IA au travail : les RH cherchent l’équilibre entre sécurité, contrôle et formation

Un salarié qui colle un compte rendu confidentiel dans un assistant conversationnel pour en obtenir une synthèse ne cherche pas nécessairement à contourner les règles. Il veut souvent gagner du temps. Mais ce geste, qui peut sembler anodin, concentre les inquiétudes des entreprises face à l’intelligence artificielle générative : où vont les données saisies, qui valide la réponse produite et l’employeur connaît-il seulement les outils réellement utilisés ? Dans ce nouvel environnement, les ressources humaines se retrouvent au croisement de la productivité, de la formation, de la sécurité et du dialogue social.

L’IA ne se déploie plus seulement dans les équipes informatiques. Elle entre dans la rédaction de documents, le service client, la recherche d’informations, l’analyse de données ou la préparation de réunions. Le défi des directions RH consiste donc à donner aux salariés un cadre suffisamment clair pour qu’ils puissent expérimenter utilement, sans faire peser sur l’organisation des risques mal compris. La réponse ne peut être seulement technique, car elle touche aux compétences, aux habitudes de travail et à la confiance entre l’entreprise et ses équipes.

L’IA s’installe dans des métiers très différents

Sous l’expression « intelligence artificielle », on regroupe des outils aux fonctions variées. Certains aident à classer ou analyser de grands volumes de données. D’autres, dits génératifs, produisent du texte, des images, du code ou des résumés à partir d’une instruction. Ce sont ces derniers qui ont rendu l’IA immédiatement accessible à une grande partie des salariés, y compris sans formation technique.

Cette facilité d’accès explique l’attrait des outils, mais aussi la difficulté à les encadrer. Une réponse bien formulée n’est pas forcément exacte. Un texte généré peut omettre une nuance, reprendre une information erronée ou être inadapté au contexte professionnel. Surtout, la qualité et la confidentialité du résultat dépendent à la fois de l’outil choisi, de sa configuration et des informations qui lui sont confiées.

Les innovations présentées lors de rendez-vous comme VivaTech, à Paris, témoignent de l’ampleur du mouvement. Des groupes tels que L’Oréal et la RATP adoptent eux aussi ces technologies afin d’optimiser certaines opérations. Pour les recruteurs comme pour les ingénieurs, la maîtrise de l’IA devient progressivement un sujet professionnel concret. Mais l’arrivée rapide de ces solutions ne signifie pas que les règles d’usage sont déjà en place partout.

Pourquoi les ressources humaines sont-elles en première ligne ?

La direction des systèmes d’information, les équipes de cybersécurité et les juristes ont un rôle essentiel dans le choix des outils et la protection des données. Les RH, elles, doivent s’assurer que les règles sont comprises, applicables et compatibles avec le travail réel. Elles interviennent aussi quand l’IA modifie une mission, fait émerger un besoin de formation ou suscite des craintes sur l’évaluation des salariés.

Le premier risque est celui d’une utilisation hors cadre. Lorsqu’un collaborateur ouvre de son propre chef un service accessible au public, l’entreprise peut ignorer quelles données sont saisies et dans quelles conditions elles sont traitées. Des informations commerciales, des éléments de contrat, des données personnelles ou des documents internes peuvent alors être exposés de manière inappropriée.

Le deuxième risque relève de la fiabilité. L’IA peut aider à préparer une réponse à un client, une note interne ou un tableau, mais elle ne doit pas dispenser de contrôle. Enfin, l’adoption de l’IA peut accentuer les écarts entre les salariés formés, capables de l’utiliser avec discernement, et ceux qui n’en connaissent ni les possibilités ni les limites.

Selon l’Association pour l’emploi des cadres, seul un cadre sur quatre a reçu une formation adéquate à l’IA. Ce chiffre illustre un décalage préoccupant : les outils sont à portée de clic, alors que les repères nécessaires pour les employer correctement restent insuffisants.

Contrôler les accès sans installer une culture de la méfiance

Face à ces risques, plusieurs entreprises choisissent de restreindre l’accès à certains outils d’IA, ou de ne les ouvrir qu’à des catégories précises de personnel. Cette approche peut être justifiée lorsqu’un métier traite des informations particulièrement sensibles ou lorsqu’une solution n’a pas encore été évaluée. Elle permet aussi de commencer par des usages ciblés, mieux accompagnés.

Mais le contrôle ne suffit pas à lui seul. Mickaël Vandepitte, directeur produit RH de la PME Septeo, souligne qu’une méfiance persistante envers les salariés peut freiner les initiatives d’encadrement. Le problème, selon lui, est aussi que les entreprises n’ont pas encore pleinement mesuré toutes les façons dont leurs collaborateurs peuvent s’emparer de ces outils.

Un blocage général peut donner l’impression de protéger l’organisation, sans pour autant faire disparaître l’intérêt des salariés pour l’IA. À l’inverse, une liberté sans règles expose l’entreprise à des erreurs et à des fuites. La solution la plus solide consiste à distinguer les situations : certains outils peuvent être largement accessibles pour des tâches peu sensibles, tandis que d’autres usages doivent être réservés à des équipes formées, sur des environnements validés.

Benoît Serre, ancien vice-président de l’Association nationale des DRH, met en avant la crainte des fuites d’informations et de l’espionnage économique. Cette préoccupation est centrale : une politique IA ne doit pas uniquement dire ce qu’un salarié a le droit de faire. Elle doit surtout expliquer pourquoi certaines données ne doivent jamais être saisies dans certains services.

Former à l’IA, une compétence professionnelle et non un simple tutoriel

Une formation utile ne se limite pas à montrer comment rédiger une instruction efficace. Savoir obtenir un texte convaincant ne garantit ni que ce texte est juste, ni qu’il peut être utilisé dans un cadre professionnel. La formation doit aider les équipes à reconnaître les erreurs plausibles, à vérifier les résultats, à protéger les informations sensibles et à connaître les règles internes.

Depuis le 2 février 2025, l’article 4 du règlement européen sur l’intelligence artificielle, souvent appelé AI Act, demande aux fournisseurs et aux utilisateurs professionnels de systèmes d’IA de prendre des mesures pour assurer un niveau suffisant de culture IA parmi les personnes qui les utilisent ou les supervisent. Le texte tient compte de leurs connaissances techniques, de leur expérience, de leur formation et du contexte d’utilisation.

Cette obligation ne dicte pas un programme standard ni un nombre précis d’heures de cours. Elle renforce toutefois une idée simple : mettre un outil à disposition sans expliquer ses limites devient difficilement défendable. La bonne formation dépend du métier. Un chargé de clientèle doit, par exemple, savoir protéger les informations relatives aux clients et vérifier toute réponse qui leur est destinée. Un manager doit également comprendre qu’une recommandation automatisée ne constitue pas, à elle seule, une base suffisante pour évaluer une personne.

Les fuites de données montrent les limites d’une adoption trop rapide

Les incidents signalés dans certaines organisations rappellent que les risques ne sont pas théoriques. Nourdine Bihmane, directeur général de Konecta, a reconnu que des fuites de données avaient été constatées dès les premières utilisations de l’IA. L’entreprise a réagi en mettant en place des contrôles techniques et en sensibilisant ses équipes au fonctionnement des outils accessibles.

Ce type de retour d’expérience est particulièrement utile, car il évite deux écueils. Le premier serait de considérer toute IA comme intrinsèquement dangereuse. Le second serait de croire qu’une simple charte suffit à empêcher les erreurs. La sécurité repose sur plusieurs niveaux : des outils autorisés, des paramètres adaptés, des droits d’accès, des consignes simples et une capacité à signaler rapidement un incident.

Dans la pratique, les salariés doivent notamment savoir repérer les informations à ne pas transmettre : données personnelles, documents confidentiels, éléments de propriété intellectuelle, informations financières non publiques ou données relatives aux clients. Ils doivent aussi comprendre qu’un contenu créé par IA peut être utilisable comme brouillon, tout en restant impropre à une diffusion sans relecture.

Les contrôles techniques et la formation se complètent. Les premiers réduisent certaines possibilités d’erreur. La seconde aide les personnes à prendre de bonnes décisions dans les situations imprévues, là où aucune liste de blocage ne peut tout couvrir.

Vie privée, surveillance et dialogue social : des limites à respecter

Encadrer l’usage de l’IA ne donne pas à l’employeur un droit illimité de surveiller chaque action de ses salariés. En France, lorsqu’un dispositif collecte des informations personnelles sur un salarié, celui-ci doit être informé, conformément au Code du travail. Les traitements de données personnelles doivent également respecter les règles applicables en matière de protection des données, notamment le principe de proportionnalité.

Concrètement, une entreprise qui souhaite analyser les usages d’un outil doit définir une finalité précise. Veut-elle prévenir les fuites de données, mesurer l’adoption d’une solution interne, accompagner les besoins de formation ou contrôler l’activité individuelle ? Ces objectifs n’emportent pas les mêmes conséquences. Plus une mesure se rapproche d’un suivi individualisé, plus l’information des salariés, l’examen de sa nécessité et le dialogue social sont importants.

Les RH ont donc intérêt à associer le plus tôt possible les équipes informatiques, la sécurité, les juristes, les managers et les représentants du personnel. Une règle conçue uniquement par la technique risque d’être incomprise. Une règle conçue sans tenir compte des contraintes de sécurité peut être imprudente. Le cadre doit être à la fois protecteur et suffisamment concret pour guider les décisions quotidiennes.

Comment construire une politique IA réellement applicable ?

Une charte longue et trop abstraite risque de rester dans un dossier partagé. Une politique efficace commence plutôt par les pratiques réelles des métiers. Quels outils les salariés utilisent-ils déjà ? Pour quelles tâches ? Quelles données manipulent-ils ? Quels gains espèrent-ils, et quelles erreurs redoutent-ils ? Ce diagnostic permet de prioriser les sujets les plus urgents.

Les entreprises peuvent ensuite avancer par étapes :

• identifier quelques cas d’usage utiles et peu sensibles pour démarrer ;
• sélectionner des outils et des environnements approuvés ;
• rédiger des règles courtes, accessibles et illustrées par des exemples de situations de travail ;
• former les équipes selon leurs métiers, plutôt que proposer un module identique à tous ;
• désigner des interlocuteurs capables de répondre aux questions et de faire remonter les incidents ;
• réviser régulièrement la charte, car les outils comme les pratiques évoluent vite.

Dans cette organisation, les RH ne sont pas seulement chargées de faire appliquer une interdiction. Elles deviennent des facilitatrices : elles organisent l’apprentissage, veillent à l’équité d’accès aux compétences et aident les managers à intégrer l’IA sans déléguer leur responsabilité. C’est aussi une manière de réduire l’écart entre les salariés qui expérimentent seuls et ceux qui n’osent pas encore utiliser ces outils.

Ce qu’il faut surveiller dans les prochains mois

L’enjeu n’est plus de savoir si l’IA entrera dans le travail quotidien, car elle y est déjà présente sous différentes formes. La question est de savoir si son adoption sera choisie, comprise et sécurisée. Les entreprises devront suivre la progression de la formation, les usages réellement développés, les incidents éventuels et la capacité des équipes à signaler leurs doutes sans crainte.

La mise en conformité avec les règles européennes, la protection des données et la prévention des fuites resteront essentielles. Mais l’indicateur le plus révélateur sera sans doute la qualité du dialogue interne. Une organisation qui explique ses règles, donne des outils adaptés et forme ses salariés a davantage de chances de tirer un bénéfice durable de l’IA qu’une entreprise qui oscille entre interdiction totale et laisser-faire.