La surveillance des salariés par l'IA, légale mais conditionnelle

La surveillance des salariés par l'IA est l'un des domaines de l'IA en milieu professionnel qui connaît la croissance la plus rapide et suscite le plus de controverses. L'enregistrement des frappes au clavier, la capture d'écran, l'analyse des e-mails, la vidéosurveillance, la notation de la productivité, l'analyse des sentiments, le suivi GPS et l'évaluation des performances pilotée par IA sont tous activement utilisés. La réponse courte à la question « est-ce légal ? » est : généralement oui, mais sous réserve de conditions importantes que de nombreux employeurs ne respectent pas.

États-Unis

Aucune loi fédérale complète ne régit spécifiquement la surveillance des salariés par l'IA. L'Electronic Communications Privacy Act (ECPA) autorise les employeurs à surveiller les appareils et systèmes appartenant à l'entreprise. Les législations des États varient considérablement : le CCPA/CPRA de Californie confère aux salariés des droits sur leurs données personnelles, y compris les données issues de la surveillance ; le BIPA de l'Illinois exige le consentement pour les données biométriques ; le Connecticut, le Delaware et l'État de New York imposent des obligations de divulgation en matière de surveillance sur le lieu de travail ; l'AI Act du Colorado a été abrogé et remplacé par le SB 189 (en vigueur au 1er janvier 2027), qui ajoute des obligations de divulgation pour l'IA dans les décisions à conséquences importantes. Le NLRA protège le droit des salariés de se syndiquer ; une surveillance qui dissuade l'activité syndicale peut enfreindre le droit fédéral.

Union européenne

Le RGPD impose des exigences strictes : une base légale (l'intérêt légitime nécessite un test de mise en balance) ; une AIPD (analyse d'impact relative à la protection des données) pour toute surveillance systématique ; la transparence (les salariés doivent savoir ce qui est surveillé et pourquoi) ; la limitation des finalités (les données collectées pour une finalité ne peuvent pas être réutilisées à d'autres fins) ; la minimisation des données (ne collecter que ce qui est nécessaire). Le règlement européen sur l'IA (AI Act) interdit la reconnaissance des émotions sur le lieu de travail en tant que pratique interdite (en vigueur depuis le 2 février 2025). Les systèmes d'IA utilisés dans la gestion de l'emploi sont classés à haut risque au titre de l'annexe III, ce qui impose une évaluation de conformité, une gestion des risques, une supervision humaine et de la transparence.

Royaume-Uni

Le RGPD britannique (UK GDPR) s'applique avec des exigences similaires à celles du RGPD de l'UE. L'Employment Practices Code de l'ICO couvre la surveillance. Les réformes du DUAA 2025 ne modifient pas fondamentalement le cadre applicable à la surveillance, mais mettent à jour les dispositions relatives à la prise de décision automatisée (ADM). Les employeurs doivent faire preuve de transparence, respecter le principe de proportionnalité et réaliser des AIPD pour les systèmes de surveillance par IA.

Australie

Le NSW Work Health and Safety Amendment (Digital Work Systems) Act 2026 est la première loi australienne à traiter spécifiquement la surveillance par IA comme un enjeu de santé et de sécurité au travail (WHS). Il impose aux PCBU (personnes conduisant une entreprise ou un établissement) de veiller à ce que les travailleurs ne soient pas exposés à des risques du fait des systèmes de travail numériques, y compris la surveillance par IA. Une évaluation des risques psychosociaux est requise. Le Privacy Act s'applique à la surveillance des salariés par IA lorsque des données personnelles sont traitées. Les législations des États sur la surveillance en milieu professionnel (par exemple, le NSW Workplace Surveillance Act 2005) imposent des obligations de notification spécifiques.

Ce que les employeurs doivent faire pour surveiller en toute légalité

Dans toutes les grandes juridictions : informer clairement les salariés de ce qui est surveillé, comment et pourquoi ; veiller à ce que la surveillance soit proportionnée au besoin professionnel légitime ; réaliser des évaluations des risques (AIPD au titre du RGPD, risque psychosocial au titre de la réglementation WHS) ; limiter la surveillance à des finalités professionnelles, sans surveiller les activités personnelles sur les appareils personnels ; conserver les données issues de la surveillance de manière sécurisée et ne les conserver que le temps nécessaire ; ne pas utiliser les données de surveillance à des fins autres que celle déclarée ; donner aux salariés, sur demande, l'accès à leurs données issues de la surveillance.

Sources principales : ICO, Employment Practices · SafeWork NSW · Fair Work Ombudsman

Lectures complémentaires