Évaluer ses salariés avec l’IA : ce qui est permis

Entretien annuel préparé avec ChatGPT, score de performance, prédiction de départ, mesure de la productivité : ce que permettent le Code du travail, le RGPD et l’AI Act.

À jour au 17 septembre 2026 — AI Act & PME

Oui, un manager peut se faire aider par l’IA pour préparer ou rédiger une évaluation, à trois conditions : les salariés connaissent la méthode à l’avance, les résultats restent confidentiels et l’appréciation reste la sienne. Tout change quand l’outil note, classe ou prédit : il s’agit alors de profilage, ce qui appelle en principe une analyse d’impact, l’information, voire la consultation, du CSE dans les entreprises d’au moins 50 salariés et, à partir du 2 décembre 2027, les obligations de l’AI Act pour les systèmes à haut risque. Une limite s’applique déjà : utiliser l’IA pour déduire les émotions d’un salarié de sa voix, de son visage ou de sa frappe au clavier est interdit depuis le 2 février 2025, sauf raisons médicales ou de sécurité.

Check-list gratuite. Faites le point en 15 minutes sur les 10 points AI Act et RGPD à vérifier dans votre PME. Ouvrir la check-list →

Trois textes, deux calendriers

Le Code du travail et le RGPD s’appliquent aujourd’hui, quel que soit l’outil. L’AI Act, lui, classe les systèmes à haut risque selon l’usage auquel le fournisseur les destine (la « destination », article 3, point 12), interdit certaines utilisations quel que soit l’outil et s’applique par étapes : l’interdiction de la reconnaissance des émotions au travail depuis le 2 février 2025, les obligations liées aux systèmes à haut risque de l’annexe III à partir du 2 décembre 2027 (article 113, troisième alinéa, point c, i).

Une précision : l’entretien d’évaluation n’est pas l’entretien de parcours professionnel, nouveau nom de l’entretien professionnel depuis la loi n° 2025-989 du 24 octobre 2025. Ce dernier « ne porte pas sur l’évaluation du travail du salarié » (article L. 6315-1). Ne mélangez pas les deux.

Le document est gratuit. Vous n’avez pas à le rédiger. Le modèle de politique d’usage de l’IA reprend les neuf clauses d’une politique d’usage, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.

Essayer le modèle — remplir et voir le document →

ou recevoir le modèle complet, gratuitement

Gratuit. Une adresse email suffit pour le recevoir.

Ce que le Code du travail exige déjà

Quatre règles encadrent toute évaluation, avec ou sans IA :

• Le lien avec le travail. Les informations demandées à un salarié « ne peuvent avoir comme finalité que d’apprécier ses aptitudes professionnelles » et doivent présenter « un lien direct et nécessaire » avec cette évaluation (article L. 1222-2).

• Une méthode annoncée et pertinente. Le salarié est « expressément informé, préalablement à leur mise en oeuvre », des méthodes et techniques d’évaluation, qui doivent être pertinentes au regard de la finalité poursuivie. Les résultats « sont confidentiels » (article L. 1222-3). Si un score ou une synthèse automatisée entre dans la méthode, dites-le avant la campagne.

• Aucun dispositif caché. Aucune information personnelle ne peut être collectée par un dispositif qui n’a pas été porté préalablement à la connaissance du salarié (article L. 1222-4). Toute restriction aux libertés doit être justifiée et proportionnée (article L. 1121-1).

• Aucune discrimination. L’« évaluation de la performance » figure expressément parmi les domaines où aucune mesure discriminatoire, directe ou indirecte, n’est permise (article L. 1132-1).

Le CSE, dans les entreprises d’au moins 50 salariés. Il est informé avant l’introduction de « traitements automatisés de gestion du personnel » ou leur modification. Il est informé et consulté avant la décision de mise en œuvre de moyens de contrôle de l’activité des salariés (article L. 2312-38) et sur l’introduction de nouvelles technologies (article L. 2312-8). Dès le 28 novembre 2007 (n° 06-21.964), la Cour de cassation a approuvé la consultation obligatoire du CHSCT sur un projet d’entretiens annuels, ces entretiens pouvant peser sur la carrière et la rémunération, et leurs modalités et enjeux étant « manifestement de nature à générer une pression psychologique entraînant des répercussions sur les conditions de travail ». Le CHSCT a depuis été remplacé par le CSE, consulté sur tout aménagement important modifiant les conditions de travail (article L. 2312-8) ; par prudence, raisonnez de la même façon pour un dispositif d’évaluation outillé par l’IA. Voir Charte IA et CSE : faut-il le consulter, et comment ?

Ce que le RGPD ajoute

L’employeur est responsable du traitement des données d’évaluation. Quatre conséquences :

• Exactitude et minimisation (article 5). Une synthèse produite par l’IA peut déformer ou inventer. Le manager relit, corrige et ne garde que ce qui est utile.

• Information (article 13) : finalité, destinataires, dont le fournisseur de l’outil, durée de conservation. Selon la CNIL, les données d’évaluation ne sont en principe pas conservées au-delà de la période d’emploi, sauf archivage pour un contentieux.

• Accès (article 15). Le salarié peut obtenir ses données d’évaluation, y compris, précise la CNIL, un classement ou un potentiel de carrière qui a fondé une décision. Elle conseille de « n’écrire que ce que l’on est en mesure de présenter et d’assumer ».

• Pas de décision laissée à la machine (article 22). Chacun a le droit de ne pas faire l’objet d’une décision « fondée exclusivement sur un traitement automatisé, y compris le profilage », qui l’affecte de manière significative. Le profilage inclut expressément l’analyse ou la prédiction du « rendement au travail » (article 4, point 4). Prime, promotion, sanction ou licenciement doivent reposer sur un examen humain réel, pas sur la validation machinale d’un score.

L’analyse d’impact (AIPD, article 35). La liste publiée par la CNIL l’exige pour les profils de salariés établis à des fins de gestion des ressources humaines, par exemple la détection de « hauts potentiels » ou des départs de salariés « sur la base de corrélations », et pour la surveillance constante de l’activité des employés. À l’inverse, dans un organisme de moins de 250 personnes, le simple « suivi des entretiens annuels d’évaluation » n’en demande pas, « à l’exception du recours au profilage », selon la liste reprise dans le référentiel RH de la CNIL.

Ce que change l’AI Act

L’usage visé. L’annexe III, point 4, b, classe à haut risque les systèmes d’IA destinés à prendre des décisions influant sur les conditions des relations de travail, la promotion ou le licenciement, à attribuer des tâches selon le comportement individuel, des traits de personnalité ou des caractéristiques personnelles, ou « pour suivre et évaluer les performances et le comportement de personnes » dans le cadre de ces relations. Un système listé peut y échapper, notamment s’il accomplit seulement une tâche procédurale étroite, améliore un travail humain déjà achevé ou prépare une évaluation (article 6, paragraphe 3). Jamais s’il effectue un profilage : c’est en principe le cas d’un score de performance ou de risque de départ.

Les exemples de la Commission. Son projet de lignes directrices sur la classification, publié le 19 mai 2026 et encore provisoire (adoption annoncée d’ici fin 2026), range parmi les systèmes qui évaluent les performances les notes, appréciations ou classements générés par l’IA et versés directement au dossier du salarié. Il en exclut l’outil qui signale ses erreurs ou résultats au seul salarié, sans être conçu pour accroître la pression sur sa productivité. Il cite parmi les exceptions un assistant qui améliore la rédaction d’évaluations entièrement rédigées et notées par le manager, sans modifier les notes ni créer de contenu, le manager relisant ensuite le résultat.

Et ChatGPT ou Copilot ? Un assistant généraliste n’est en principe pas destiné par son fournisseur à évaluer des salariés : s’en servir pour mettre en forme un compte rendu construit par le manager ne relève pas, en principe, de l’annexe III. Le RGPD et le Code du travail s’appliquent pleinement, et la confidentialité des résultats plaide pour une offre professionnelle qui ne réutilise pas vos données : voir ChatGPT, Copilot, Gemini : quelle offre pour vos données ? Attention à la dérive : faire noter systématiquement l’équipe par l’assistant pourrait être regardé comme une modification de sa destination, qui ferait de l’entreprise le fournisseur d’un système à haut risque (article 25, paragraphe 1, point c, applicable à partir du 2 décembre 2027). La frontière exacte n’est pas encore tranchée.

À partir du 2 décembre 2027, le déployeur d’un système à haut risque devra notamment confier le contrôle humain à des personnes compétentes (article 26, paragraphe 2), conserver les journaux au moins six mois (paragraphe 6), informer les représentants du personnel et les travailleurs concernés avant la mise en service (paragraphe 7) et informer les salariés concernés par des décisions prises ou préparées avec ce système qu’ils y sont soumis (paragraphe 11). Voir aussi Votre logiciel RH ou CRM ajoute l’IA : que vérifier ?

Déjà interdit : les émotions. Depuis le 2 février 2025, l’AI Act interdit l’utilisation de systèmes d’IA « pour inférer les émotions d’une personne physique sur le lieu de travail », sauf raisons médicales ou de sécurité (article 5, paragraphe 1, point f). Les lignes directrices de la Commission du 29 juillet 2025 citent un centre d’appels qui suit par webcam et reconnaissance vocale la colère de ses employés. L’interdiction vaut aussi pendant le recrutement et la période d’essai. Elle vise les déductions tirées de données biométriques, dont la manière de frapper au clavier ; l’analyse d’un texte écrit n’y entre pas (point 251).

Selon l’usage

Usage	Cadre AI Act	RGPD / Code du travail	Précaution
Aide à la rédaction de l’entretien (ChatGPT, Copilot)	En principe hors annexe III : assistant généraliste, non destiné à l’évaluation	Résultats confidentiels (L. 1222-3) ; exactitude et minimisation (article 5) ; texte accessible au salarié (article 15)	Offre professionnelle sans réutilisation des données ; aucune donnée de santé ou de vie privée ; relecture complète
Synthèse de retours 360	Assistant généraliste : en principe hors annexe III. Outil RH destiné à l’évaluation : en principe haut risque (annexe III, 4, b) ; l’exception de l’article 6, paragraphe 3, est incertaine, car résumer les retours sur un salarié revient souvent à évaluer sa performance (profilage). Note ou classement versé au dossier : haut risque selon le projet de lignes directrices	Méthode annoncée aux salariés (L. 1222-3) ; information des contributeurs (article 13) et des évalués, dont les données viennent de tiers (article 14)	Conserver les commentaires d’origine ; écarter ceux sans lien avec le travail (L. 1222-2)
Score de performance du SIRH	En principe haut risque (annexe III, 4, b) ; profilage, donc pas d’exception ; obligations du déployeur à partir du 2 décembre 2027	Information préalable (L. 1222-3) ; CSE dès 50 salariés (L. 2312-38) ; AIPD en principe requise (liste CNIL) ; article 22 si aucune appréciation humaine	Critères connus, pertinents et testés contre les biais ; le score reste un indice discuté
Prédiction de départ (attrition)	Probablement haut risque (annexe III, 4, b : suivi du comportement) ; profilage	AIPD requise : exemple cité par la CNIL ; nécessité à démontrer (article 5) ; information des salariés ; CSE dès 50 salariés (L. 2312-38)	Préférer des indicateurs collectifs ; aucune décision individuelle fondée sur la prédiction
Mesure de la productivité (activité au clavier, temps passé sur les outils)	Système d’IA qui évalue les performances : en principe haut risque (annexe III, 4, b) ; un simple compteur fondé sur des règles fixées par l’éditeur n’est pas un système d’IA. Déduire la colère ou la frustration de la frappe : interdit	Proportionnalité (L. 1121-1) ; CSE consulté dès 50 salariés (L. 2312-38) ; information préalable (L. 1222-4) ; surveillance constante : AIPD (liste CNIL)	Mesures agrégées sur des périodes longues ; pas d’enregistreur de frappe ; conservation courte et justifiée
Analyse d’émotions (voix, visage)	Interdit depuis le 2 février 2025 (article 5, paragraphe 1, point f), sauf raisons médicales ou de sécurité, y compris lors du recrutement et de la période d’essai selon la Commission	Dispositif intrusif, même hors AI Act : proportionnalité (L. 1121-1) ; information préalable (L. 1222-4) ; CSE consulté dès 50 salariés (L. 2312-38)	Vérifier et désactiver ces options dans les outils de visioconférence ou de centre d’appels
Analyse de sentiment d’une enquête interne anonyme	Texte seul : hors interdiction selon la Commission. Résultats agrégés, sans évaluation individuelle : en principe hors annexe III	Hors RGPD seulement si les réponses sont réellement anonymes (considérant 26) ; petites équipes et verbatims peuvent permettre de réidentifier	Restituer par groupes suffisamment larges ; ne jamais chercher l’auteur d’un commentaire

Mesurer la productivité : la leçon d’un entrepôt logistique

Le 27 décembre 2023, la CNIL a infligé une amende de 32 millions d’euros à une société exploitant des entrepôts logistiques. Elle lui reprochait notamment des indicateurs calculés en temps réel à partir des scanners des salariés : un signal lorsque moins de 1,25 seconde séparait deux lectures de codes-barres d’articles à ranger, un autre pour toute inactivité du scanner au-delà de dix minutes consécutives, et la conservation de l’ensemble des indicateurs pendant 31 jours.

Le Conseil d’État a réformé cette sanction le 23 décembre 2025 (n° 492830). Eu égard aux contraintes d’un entrepôt logistique et aux conditions précises de ces indicateurs (le premier sert à repérer des erreurs de rangement, le second ignore les inactivités de moins de dix minutes), il juge qu’ils ne portaient pas une atteinte excessive aux droits des salariés. Il relève toutefois que l’indicateur d’inactivité n’est « pas dépourvu de tout effet sur la vie privée des salariés », qui peuvent avoir à s’expliquer sur des motifs personnels. Il confirme en revanche le manquement à la minimisation : conserver indistinctement tous les indicateurs pendant 31 jours n’était pas justifié. L’amende est ramenée à 15 millions d’euros.

Pour une PME, deux leçons. Chaque indicateur doit servir un but précis, avec une durée de conservation justifiée. Et une décision rendue pour un entrepôt, non publiée au Recueil Lebon, ne vaut pas validation d’une surveillance fine du travail de bureau. Dans sa fiche du 9 juillet 2026, la CNIL rappelle qu’une surveillance constante est en général excessive, qu’un enregistreur de frappe pour surveiller un salarié en télétravail est disproportionné, mais qu’un logiciel comptant de façon transparente les dossiers traités par trimestre « semble proportionné ».

Les biais : un score n’est pas neutre

Un algorithme nourri d’évaluations passées peut en reproduire les biais. Dans son rapport de 2020 réalisé avec la CNIL, le Défenseur des droits observe qu’à partir des données d’emploi disponibles, un algorithme « pourrait déduire que les femmes ne sont pas aussi productives que les hommes ». Les organisations qui utilisent des algorithmes ne peuvent échapper à leurs responsabilités sous couvert d’« opacité des systèmes », ajoute-t-il. Le plus souvent, selon le rapport, c’est la combinaison de plusieurs critères neutres en apparence qui peut produire des effets discriminatoires. Un score qui pénalise les absences sans distinguer leur motif peut ainsi toucher l’état de santé ou la grossesse, deux critères protégés : c’est l’employeur qui en répond (article L. 1132-1).

Ce que le manager peut faire dès demain

1. Utiliser l’IA pour la forme, pas pour le fond. Reformuler, structurer, vérifier le ton d’un compte rendu que vous avez construit.

2. Passer par l’outil validé par l’entreprise, dans une offre professionnelle, jamais par un compte personnel.

3. Réduire les données au strict nécessaire. Objectifs, résultats, faits datés ; ni santé, ni vie privée, ni motif d’absence. Remplacez le nom par une mention neutre quand c’est possible : la donnée reste personnelle, mais elle circule moins.

4. Relire chaque phrase comme si le salarié allait la lire : il en a le droit.

5. Garder les sources. Pour une synthèse de retours, conservez les commentaires d’origine et vérifiez que la synthèse ne les déforme pas.

6. Vérifier que la méthode a été annoncée par écrit avant la campagne si un outil d’IA de l’entreprise intervient dans la notation ou la synthèse.

7. Traiter tout score comme un indice. Le discuter, pouvoir l’expliquer, ne jamais l’appliquer tel quel à une prime ou une promotion.

8. Signaler à la RH ou au DPO toute nouvelle fonction de notation, de prédiction ou d’analyse de l’activité avant de l’utiliser, et demander une formation : l’entreprise qui utilise l’IA doit prendre des mesures pour favoriser la maîtrise de l’IA de son personnel (article 4 de l’AI Act ; voir Former ses salariés à l’IA : ce qu’exige l’article 4).

Ce qu’il faut éviter

• Coller une évaluation nominative dans la version grand public d’un assistant d’IA.

• Demander à l’IA de noter ou de classer l’équipe, ou de repérer qui risque de partir.

• Activer une analyse des émotions, du « stress » ou de l’« engagement » à partir de la voix, de la caméra ou de la frappe au clavier : si l’outil en déduit des émotions, c’est interdit depuis le 2 février 2025, sauf raisons médicales ou de sécurité.

• S’appuyer, pour sanctionner, sur un indicateur issu d’un dispositif dont les salariés n’ont pas été informés : l’article L. 1222-4 interdit cette collecte.

• Chercher à identifier l’auteur d’un commentaire dans une enquête présentée comme anonyme.

---

Le modèle de politique d’usage — gratuit

Les neuf clauses d’une politique d’usage de l’IA, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.

Vous remplissez la colonne de gauche ; le document se compose à droite, prêt à imprimer.

Voir le modèle — gratuit →

Gratuit. Une adresse email suffit pour le recevoir.

---

Le kit de conformité — 199 €

Quand l’IA entre dans vos évaluations, le kit vous aide à inscrire chaque outil dans votre registre des systèmes d’IA, à fixer la règle dans votre politique d’usage et à tracer dans le journal des usages sensibles les cas où un outil note ou classe des salariés.

Vous renseignez votre raison sociale et la liste de vos outils. Vous choisissez vous-même la catégorie de risque de chaque usage — interdit, haut risque, risque limité, risque minimal, ou « Je ne sais pas encore — à faire vérifier » — à l’aide d’un rappel des règles. Le kit met ensuite en forme votre politique d’usage de l’IA, dont les neuf clauses sont complétées avec les informations que vous avez saisies, votre registre des systèmes d’IA, votre journal des usages sensibles et votre note d’information au personnel.

Obtenir le kit →

Pas encore prêt ? Faites l’auto-diagnostic en 3 minutes ou commencez par la check-list AI Act gratuite : 10 points à vérifier en 15 minutes.

La newsletter. Un numéro tous les quinze jours : une question de conformité IA traitée avec les textes applicables et leurs dates, chaque affirmation sourcée. Gratuite, sans publicité. Lire le premier numéro — « Le premier risque de l’IA en entreprise n’est pas européen ».

---

À lire ensuite

• Faut-il un DPO quand on utilise l’IA en PME ?

• Votre logiciel RH ou CRM ajoute l’IA : que vérifier ?

• Charte IA et CSE : faut-il le consulter, et comment ?

• Enregistrer et résumer une réunion avec l’IA : les règles

• Est-ce que je peux mettre un CV dans ChatGPT ?

• Outil d’IA : quand l’AIPD est-elle obligatoire ?

• Caméras intelligentes en magasin : ce que la loi permet

Sources

• Règlement (UE) 2024/1689 (AI Act), version consolidée au 27 juillet 2026 intégrant le règlement (UE) 2026/1744 : articles 3, 4, 5, 6, 25, 26 et 113, annexe III (consulté le 17 septembre 2026)

• Commission européenne — Lignes directrices sur les pratiques interdites en matière d’intelligence artificielle, C(2025) 5052 final (29 juillet 2025), points 244 à 254

• Commission européenne — Projet de lignes directrices sur la classification des systèmes d’IA à haut risque (19 mai 2026, en anglais, section annexe III, point 4, b) et page de la consultation (clôturée le 23 juillet 2026, adoption annoncée d’ici fin 2026)

• Règlement (UE) 2016/679 (RGPD) : articles 4, 5, 13, 14, 15, 22 et 35, considérant 26

• CNIL — L’évaluation annuelle des salariés : droits et obligations des employeurs (25 janvier 2016, consulté le 17 septembre 2026)

• CNIL — Travail, ressources humaines : le contrôle de l’activité des personnes employées (9 juillet 2026)

• CNIL — Liste des types d’opérations de traitement pour lesquelles une AIPD est requise (PDF)

• CNIL — Référentiel relatif aux traitements mis en œuvre aux fins de gestion du personnel (adopté le 21 novembre 2019, modifié le 23 mai 2022, PDF) et présentation (15 avril 2020)

• CNIL, formation restreinte, délibération n° SAN-2023-021 du 27 décembre 2023 (Légifrance, version désormais anonymisée) et Conseil d’État, 10^e et 9^e chambres réunies, 23 décembre 2025, n° 492830 (inédit au Recueil Lebon)

• Cour de cassation, chambre sociale, 28 novembre 2007, n° 06-21.964 (publié au Bulletin)

• Code du travail numérique : articles L. 1121-1, L. 1132-1, L. 1222-2, L. 1222-3, L. 1222-4, L. 2312-8, L. 2312-38 et L. 6315-1 (consultés le 17 septembre 2026)

• Loi n° 2025-989 du 24 octobre 2025, article 3 (entretien de parcours professionnel)

• Défenseur des droits, avec la CNIL — Algorithmes : prévenir l’automatisation des discriminations (31 mai 2020)

Rédigé par Adrien Bano, fondateur d’IA en Règle. Nous ne sommes pas avocats : cet article a été préparé avec l’aide d’outils d’IA et vérifié sur les textes officiels cités.

Cet article a un but d’information générale, établi d’après les textes en vigueur au 17 septembre 2026 ; il ne constitue pas un conseil juridique.