RGPD et IA en entreprise : ce que nous appliquons vraiment

Si vous déployez de l'IA qui touche au travail de vos équipes, voici la réponse courte : la conformité ne se joue pas dans les mentions légales, elle se joue dans l'architecture du produit. Chez notre client pilote, un Intermarché d'environ 80 collaborateurs, nous avons gravé la règle dans le logiciel lui-même : l'outil coordonne les personnes, il n'évalue jamais les personnes. Cet article raconte comment nous appliquons concrètement le RGPD et le règlement européen sur l'IA, décisions techniques à l'appui, et ce que nous avons appris en le faisant pour de vrai plutôt qu'en le lisant dans un guide.

Ce que le RGPD exige vraiment d'un outil de pilotage d'équipe

Un logiciel qui répartit des tâches entre salariés traite nécessairement des données personnelles : noms, plannings, compétences, affectations. Le RGPD ne l'interdit pas, il exige que le traitement soit cadré : une finalité précise, une base légale identifiée, une collecte limitée au nécessaire, une durée de conservation définie et des droits exerçables.

Mais pour un outil interne à l'entreprise, le RGPD n'est que la moitié du cadre. L'autre moitié, souvent oubliée, est dans le Code du travail : l'article L1222-4 interdit de collecter des informations concernant personnellement un salarié par un dispositif qui n'a pas été porté préalablement à sa connaissance, et l'article L1222-3 impose la transparence des méthodes d'évaluation professionnelle. Autrement dit : pas de dispositif de suivi déployé en douce, et pas d'évaluation opaque.

C'est ce double cadre qui a dicté nos choix de conception, avant même la première ligne de code. Chez notre pilote, les équipes ont été informées et associées : chaque fonctionnalité a été testée sur le terrain avec les managers et les employés, comme nous le racontons dans le récit complet du déploiement.

La ligne rouge : coordination oui, surveillance non

La question qui fâche, autant la traiter de front. Un outil de pilotage opérationnel peut-il devenir un outil de surveillance des salariés ? Techniquement, oui. C'est exactement pour cela que nous avons tracé une ligne rouge structurelle dans Optines, et qu'elle est la même dans tout ce que nous construisons :

Ce que l'outil fait au niveau individuel : de la coordination. Pour répartir les colis qui arrivent à quai, l'algorithme croise les compétences, la disponibilité et la charge en cours de chaque employé. C'est le travail normal d'un outil de planification, le même que celui d'un manager avec son tableau Excel, en plus rapide.

Ce que l'outil ne fait jamais : de l'évaluation individuelle. La performance est lue au niveau collectif : l'équipe, le rayon, le secteur. Pas de score par personne, pas de classement, pas de géolocalisation. Les alertes portent sur les tâches (une tâche qui n'avance plus déclenche une alerte de blocage), jamais sur "l'inactivité" d'une personne.

Et l'humain garde la main. L'article 22 du RGPD encadre les décisions entièrement automatisées produisant des effets significatifs sur les personnes. Dans Optines, la répartition proposée par l'algorithme est confirmée par le manager. La machine propose, l'humain décide : c'est plus sain juridiquement, et c'est surtout plus sain managérialement.

Cette ligne n'est pas un compromis commercial, c'est une conviction : le management par la surveillance détruit précisément l'engagement que l'outil est censé servir. Les heures que notre pilote a récupérées, environ 10 400 par an comme détaillé dans notre mesure des heures de coordination, viennent d'une meilleure organisation, pas d'une pression individuelle.

Comment cette règle est gravée dans le produit

Les principes, tout le monde les affiche. Voici les décisions techniques qui les rendent vérifiables :

• Hébergement en France, chez OVHcloud, dont les datacenters sont certifiés ISO 27001. Aucun transfert de données hors de l'Union européenne.
• Cloisonnement par rôle (Row-Level Security) : un manager de rayon ne voit que son secteur, un directeur voit son magasin. L'assistant IA embarqué reçoit un contexte filtré par ces mêmes règles : il ne peut pas répondre avec des données que l'utilisateur connecté n'a pas le droit de voir.
• Chiffrement des données en transit et au repos. Nous n'écrivons jamais "chiffrement de bout en bout" : pour un logiciel qui traite les données côté serveur, ce serait techniquement faux, et un prestataire qui vous le promet mérite une question de plus.
• Droits intégrés, pas promis : export complet des données aux formats JSON et CSV, droit à l'effacement outillé dans le produit, contrat de sous-traitance (DPA) conforme au RGPD.
• Vos données ne nourrissent aucun modèle. Elles servent votre service, rien d'autre.

L'AI Act : ce qui s'applique déjà, ce qui arrive

Le règlement (UE) 2024/1689, dit AI Act, s'applique par paliers. Deux échéances concernent directement une PME qui utilise de l'IA :

Depuis le 2 février 2025 : la littératie IA (article 4). Les entreprises qui utilisent des systèmes d'IA doivent veiller à ce que leurs personnels aient un niveau suffisant de compréhension de ces systèmes. Concrètement : former les gens qui s'en servent. C'est une obligation que la formation initiale incluse dans nos déploiements prend en compte, et c'est de toute façon une condition d'adoption : un outil que les équipes ne comprennent pas est un outil qui échoue.

En août 2026 : la transparence (article 50). Les personnes qui interagissent avec une IA devront en être informées. Nous l'appliquons déjà : dans Optines, l'assistant conversationnel est présenté pour ce qu'il est.

Le reste du calendrier, notamment les obligations renforcées des systèmes à haut risque, s'étale jusqu'en 2027. Un outil de coordination opérationnelle comme le nôtre n'entre pas dans les catégories interdites de l'article 5 (notation sociale, manipulation), et nous suivons les travaux d'interprétation en cours pour le reste. Nous avons consacré un article complet aux obligations AI Act d'une PME : calendrier détaillé, frontière du haut risque pour les outils RH et checklist avant août 2026. Précision d'honnêteté : cet article est un retour d'expérience de terrain, pas un conseil juridique. Pour votre situation précise, parlez-en à votre conseil.

Les questions à poser à n'importe quel prestataire, nous compris

Plutôt qu'une checklist de certifications, voici les questions dont les réponses ne se maquillent pas :

1. Où sont hébergées les données, physiquement, et chez qui ?
2. Mes données servent-elles à entraîner vos modèles ou ceux d'un tiers ?
3. Que voit exactement chaque profil d'utilisateur, et comment est-ce cloisonné ?
4. Si l'outil suit l'activité, à quel niveau : la tâche, l'équipe, ou la personne ? Et qu'en verront les salariés ?
5. Comment je récupère tout et comment tout est effacé si je résilie ?
6. Qui est votre sous-traitant d'hébergement et où est le contrat DPA ?

Un prestataire sérieux répond aux six en une réunion, documents à l'appui. Nous répondons aux six dans nos contrats, et les plus structurantes sont déjà publiques sur ce site.

Ce que nous avons appris en le faisant pour de vrai

Trois leçons du déploiement pilote, pour finir.

La première : la conformité conçue en amont coûte moins cher que la conformité rattrapée. La ligne "coordination oui, surveillance non" a orienté l'architecture dès le départ ; l'ajouter après coup aurait signifié tout redessiner.

La deuxième : la transparence avec les équipes n'est pas qu'une obligation légale, c'est la condition de l'adoption. L'outil a été co-construit avec les managers et les employés du magasin, et c'est pour cela qu'il est utilisé, pas subi.

La troisième : les textes bougent, le principe tient. RGPD, Code du travail, AI Act : les calendriers évoluent, mais un produit conçu pour coordonner sans évaluer les personnes traverse ces évolutions sans refonte.

Si vous voulez cadrer votre propre projet, notre Audit IA inclut ce volet conformité dès l'état des lieux, et si vous avez une question précise sur votre situation, écrivez-nous : nous répondons en 24 heures ouvrées.