Actualités

L'usage d'une IA générative grand public peut constituer une faute, dont la sanction reste soumise au contrôle de proportionnalité du juge

Analyse · Article L.1222-1 du code du travail ; article L.151-1 du code de commerce ; article 4 du règlement (UE) 2024/1689 du 13 juin 2024

Illustration : L'usage d'une IA générative grand public peut constituer une faute, dont la sanction reste soumise au contrôle de proportionnalité du juge — Illustration

11 septembre 2026

Aucun texte du Code du travail ne vise spécifiquement l'usage, par les salariés, d'outils d'IA générative grand public, et nous n'avons identifié aucun arrêt de la Cour de cassation sur ce point. Le cadre existe pourtant : exécution de bonne foi du contrat, secret des affaires, sécurité des données personnelles et, pour les entreprises qui utilisent des systèmes d'IA sous leur autorité, obligation de favoriser la maîtrise de l'IA par leur personnel. L'employeur peut encadrer ces usages par une charte ou le règlement intérieur, après consultation du CSE, et sanctionner une fuite d'informations confidentielles. Le salarié peut, de son côté, se prévaloir de l'absence de règle claire et du contrôle de proportionnalité exercé par le juge sur la sanction.

Le droit commun du contrat de travail suffit à fonder l'analyse, faute de jurisprudence propre à l'IA

Le contrat de travail est exécuté de bonne foi (article L.1222-1 du code du travail). Cette obligation, complétée le cas échéant par une clause de confidentialité ou de discrétion, interdit au salarié de mettre en péril les informations de l'entreprise. Nos recherches dans les bases de jurisprudence judiciaire, à la date de rédaction, n'ont fait apparaître aucune décision de la Cour de cassation statuant sur la faute d'un salarié liée à l'usage d'un outil d'IA générative.

L'analyse procède donc par transposition des solutions rendues en matière de copie, de transfert ou de divulgation d'informations de l'entreprise. Cette transposition comporte une part d'incertitude : la qualification exacte de la saisie d'un contenu dans un outil externe dépend des conditions d'utilisation de celui-ci, des paramètres choisis et de la nature des informations en cause, que le juge appréciera au cas par cas.

La saisie d'informations protégées dans un outil externe peut porter atteinte au secret des affaires

Est protégée au titre du secret des affaires l'information qui n'est pas généralement connue ou aisément accessible, qui revêt une valeur commerciale du fait de son caractère secret et qui fait l'objet, de la part de son détenteur légitime, de mesures de protection raisonnables (article L.151-1 du code de commerce). La troisième condition concerne directement l'employeur : l'absence de règles internes sur les outils d'IA peut affaiblir la protection dont il se prévaudra ensuite.

L'utilisation ou la divulgation d'un secret des affaires est illicite lorsqu'elle est réalisée sans le consentement du détenteur légitime par une personne qui agit en violation d'une obligation de ne pas divulguer le secret ou d'en limiter l'utilisation (article L.151-5 du code de commerce). L'obtention est elle-même illicite lorsqu'elle résulte notamment d'une copie non autorisée d'un fichier contenant le secret (article L.151-4 du code de commerce). Dans une instance relative à une atteinte au secret des affaires, celui-ci n'est en revanche pas opposable lorsque la divulgation intervient, notamment, pour révéler de bonne foi une activité illégale dans le but de protéger l'intérêt général, y compris dans l'exercice du droit d'alerte (article L.151-8 du code de commerce).

Les données personnelles confiées à un outil d'IA engagent la responsabilité de l'employeur

Lorsque le salarié saisit des données relatives à des clients, des candidats ou des collègues, le traitement est en principe réalisé sous l'autorité de l'employeur, responsable du traitement. Les données doivent être collectées pour des finalités déterminées et traitées de façon à garantir une sécurité appropriée, y compris contre le traitement non autorisé (Règlement (UE) 2016/679 (RGPD), article 5), et le responsable doit mettre en œuvre des mesures techniques et organisationnelles adaptées au risque, en tenant compte notamment du risque de divulgation non autorisée (article 32 du RGPD).

Symétriquement, toute personne agissant sous l'autorité du responsable du traitement et ayant accès à des données personnelles ne peut les traiter que sur instruction de celui-ci (article 29 du RGPD). L'employeur a donc intérêt à formuler ces instructions par écrit ; le salarié, à s'y conformer et à signaler les situations où elles font défaut. Sur les conditions d'indemnisation d'une violation du RGPD, voir notre commentaire de Cour de cassation, chambre sociale, 24 juin 2026, n°24-22.792, publié au Bulletin.

L'employeur peut encadrer ces usages par la charte, le règlement intérieur et la formation

Des règles générales et permanentes interdisant ou conditionnant l'usage d'outils d'IA externes relèvent de la discipline et de la sécurité : formalisées dans une note ou une charte, elles constituent, lorsqu'il existe un règlement intérieur, une adjonction à celui-ci et sont en toute hypothèse soumises à l'avis du CSE et aux formalités de publicité (article L.1321-5 du code du travail ; article L.1321-4 du code du travail). Dans les entreprises d'au moins cinquante salariés, le CSE est en outre consulté sur l'introduction de nouvelles technologies (article L.2312-8 du code du travail) et, si l'employeur entend journaliser ou contrôler les requêtes, sur les moyens de contrôle de l'activité (article L.2312-38 du code du travail), les salariés devant en être préalablement informés (article L.1222-4 du code du travail). Les restrictions doivent rester proportionnées (article L.1121-1 du code du travail).

Le règlement européen sur l'intelligence artificielle impose aux fournisseurs et aux déployeurs de systèmes d'IA une obligation relative à la maîtrise de l'IA de leur personnel. Les chapitres I et II, qui comprennent cette obligation, s'appliquent depuis le 2 février 2025 (Règlement (UE) 2024/1689, article 113). Dans sa rédaction initiale, l'article 4 exigeait des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA. Depuis le 27 juillet 2026, dans sa version modifiée par le règlement (UE) 2026/1744 du 8 juillet 2026 selon la version consolidée publiée sur EUR-Lex, il impose de prendre des mesures pour favoriser le développement de cette maîtrise, sans contraindre à garantir un niveau spécifique pour un individu (Règlement (UE) 2024/1689, article 4).

Le déployeur est la personne utilisant sous sa propre autorité un système d'IA, hors activité personnelle à caractère non professionnel (Règlement (UE) 2024/1689, article 3, point 4). L'application de cette obligation à un usage non autorisé par l'employeur reste discutable ; la formation n'en demeure pas moins le moyen le plus sûr de rendre les règles internes compréhensibles et opposables en pratique.

La fuite d'informations confidentielles peut justifier un licenciement pour faute grave

La Cour de cassation a approuvé la qualification de faute grave retenue contre une salariée qui, bien qu'elle ne fût pas en charge de la fabrication, avait copié de sa propre initiative, sur des clés USB lui appartenant, de nombreux fichiers relatifs au processus de fabrication qu'elle avait l'intention d'emporter, et ce nonobstant son ancienneté (Cour de cassation, chambre sociale, 25 septembre 2024, n°23-13.992, publié au Bulletin). La lettre de licenciement invoquait le risque de voir ces données sensibles circuler sur des supports non sécurisés.

Le même arrêt rappelle les exigences probatoires : l'exploitation de supports personnels hors la présence du salarié porte atteinte à sa vie privée, et la preuve n'a été admise que parce qu'elle était indispensable et l'atteinte strictement proportionnée, conformément à la jurisprudence de l'assemblée plénière (Cour de cassation, assemblée plénière, 22 décembre 2023, n°20-20.648, publié au Bulletin). Transposé à l'IA, cela suppose que l'employeur établisse la nature des informations saisies et l'outil utilisé par des moyens licites ou, à défaut, proportionnés.

Le salarié peut opposer l'absence de règle claire et la disproportion de la sanction

La faute grave n'est pas automatique. Dans une affaire où une salariée avait transféré un courriel et ses pièces jointes confidentielles de sa messagerie professionnelle vers son adresse personnelle, en méconnaissance des règles de sécurité informatique, la Cour de cassation a jugé que la cour d'appel, faute d'élément établissant une transmission à des tiers et compte tenu de l'ancienneté de la salariée et de l'absence de toute sanction ou rappel antérieur, avait pu écarter la faute grave et avait souverainement décidé, dans l'exercice des pouvoirs qu'elle tient de l'article L.1235-1, que les faits ne constituaient pas une cause réelle et sérieuse (Cour de cassation, chambre sociale, 9 avril 2025, n°24-12.055, inédit, arrêt non publié).

Le salarié poursuivi pour l'usage d'une IA générative peut donc faire valoir l'absence d'interdiction claire ou de formation, la tolérance antérieure de l'employeur, la nature réelle des données saisies et l'absence de diffusion effective. Lorsque la règle invoquée résulte d'une charte non soumise aux formalités du règlement intérieur, son opposabilité peut être discutée ; en outre, une sanction disciplinaire autre que le licenciement ne peut être prononcée par un employeur tenu d'établir un règlement intérieur que si elle est prévue par celui-ci (Cour de cassation, chambre sociale, 23 mars 2017, n°15-23.090, publié au Bulletin, rendu sous l'empire du seuil alors fixé à vingt salariés ; le seuil est aujourd'hui de cinquante salariés, article L.1311-2 du code du travail).

À retenir

L'usage d'une IA générative grand public relève, en l'absence de jurisprudence spécifique de la Cour de cassation, des règles classiques : bonne foi contractuelle, secret des affaires et sécurité des données personnelles. L'employeur a intérêt à adopter des règles claires, soumises à l'avis du CSE et portées à la connaissance des salariés, à fournir des outils autorisés et à former son personnel, l'article 4 du règlement (UE) 2024/1689 imposant désormais de favoriser la maîtrise de l'IA. La divulgation d'informations confidentielles peut justifier une faute grave, mais le juge contrôle la preuve et la proportionnalité : ancienneté, absence de rappel préalable, absence de diffusion effective et imprécision des règles internes sont autant d'arguments pour le salarié.

Notes et références

Références vérifiées sur Légifrance ; articles en vigueur.

Pour aller plus loin

Domaines d’intervention

Questions fréquentes liées

Toutes les actualités

Vous êtes salarié, cadre ou dirigeant : l’accompagnement des salariés en droit du travail à Paris. Vous êtes employeur : l’accompagnement des entreprises en droit du travail à Paris.

Ce commentaire présente la portée générale d’une décision et ne constitue pas un conseil juridique personnalisé. Pour un avis circonstancié, contactez Maître Frech.