La réponse courte : cela dépend d'où vous travaillez et de ce qui vous a été communiqué

La surveillance des employés par l'intelligence artificielle n'est ni uniformément autorisée ni uniformément interdite. La situation juridique varie considérablement selon la juridiction et, surtout, selon que vous en avez été informé ou non. Dans la plupart des grandes juridictions, votre employeur peut vous surveiller à l'aide d'outils d'IA sur les systèmes de l'entreprise, mais uniquement moyennant une information adéquate, une finalité proportionnée et le respect du droit de la protection des données. Une surveillance par IA clandestine, effectuée à votre insu, est illégale dans la plupart des juridictions.

À quoi ressemble concrètement la surveillance par IA aujourd'hui

La surveillance au travail a largement dépassé le simple suivi de l'utilisation d'Internet et le comptage des frappes au clavier. Les outils de surveillance par IA actuels peuvent : analyser le contenu des e-mails et des messages pour en évaluer le ton, les sujets ou le risque de non-conformité ; surveiller l'activité informatique, y compris les applications ouvertes, les sites web visités et les documents consultés ; suivre la productivité à travers la création de documents, la fréquence des communications et l'achèvement des tâches ; noter la qualité du service dans les centres d'appels et le service client en analysant les appels enregistrés ; évaluer la participation et l'engagement en réunion par analyse vidéo ; mesurer la localisation physique et les déplacements dans les entrepôts et les commerces ; analyser des données biométriques (détection de la fatigue, reconnaissance des émotions dans certains contextes) ; et agréger l'ensemble de ces éléments en scores de risque ou en profils de performance des employés.

Des outils comme Microsoft 365 Copilot, lorsqu'ils sont déployés avec toutes les autorisations, peuvent analyser l'intégralité de l'empreinte numérique d'un employé à travers ses e-mails, Teams, ses documents et ses calendriers. Cette capacité change profondément la donne, elle signifie que la surveillance par IA est désormais accessible à toute organisation disposant d'une licence Microsoft entreprise, et non plus seulement à celles qui font spécifiquement l'acquisition d'un logiciel de surveillance.

Juridiction par juridiction : ce qui est permis et ce qui ne l'est pas

Australie : le Privacy Act exige une gestion ouverte et transparente des informations personnelles (APP 1), mais l'exemption relative aux dossiers des employés (art. 7B(3)) fait que les APP ne s'appliquent en grande partie pas au traitement, par les employeurs du secteur privé, des dossiers existants de leurs employés ; ce sont donc les lois des États sur la surveillance qui constituent la principale source d'obligations d'information. Le Workplace Surveillance Act 2005 (NSW) exige un préavis écrit d'au moins 14 jours avant toute surveillance ainsi qu'une politique de surveillance informatique existante et communiquée (art. 10 et 12). Le Territoire de la capitale australienne (ACT) applique un régime similaire en vertu du Workplace Privacy Act 2011 ; les autres États, notamment le Queensland et l'Australie-Méridionale, ne s'appuient que sur des lois générales relatives aux dispositifs de surveillance, sans régime de préavis comparable à celui de la NSW. La surveillance clandestine, c'est-à-dire une surveillance mise en œuvre sans vous en informer, nécessite une autorisation de surveillance clandestine délivrée par un magistrate en Nouvelle-Galles du Sud, un régime similaire existant dans l'ACT ; la plupart des autres États n'imposent aucune exigence spécifique d'autorisation de surveillance clandestine en milieu professionnel. Une surveillance par IA qui collecte des informations sensibles (données biométriques, informations de santé) nécessite votre consentement ou une exception prévue par la loi.

Royaume-Uni : les lignes directrices de l'ICO intitulées « Employment practices and data protection: Monitoring workers » (octobre 2023, qui remplacent l'ancien projet de lignes directrices « Monitoring at Work ») exigent que la surveillance soit mentionnée dans votre contrat de travail, le règlement intérieur ou l'avis de confidentialité. Selon les lignes directrices de l'ICO, une analyse d'impact relative à la protection des données (AIPD) est requise chaque fois que la surveillance est susceptible de présenter un risque élevé pour les droits des employés (comme la surveillance biométrique ou pilotée par IA), et non pour toute technologie de surveillance. Le RGPD britannique (UK GDPR) exige une base légale, en principe l'intérêt légitime, laquelle doit être mise en balance avec les droits des employés en matière de vie privée dans le cadre d'une évaluation de l'intérêt légitime. Plus la surveillance est intrusive, plus cet équilibre est difficile à atteindre. La surveillance clandestine ne se justifie que dans des circonstances exceptionnelles, que l'ICO définit comme la nécessité de prévenir ou de détecter une activité criminelle présumée ou une faute grave lorsqu'aucun moyen moins intrusif n'est disponible, et elle doit alors être couverte par une AIPD, autorisée par la direction générale, strictement ciblée, limitée dans le temps et interrompue dès la fin de l'enquête.

Union européenne : le RGPD s'applique aux données de surveillance des employés. La plupart des États membres de l'UE imposent des exigences supplémentaires. Dans les entreprises dotées d'un comité d'entreprise, le droit allemand (BetrVG, art. 87(1) n° 6) confère à ce dernier un droit de codétermination sur les technologies de surveillance de la performance, les litiges étant tranchés par une commission de conciliation. En France, le Code du travail (article L.1222-4) exige une communication transparente de la surveillance, les lignes directrices de la CNIL insistant sur la proportionnalité et un réexamen périodique. Le droit du travail espagnol exige que les représentants du personnel soient informés des mécanismes de contrôle par IA avant leur déploiement.

États-Unis : la loi fédérale (ECPA, Electronic Communications Privacy Act) comporte une large exception en faveur des employeurs, autorisant la surveillance des systèmes appartenant à l'entreprise pendant les heures de travail, à condition que les employés en aient été informés. Plusieurs États exigent une notification écrite : l'Electronic Monitoring Law de l'État de New York (en vigueur depuis 2022) impose aux employeurs d'informer les nouveaux employés dès l'embauche et d'afficher un avis à cet effet. Le Connecticut et le Delaware ont des exigences similaires. Il n'existe aucune interdiction fédérale de la surveillance par IA des employés sur les systèmes de l'entreprise dès lors qu'une notification a été donnée. Toutefois, utiliser la surveillance par IA pour identifier des employés impliqués dans une activité syndicale ou pour exercer des représailles contre eux enfreint le NLRA (National Labor Relations Act), quelle que soit l'information fournie.

Ce que votre employeur ne peut pas faire, quelle que soit la juridiction

Dans toutes les grandes juridictions, des limites existent. Votre employeur ne peut généralement pas : surveiller vos comptes de messagerie personnels ou vos appareils personnels sans votre consentement spécifique et éclairé ; utiliser l'IA pour surveiller une activité syndicale ou exercer des représailles contre des employés en raison de leur participation à une action collective protégée ; vous surveiller au moyen d'une technologie biométrique sans information adéquate et, dans de nombreuses juridictions, sans consentement ; utiliser les données de surveillance à des fins autres que celles qui ont été communiquées (par exemple, utiliser des données de surveillance du bien-être dans le cadre de la gestion de la performance sans en informer les employés) ; ou recourir à l'IA pour inférer vos émotions sur le lieu de travail, ce que l'article 5, paragraphe 1, point f), de l'AI Act européen interdit purement et simplement dans l'UE depuis le 2 février 2025, sauf lorsque l'utilisation est destinée à des fins médicales ou de sécurité. Les autres formes de surveillance biométrique au travail ne sont pas interdites en tant que telles par l'AI Act. Elles sont traitées comme à haut risque au titre de l'annexe III, et le règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, a reporté au 2 décembre 2027 les obligations autonomes applicables aux systèmes à haut risque de l'annexe III, de sorte que l'article 9 du RGPD et le droit du travail national restent, dans l'intervalle, les contraintes opérationnelles.

Vos droits en pratique

Dans toutes les grandes juridictions : consultez votre contrat de travail, la politique d'utilisation acceptable des outils informatiques et l'avis de confidentialité afin d'y repérer toute mention de la surveillance ; formulez une demande d'accès à vos données personnelles, y compris les données de surveillance ; faites part de vos préoccupations au délégué à la protection des données ou au service des ressources humaines de votre employeur ; contactez l'autorité de contrôle compétente (l'ICO au Royaume-Uni, l'OAIC (Office of the Australian Information Commissioner) en Australie, l'autorité nationale de protection des données dans les États membres de l'UE) si vous pensez que la surveillance est illégale ; et, aux États-Unis, contactez le NLRB (National Labor Relations Board) si vous pensez que la surveillance est utilisée pour entraver une activité syndicale protégée.

Pour aller plus loin

Pour aller plus loin : OCDE, L'IA et le travail