L’utilisation de l’IA pour évaluer les performances des salariés est-elle licite ?

⏱️ Temps de lecture: 14 min · 📁 Catégorie: KVKK & Conformité numérique

L’IA appliquée aux performances et aux données du personnel est-elle licite ? (Transmission, analyse, conservation, profilage et risques KVKK – 2026)

Les équipes RH analysent désormais couramment les rapports de performance avec l’IA,
y déposent des CV, évaluations et retours, demandent si un salarié présente un risque, et
certains outils conservent les données dans leurs propres systèmes.
Du point de vue de la KVKK, le véritable risque commence avec ces pratiques.

🔑 Principe fondamental : Le risque KVKK tient aux données confiées à l’IA et à leur destination plutôt qu’à l’usage de l’IA lui-même.
La question KVKK est : Où sont allées les données, qui y a accédé, combien de temps ont-elles été conservées et à quelle fin utilisées ? 1️⃣ Qu’est-ce qu’un dossier du personnel au regard de la KVKK ?

Un dossier du personnel contient généralement :

• Informations d'identité, coordonnées
• CV et dossiers de formation ou de certification
• Formulaires d’évaluation des performances
• Commentaires des responsables et notes de retour
• Procédures disciplinaires et procès-verbaux
• Absences, objectifs et informations sur les primes

Tous ces éléments constituent des données personnelles.
Les données de performance, disciplinaires et comportementales sont généralement considérées comme des ensembles de données à haut risque.
Car elles peuvent affecter directement la vie professionnelle et l’avenir économique d’une personne.

2️⃣ Carte des risques : transmission → analyse → conservation → profilage → décision

Dans l'utilisation d'IA, le risque augmente habituellement dans cette chaîne :

1. Transmettre le dossier à l’IA (déposer des fichiers PDF, Excel ou Word ; copier du texte)
2. Analyse ou interprétation (résumé, commentaire, détection des risques, évaluation du potentiel)
3. Enregistrement ou conservation (l’outil conserve-t-il les données ?)
4. Profilage ou notation (score, segment, étiquette à risque ou à haut potentiel)
5. Influence sur les décisions (usage pour les promotions, primes ou licenciements)

📌 Signal d’alerte en audit : Lorsque les étapes 3, 4 et 5 — conservation, profilage et influence sur les décisions — interviennent,
la charge de conformité et les besoins de preuve augmentent fortement. 3️⃣ Scénario 1 : déposer un dossier de performance dans un outil d’IA

Exemple : Un spécialiste RH a réuni l’évaluation, les commentaires du responsable et les tableaux d’objectifs d’un salarié dans un PDF.
Le spécialiste l’a déposé dans l’outil d’IA et a demandé :
Quels sont le niveau de performance et le potentiel de promotion de ce salarié ?

Critères	Évaluation
Y a-t-il des données personnelles?	✅
Y a-t-il analyse/interprétation?	✅
Y a-t-il profilage ou classification ?	✅
La personne pourrait-elle subir des conséquences défavorables ?	✅

Il s’agit d’une activité de traitement à haut risque car l’IA est susceptible de
produire des interprétations à partir des données de performance et d’influencer les décisions.

Trois facteurs aggravants :

• Déposer le dossier complet sans minimisation des données
• Utiliser les résultats pour les promotions, primes ou licenciements
• Infrastructure étrangère ou politique de conservation incertaine de l’outil

4️⃣ Scénario 2 : l’outil d’IA conserve les données dans son système

Exemple : Les conditions de l’outil prévoient que les données saisies peuvent être conservées pour améliorer le service.
Les RH déposent des données de performance que l’outil peut garder dans son propre environnement.

Cela dépasse l’analyse et crée un risque de conservation et de possible réutilisation.
La question essentielle au regard de la KVKK est de savoir si les durées de conservation, droits d’accès et finalités d’utilisation peuvent être contrôlés.

📌 Point essentiel : Les données du personnel peuvent avoir échappé au contrôle de l’employeur.
Une conservation non maîtrisée crée de graves risques pour la limitation des finalités et la sécurité des données. 5️⃣ Scénario 3 : un score de performance IA entre dans la décision

Exemple de résultat : Ce salarié est peu performant, présente un risque et manque de motivation.
Ce résultat sert à évaluer les promotions ou primes, ou dans une procédure de licenciement.

En pratique, cela constitue du profilage et une évaluation automatisée.
Le risque culmine lorsque le résultat cesse d’être une recommandation pour devenir la décision.

La question essentielle posée lors de l’audit est : Comment ce score a-t-il été produit, quelles données ont été utilisées, comment est-il corrigé en cas d’erreur,
quel mécanisme s’applique lorsque le salarié conteste, et y a-t-il un examen humain ? 6️⃣ Scénario 4 : dossier supposé anonymisé (risque d’identification indirecte)

Exemple : Les RH ont retiré les noms, mais le dossier contient encore poste, service, ancienneté, évaluations et descriptions d’événements précis.
Avec cette information dans une petite équipe, la personne peut être indirectement identifiée.

⚠️ À retenir : Si une personne peut être identifiée indirectement, les données restent personnelles.
Surtout dans les petites équipes, l'anonymisation échoue souvent. 7️⃣ Scénario 5 : l’IA recommande, l’humain décide (modèle plus défendable)

Exemple : L’IA recommande la formation X pour ce salarié.
Le responsable ou comité RH effectue l’évaluation finale ; le score IA n’est pas utilisé seul et le salarié est informé du processus.

Ce modèle est plus défendable grâce à une intervention humaine dans le processus.
La minimisation, la sécurité, la conservation et les transferts restent à gérer.

8️⃣ Quand faut-il un consentement explicite pour les données du personnel ?

Le consentement explicite n’est pas toujours une base solide, car sa liberté est discutée dans la relation salarié-employeur.
Néanmoins, les situations suivantes peuvent nécessiter un consentement explicite et, au minimum, une analyse juridique très rigoureuse est nécessaire :

• Si les données de performance font systématiquement l’objet d’analyses par l’IA
• Si l’IA produit des interprétations, des profils ou des déductions sur les risques
• Si l'outil AI stocke des données
• Si un transfert de données à l’étranger est possible

❌ Fausses hypothèses :

• C’est inscrit au contrat de travail → cela ne suffit pas à lui seul
• L’autorité de l’employeur n’autorise pas un traitement illimité des données.

9️⃣ Transferts de données à l’étranger (le point le plus dangereux)

De nombreux outils d'IA fonctionnent sur le cloud et leur infrastructure peut être située à l'étranger.
Le dépôt d’un dossier du personnel dans un outil d’IA peut créer un risque de transfert international de données.

• Vers quels pays les données sont-elles envoyées ?
• Existe-t-il une chaîne de sous-traitants ultérieurs ?
• Quelle est la période de conservation?
• Comment les droits d’accès et les journaux sont-ils gérés ?

Avertissement pratique : Parler d’usage interne ne supprime pas les risques de transfert lorsque les données vont vers des services cloud. 🔟 L’approche du Conseil (perspective 2026)

Principes qui se distinguent dans la perspective de la vérification :

• La relation salarié-employeur est inégale ; la liberté du consentement est toujours à examiner.
• La surveillance constante et la notation sont abordées avec prudence
• L’IA ne peut être une boîte noire ; le processus doit pouvoir être audité
• Le responsable du traitement — l’employeur — ne peut déléguer sa responsabilité.

1️⃣1️⃣ Lignes rouges claires pour les RH

• ❌ Déposer les dossiers du personnel dans des outils d’IA non maîtrisés
• ❌ Autoriser conservation ou réutilisation sans contrat ni contrôle
• ❌ Utiliser les seuls scores automatisés comme décision
• ❌ Ne pas informer l'employé (pas de transparence)
• ❌ Ignorer les transferts de données à l’étranger

1️⃣2️⃣ Construire un modèle plus sûr : résumé opérationnel

• Minimisation : Uniquement les champs nécessaires à la finalité, plutôt que le dossier complet.
• Masquage : Retirer les identifiants directs et indirects.
• Contrôle de conservation : Absence de conservation par l’outil ou limites contractuelles strictes.
• Validation humaine : L’IA recommande seulement ; une personne décide.
• Transparence : Informer les salariés sur leurs données et expliquer le processus.
• Contrôle des transferts : Contrôles techniques et contractuels des risques cloud et internationaux.
• Enregistrement : Qui a traité quelles données, à quelle fin, quand ? (preuve pour vérification)

🧠 Conclusion d’expert

L'IA peut soutenir le rendement des employés, mais le sort de l'employé ne peut être laissé à l'IA.
Confier des dossiers du personnel à l’IA peut être possible dans des configurations limitées, mais présente généralement un risque élevé
et une mauvaise mise en œuvre peut directement enfreindre la KVKK.

Obtenez une politique d’usage de l’IA RH et une carte des risques KVKK