Salarié qui utilise l’IA sans autorisation : que faire ?
ChatGPT sur un compte personnel, extension de navigateur, appli de transcription : ce que l’employeur peut interdire, sanctionner et contrôler, et à quelles conditions.
À jour au 17 septembre 2026 — AI Act & PME
Oui, l’employeur peut interdire ou limiter l’usage d’outils d’IA pour le travail, si la restriction est justifiée et proportionnée. Il peut aussi sanctionner un usage interdit si l’interdiction était opposable au salarié (règle écrite portée à sa connaissance et adoptée selon la procédure du règlement intérieur, ou consigne claire qui lui a été donnée), si la sanction figure au règlement intérieur lorsqu’il en existe un, si la procédure disciplinaire est respectée et engagée dans les deux mois, et si la sanction est proportionnée. Coller des données dans ChatGPT n’est pas automatiquement une faute grave. Contrôler l’usage (filtrage, journaux) est permis si le dispositif est proportionné, annoncé aux salariés et, dès 50 salariés, soumis au CSE. Le plus efficace reste souvent de proposer un outil autorisé.
Check-list gratuite. Faites le point en 15 minutes sur les 10 points AI Act et RGPD à vérifier dans votre PME. Ouvrir la check-list →
Interdire ou restreindre : oui, dans certaines limites
L’employeur choisit les outils de travail et fixe les règles de leur usage. Une limite s’applique : les restrictions aux droits et libertés des salariés doivent être « justifiées par la nature de la tâche à accomplir » et « proportionnées au but recherché » (article L. 1121-1 du Code du travail ; même exigence pour le règlement intérieur, article L. 1321-3).
Interdire de traiter les informations de l’entreprise dans un outil non validé se justifie sans difficulté, pour trois raisons :
La protection des données personnelles. L’entreprise doit veiller à ce que les personnes agissant sous son autorité ne traitent les données que « sur instruction » (article 32, paragraphe 4, du RGPD). La CNIL recommande d’encadrer l’IA générative par des politiques ou chartes internes « définissant clairement les usages autorisés et les usages interdits ».
Le secret des affaires. Une information n’est protégée que si elle fait l’objet de « mesures de protection raisonnables » (article L. 151-1 du Code de commerce). Une règle interne sur l’IA ne suffit pas à elle seule, mais elle peut compter parmi ces mesures.
Vos engagements envers vos clients. Une clause de confidentialité peut interdire de transmettre leurs documents à un service tiers.
À l’inverse, l’usage personnel de l’IA en dehors du travail ne regarde pas l’employeur, tant qu’il ne porte pas sur des informations de l’entreprise. Et une interdiction sans solution de remplacement risque surtout de rendre l’usage invisible, alors que l’usage discret est déjà courant. Selon le baromètre Ifop pour Talan de mars 2025, 49 % des personnes qui utilisent l’IA générative au travail et ont un supérieur hiérarchique ne l’en avaient pas informé. La base est réduite : la question n’a été posée qu’aux 17 % d’un échantillon de 1 100 personnes qui l’utilisent dans un cadre professionnel, et ce pourcentage exclut celles qui n’ont pas de supérieur. Ne pas prévenir son supérieur n’est pas forcément désobéir, mais l’entreprise ignore alors ce qui est fait de ses informations.
Une règle écrite, connue et opposable
Le règlement intérieur fixe « les règles générales et permanentes relatives à la discipline, notamment la nature et l’échelle des sanctions » (article L. 1321-1). Il est obligatoire dans les entreprises d’au moins 50 salariés, au terme d’un délai de douze mois à compter de la date à laquelle ce seuil a été atteint pendant douze mois consécutifs (article L. 1311-2, qui renvoie à l’article L. 2312-2), soit, selon le ministère du Travail, deux ans après le franchissement du seuil si l’effectif s’y maintient. Une note de service ou une charte qui crée des obligations générales et permanentes en matière de discipline est une adjonction au règlement intérieur lorsqu’il en existe un, et elle est soumise à ses règles « en toute hypothèse » (article L. 1321-5) : avis du CSE, communication à l’inspecteur du travail, entrée en vigueur un mois au moins après la publicité (article L. 1321-4). Sans règlement intérieur, l’application de ces formalités est discutée : par prudence, suivez-les dans la mesure du possible. Le dépôt au greffe du conseil de prud’hommes ne figure plus dans la loi depuis le 28 mai 2026 (loi n° 2026-403 du 26 mai 2026) ; l’article R. 1321-2, qui en fixe les modalités, n’est pas encore abrogé, et déposer reste sans risque.
Faute de ces formalités, l’employeur ne peut pas reprocher au salarié un manquement à la note (Cass. soc., 9 mai 2012, n° 11-13.687). La procédure détaillée figure dans Politique d’usage de l’IA en entreprise : modèle et guide et Charte IA et CSE : faut-il le consulter, et comment ?
Le document est gratuit. Vous n’avez pas à le rédiger. Le modèle de politique d’usage de l’IA reprend les neuf clauses d’une politique d’usage, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.
Essayer le modèle — remplir et voir le document →
ou recevoir le modèle complet, gratuitement
Gratuit. Une adresse email suffit pour le recevoir.
Sanctionner : à quelles conditions
Une sanction est « toute mesure, autre que les observations verbales », prise après un agissement que l’employeur considère comme fautif (article L. 1331-1). Un recadrage oral n’en est donc pas une. En revanche, une lettre de mise en garde reprochant des faits fautifs en est une, selon le ministère du Travail, et la même faute ne peut pas être sanctionnée deux fois : un courriel de reproche envoyé à chaud peut fermer la porte à une sanction plus lourde. Cinq règles s’appliquent :
Une sanction prévue. Lorsqu’un règlement intérieur existe, une sanction ne peut être prononcée que si elle y figure, et une mise à pied n’est licite que si sa durée maximale est précisée (Cass. soc., 26 octobre 2010, n° 09-42.740). Une entreprise tenue d’avoir un règlement intérieur qui n’en a pas ne peut prononcer aucune sanction autre que le licenciement (Cass. soc., 23 mars 2017, n° 15-23.090, rendu quand le seuil était de 20 salariés). En cas de contestation, c’est à l’employeur de prouver que le seuil d’effectif n’était pas atteint (Cass. soc., 6 janvier 2021, n° 19-14.440, arrêt non publié rendu sous l’ancien seuil de 20 salariés).
Aucune amende. Les sanctions pécuniaires sont interdites (article L. 1331-2) : pas de retenue sur salaire pour punir un usage non autorisé.
Une procédure. Les griefs sont communiqués par écrit (article L. 1332-1). Sauf pour un avertissement ou une sanction sans incidence sur la présence, la fonction, la carrière ou la rémunération, le salarié est convoqué à un entretien préalable ; la sanction, motivée, intervient au moins deux jours ouvrables et au plus un mois après l’entretien (article L. 1332-2).
Un délai. Les poursuites doivent être engagées dans les deux mois qui suivent le jour où l’employeur a eu connaissance des faits (article L. 1332-4). Une vérification interne ne doit donc pas traîner : si une faute grave est envisagée, la rupture doit être engagée dans un « délai restreint » après la connaissance des faits, dès lors qu’aucune vérification n’est nécessaire (Cass. soc., 6 octobre 2010, n° 09-41.294).
Une sanction proportionnée. Le conseil de prud’hommes peut annuler une sanction « disproportionnée à la faute commise » (article L. 1333-2), et le doute profite au salarié (article L. 1333-1) ; pour un licenciement, ce sont les règles propres au licenciement qui s’appliquent (article L. 1333-3).
La faute grave n’est jamais automatique
La faute grave est celle qui rend impossible le maintien du salarié dans l’entreprise. Le 9 avril 2025 (n° 24-12.055, arrêt non publié au Bulletin), la chambre sociale de la Cour de cassation a rejeté le pourvoi de l’employeur contre un arrêt qui n’avait retenu ni faute grave ni même cause réelle et sérieuse de licenciement pour le transfert, par une salariée, d’un courriel et de pièces jointes confidentielles vers son adresse personnelle, contraire à ses obligations de sécurité informatique. Aucune transmission à l’extérieur n’était établie, et la cour d’appel avait relevé son ancienneté et l’absence de toute sanction ou rappel antérieur. La Cour a seulement jugé que la cour d’appel avait « pu déduire » de ces éléments l’absence de faute grave, et a laissé l’absence de cause réelle et sérieuse à son appréciation. L’affaire ne concerne pas l’IA ; par transposition, l’exposition réelle des données, l’ancienneté et les antécédents devraient compter de la même façon, comme, plus généralement, la sensibilité et le volume des données, l’intention et la clarté de la règle.
Sans règle sur l’IA, tout n’est pas permis pour autant : le ministère du Travail cite parmi les agissements pouvant être fautifs le non-respect de l’obligation de discrétion et de loyauté. À l’inverse, une erreur n’est pas forcément fautive : elle peut relever de l’insuffisance professionnelle, qui peut justifier un licenciement sans constituer une faute.
Selon la situation
| Situation | Ce que l’employeur peut faire | Précaution |
|---|---|---|
| Aucune règle écrite sur l’IA | Rappeler oralement le cadre, fixer la règle pour l’avenir, recenser les usages. Une sanction reste envisageable si l’usage viole une obligation existante (confidentialité, loyauté), au cas par cas | Ne pas sanctionner après coup le seul fait d’avoir utilisé l’IA ; écrire la règle et former |
| Règle écrite, compte personnel, aucune donnée personnelle ni confidentielle | Rappel oral de la règle ; en cas de répétition, avertissement si la règle est opposable (procédure du règlement intérieur suivie) | Proportionnalité ; se demander pourquoi l’outil autorisé ne suffit pas |
| Données clients ou personnelles saisies | Traiter d’abord l’incident (voir Données clients collées dans ChatGPT : que faire en 72 h), puis, selon les faits, procédure disciplinaire avec une sanction graduée | Engager la procédure dans les deux mois ; pas de faute grave par principe |
| Secrets d’affaires, code source | Faire supprimer les contenus, évaluer l’exposition, prévenir le client si un contrat l’exige ; sanction possible, plus lourde si la règle était claire et l’intention établie | Garder la trace des mesures de protection existantes : elles comptent pour le secret des affaires (L. 151-1) |
| Résultat d’IA non vérifié envoyé à un client | Corriger auprès du client, recadrer ; sanction envisageable si une règle de relecture connue a été ignorée | Distinguer faute et insuffisance professionnelle |
| Outil installé malgré un blocage (extension, appli de transcription) | Désinstaller, vérifier ce que l’outil a pu lire ou enregistrer ; le contournement délibéré d’une mesure de sécurité peut justifier une sanction plus lourde | Vérifier que l’interdiction était connue ; pour les réunions enregistrées, voir Enregistrer et résumer une réunion avec l’IA : les règles |
Contrôler l’usage : ce qui est permis
Contrôler l’activité et l’usage des équipements est « une contrepartie normale et inhérente au contrat de travail », rappelle la CNIL dans sa fiche du 9 juillet 2026, à trois conditions cumulatives : un dispositif justifié et proportionné, soumis aux représentants du personnel selon les règles en vigueur, et porté à la connaissance des salariés.
Filtrer et bloquer. L’employeur peut limiter l’utilisation d’internet, par exemple avec des « dispositifs de filtrage de sites » (CNIL). Bloquer les versions grand public tout en ouvrant l’offre professionnelle retenue est une mesure peu intrusive.
Journaliser pour la sécurité, sans tout garder. Pour les traces destinées à détecter les intrusions et à réaliser des audits de sécurité, le référentiel de la CNIL sur les durées de conservation en ressources humaines (publié le 2 avril 2026, mis à jour le 20 mai 2026) retient « de 6 mois à 1 an » ; sa fiche de 2015 sur internet et la messagerie, toujours en ligne, indique six mois pour les logs de connexion. En cas d’incident, les données utiles sont extraites et conservées le temps de la procédure.
Pas de surveillance constante. Elle est « en général » considérée comme une atteinte excessive ; un enregistreur de frappe pour surveiller un salarié en télétravail est disproportionné, et un outil mis en place dans un but ne doit pas poursuivre « un autre objectif caché » (CNIL). Un outil qui inspecte le contenu des requêtes pour prévenir les fuites de données est plus intrusif qu’un blocage : la CNIL cite les dispositifs dits de Data Loss Prevention parmi les exemples de traitements qui exigent une analyse d’impact relative à la protection des données (AIPD) avant leur mise en œuvre. Par prudence, limitez aussi un tel outil à des catégories de données définies et à quelques personnes habilitées.
Informer, consulter, documenter. Chaque salarié est informé avant la mise en place (article L. 1222-4 du Code du travail ; article 13 du RGPD). Dès 50 salariés, le CSE est informé et consulté « préalablement à la décision de mise en œuvre » des moyens permettant un contrôle de l’activité (article L. 2312-38). Associez le délégué à la protection des données s’il existe, et inscrivez le dispositif au registre des traitements, comme le demande la CNIL.
Consulter les traces professionnelles. Les dossiers et fichiers créés avec l’outil informatique de l’entreprise sont présumés professionnels, sauf s’ils sont identifiés comme personnels (Cass. soc., 18 octobre 2006, n° 04-48.025). L’arrêt ne vise pas l’IA : par transposition, l’historique d’un compte professionnel fourni par l’entreprise devrait suivre la même logique, à condition d’avoir informé les salariés de cette possibilité de consultation avant la mise en place. Le compte personnel du salarié, lui, n’est pas un outil de l’entreprise : demandez-lui plutôt de s’expliquer puis, sans exiger l’accès à son compte, de supprimer les contenus professionnels une fois la trace utile conservée.
Une preuve tirée d’un dispositif irrégulier n’est plus écartée d’office : le juge peut l’admettre si elle est indispensable et si l’atteinte est « strictement proportionnée au but poursuivi » (Cass. soc., 25 novembre 2020, n° 17-19.523, à propos de journaux et d’adresses IP ; Cass. ass. plén., 22 décembre 2023, n° 20-20.648, à propos d’enregistrements clandestins, pour les preuves déloyales). Ne comptez pas sur cette tolérance : un dispositif régulier dès le départ évite le débat.
Le salarié a agi seul : l’entreprise est-elle hors de cause ?
En général, non. Pour le Comité européen de la protection des données, en principe, tout traitement effectué par des employés dans le cadre des activités d’une organisation « peut être réputé avoir lieu sous le contrôle de celle-ci », sauf circonstances exceptionnelles où l’employé utilise les données à ses propres fins (lignes directrices 07/2020). Selon la CNIL, « dans le cas général », c’est l’organisme utilisateur qui engage sa responsabilité en cas de mauvaise utilisation de l’IA par son personnel. Un salarié qui colle des données clients dans son compte personnel pour une tâche professionnelle agit donc, selon toute vraisemblance, dans un traitement dont l’entreprise reste responsable.
Côté AI Act, l’article 4 prévoit que les déployeurs « prennent des mesures pour favoriser le développement de la maîtrise de l’IA » par leur personnel, sans devoir en garantir un niveau spécifique. Le déployeur est celui qui utilise un système d’IA « sous sa propre autorité » (article 3, point 4). Un outil utilisé à l’insu de l’employeur l’est-il ? Le texte ne le dit pas, et, à notre connaissance, aucune position officielle ne tranche ce cas. La Commission européenne estime, dans ses questions-réponses sur la maîtrise de l’IA, qu’une entreprise dont les salariés utilisent ChatGPT pour rédiger des textes publicitaires ou traduire est concernée par l’article 4. Par prudence, raisonnez de même dès que l’IA sert au travail, autorisée ou non.
Plutôt qu’interdire : 6 mesures simples
Un outil autorisé. Une offre professionnelle, avec contrat et sans réutilisation de vos données : voir ChatGPT, Copilot, Gemini : quelle offre pour vos données ? La CNIL conseille d’éviter les comptes créés avec des adresses électroniques personnelles.
Une règle écrite courte. Outils autorisés, données interdites, relecture obligatoire, contact. Le volet disciplinaire suit la procédure du règlement intérieur.
Une formation. Elle contribue à répondre à l’article 4 et aide à prouver que la règle a été portée à la connaissance de chacun : voir Former ses salariés à l’IA : ce qu’exige l’article 4.
Un canal pour demander un outil. Une adresse ou un formulaire, et une réponse dans un délai annoncé : l’extension ou l’appli découverte par un salarié devient une demande, pas un contournement.
Un registre. Recensez les outils réellement utilisés, sans esprit de reproche : voir Registre des systèmes d’IA : modèle et mode d’emploi.
Un point d’entrée en cas d’incident. Une personne nommée, joignable, et l’assurance qu’un signalement rapide ne sera pas reproché en tant que tel. Selon la CNIL, désigner un référent permet de proposer aux utilisateurs un point de contact pour faire remonter les problèmes.
Idées reçues
« Un salarié qui utilise ChatGPT sans autorisation peut être sanctionné sur-le-champ. » Non : il faut une règle ou une consigne connue et opposable, une procédure respectée (griefs par écrit, entretien préalable sauf pour un avertissement) et engagée dans les deux mois, et une sanction proportionnée.
« Saisir des données confidentielles dans une IA, c’est une faute grave. » Pas automatiquement : tout dépend des données, de l’exposition réelle, de l’intention et des antécédents.
« Pour savoir qui utilise quoi, il suffit de surveiller les postes. » Non : dispositif proportionné, salariés informés à l’avance, CSE consulté dès 50 salariés, et pas de surveillance constante.
« Compte personnel du salarié, donc l’entreprise n’est pas concernée. » Non : pour une tâche professionnelle, l’entreprise reste en principe responsable des données traitées.
Le modèle de politique d’usage — gratuit
Les neuf clauses d’une politique d’usage de l’IA, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.
Gratuit. Une adresse email suffit pour le recevoir.
Le kit de conformité — 199 €
Pour sanctionner un usage non autorisé de l’IA, le plus sûr est une règle écrite, connue et adoptée selon la procédure du règlement intérieur. Le kit vous aide à la poser dans votre politique d’usage (à soumettre ensuite à cette procédure), à lister les outils autorisés dans votre registre et à informer vos équipes par la note d’information au personnel.
Vous renseignez votre raison sociale et la liste de vos outils. Vous choisissez vous-même la catégorie de risque de chaque usage — interdit, haut risque, risque limité, risque minimal, ou « Je ne sais pas encore — à faire vérifier » — à l’aide d’un rappel des règles. Le kit met ensuite en forme votre politique d’usage de l’IA, dont les neuf clauses sont complétées avec les informations que vous avez saisies, votre registre des systèmes d’IA, votre journal des usages sensibles et votre note d’information au personnel.
Pas encore prêt ? Faites l’auto-diagnostic en 3 minutes ou commencez par la check-list AI Act gratuite : 10 points à vérifier en 15 minutes.
La newsletter. Un numéro tous les quinze jours : une question de conformité IA traitée avec les textes applicables et leurs dates, chaque affirmation sourcée. Gratuite, sans publicité. Lire le premier numéro — « Le premier risque de l’IA en entreprise n’est pas européen ».
À lire ensuite
Sources
Code du travail numérique : articles L. 1121-1, L. 1222-4, L. 1311-2, L. 1321-1, L. 1321-3, L. 1321-4, L. 1321-5, L. 1331-1, L. 1331-2, L. 1332-1, L. 1332-2, L. 1332-4, L. 1333-1, L. 1333-2, L. 1333-3, L. 2312-2 et L. 2312-38 (consultés le 17 septembre 2026)
Ministère du Travail, fiches du Code du travail numérique : La sanction disciplinaire (mise à jour le 28 juillet 2025), Le règlement intérieur (actualité sur la loi n° 2026-403, en vigueur le 28 mai 2026) et Le licenciement pour motif personnel : les causes possibles, les sanctions applicables (mise à jour le 19 septembre 2025), consultées le 17 septembre 2026
Cour de cassation, chambre sociale : 18 octobre 2006, n° 04-48.025 (publié au Bulletin), 6 octobre 2010, n° 09-41.294 (publié), 26 octobre 2010, n° 09-42.740 (publié), 9 mai 2012, n° 11-13.687 (publié), 23 mars 2017, n° 15-23.090 (publié), 25 novembre 2020, n° 17-19.523 (publié), 6 janvier 2021, n° 19-14.440 (inédit), 9 avril 2025, n° 24-12.055 (inédit)
Cour de cassation, assemblée plénière, 22 décembre 2023, n° 20-20.648 (publié au Bulletin)
Code de commerce, article L. 151-1 (secret des affaires)
Règlement (UE) 2016/679 (RGPD) : articles 13 et 32
Comité européen de la protection des données — Lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD (version 2.0 adoptée le 7 juillet 2021, PDF)
CNIL — Travail, ressources humaines : le contrôle de l’activité des personnes employées (9 juillet 2026)
CNIL — Le contrôle de l’utilisation d’Internet et de la messagerie électronique (20 novembre 2015, consulté le 17 septembre 2026)
CNIL — Référentiel des durées de conservation, gestion des ressources humaines (publié le 2 avril 2026, mis à jour le 20 mai 2026, PDF)
CNIL — Les questions-réponses de la CNIL sur l’utilisation d’un système d’IA générative (18 juillet 2024, questions 5 à 8)
Règlement (UE) 2024/1689 (AI Act), version consolidée au 27 juillet 2026 intégrant le règlement (UE) 2026/1744 : articles 3 et 4
Commission européenne — AI Literacy, Questions & Answers (en anglais, mise à jour le 27 juillet 2026)
Ifop pour Talan — Baromètre 2025 « Les Français et les IA génératives », vague 3 (1 100 personnes de 18 ans et plus, questionnaire en ligne du 18 au 19 mars 2025, PDF)
Rédigé par Adrien Bano, fondateur d’IA en Règle. Nous ne sommes pas avocats : cet article a été préparé avec l’aide d’outils d’IA et vérifié sur les textes officiels cités.
Cet article a un but d’information générale, établi d’après les textes en vigueur au 17 septembre 2026 ; il ne constitue pas un conseil juridique.
