en cas de soupçon d'activité criminelle spécifique et doit, même dans ce cas, être documentée et examinée par un cadre supérieur avant toute mise en œuvre.

Union européenne : le RGPD s'applique aux données de surveillance des employés. La plupart des États membres de l'UE imposent des exigences supplémentaires. L'Allemagne exige le consentement du comité d'entreprise ou une codétermination avant l'introduction de systèmes de surveillance de la performance, ce qui confère de fait aux employés un pouvoir collectif de négociation des modalités de la surveillance par IA. La CNIL, en France, exige une communication transparente de la surveillance et un réexamen régulier de sa nécessité. Le droit du travail espagnol exige que les représentants du personnel soient informés des mécanismes de contrôle par IA avant leur déploiement.

États-Unis : la loi fédérale (ECPA, Electronic Communications Privacy Act) comporte une large exception en faveur des employeurs, autorisant la surveillance des systèmes appartenant à l'entreprise pendant les heures de travail, à condition que les employés en aient été informés. Plusieurs États exigent une notification écrite : l'Electronic Monitoring Law de l'État de New York (en vigueur depuis 2022) impose aux employeurs d'informer les nouveaux employés dès l'embauche et d'afficher un avis à cet effet. Le Connecticut et le Delaware ont des exigences similaires. Il n'existe aucune interdiction fédérale de la surveillance par IA des employés sur les systèmes de l'entreprise dès lors qu'une notification a été donnée. Toutefois, utiliser la surveillance par IA pour identifier des employés impliqués dans une activité syndicale ou pour exercer des représailles contre eux enfreint le NLRA (National Labor Relations Act), quelle que soit l'information fournie.

Ce que votre employeur ne peut pas faire, quelle que soit la juridiction

Dans toutes les grandes juridictions, des limites existent. Votre employeur ne peut généralement pas : surveiller vos comptes de messagerie personnels ou vos appareils personnels sans votre consentement spécifique et éclairé ; utiliser l'IA pour surveiller une activité syndicale ou exercer des représailles contre des employés en raison de leur participation à une action collective protégée ; vous surveiller au moyen d'une technologie biométrique sans information adéquate et, dans de nombreuses juridictions, sans consentement ; utiliser les données de surveillance à des fins autres que celles qui ont été communiquées (par exemple, utiliser des données de surveillance du bien-être dans le cadre de la gestion de la performance sans en informer les employés) ; ou recourir à la reconnaissance des émotions par IA ou à la surveillance biométrique sur le lieu de travail sans respecter des exigences légales spécifiques, une pratique interdite dans les lieux de travail de l'UE en vertu des dispositions relatives aux pratiques d'IA interdites de l'AI Act européen (article 5, en vigueur depuis février 2025).

Vos droits en pratique

Dans toutes les grandes juridictions : consultez votre contrat de travail, la politique d'utilisation acceptable des outils informatiques et l'avis de confidentialité afin d'y repérer toute mention de la surveillance ; formulez une demande d'accès à vos données personnelles, y compris les données de surveillance ; faites part de vos préoccupations au délégué à la protection des données ou au service des ressources humaines de votre employeur ; contactez l'autorité de contrôle compétente (l'ICO au Royaume-Uni, l'OAIC (Office of the Australian Information Commissioner) en Australie, l'autorité nationale de protection des données dans les États membres de l'UE) si vous pensez que la surveillance est illégale ; et, aux États-Unis, contactez le NLRB (National Labor Relations Board) si vous pensez que la surveillance est utilisée pour entraver une activité syndicale protégée.

Pour aller plus loin

Pour aller plus loin : OCDE, L'IA et l'avenir du travail