Ce qu’il faut retenir
- Le mot « copilote » ne détermine pas le statut d’un système. Sa finalité prévue et son effet réel sur les personnes au travail sont décisifs.
- L’annexe III du règlement IA vise notamment certains systèmes utilisés pour le recrutement, les décisions relatives aux relations de travail, l’attribution de tâches fondée sur des comportements ou caractéristiques individuels, ainsi que le suivi et l’évaluation des performances.
- Un assistant de rédaction peut rester hors de ce périmètre puis basculer si ses traces servent à noter, classer, surveiller ou décider de l’affectation de collaborateurs.
- Les exceptions relatives à une tâche procédurale étroite ou préparatoire ont des conditions ; elles ne constituent pas une exemption automatique et ne couvrent pas le profilage de personnes physiques dans les cas prévus par le texte.
- La gouvernance doit séparer aide au contenu, qualité du processus et évaluation individuelle, avec information, accès, contestation, durée, contrôle humain et interdictions techniques.
Un copilote interne peut reformuler une note, retrouver une procédure ou suggérer une liste d’actions. Les mêmes sorties peuvent ensuite être agrégées pour comparer les salariés, attribuer les dossiers difficiles ou déclencher une revue de performance. La technologie n’a presque pas changé ; la finalité et l’effet, eux, ont changé profondément.
Cette frontière doit être tracée avant la production. Sinon, un outil présenté comme assistance devient une infrastructure de surveillance par accumulation de journaux, indicateurs et usages secondaires.
Partir de la finalité et de l’effet
Décrivez chaque usage avec un verbe, une personne et une conséquence : aider un gestionnaire à rédiger ; proposer une file de dossiers ; mesurer la qualité d’un document ; évaluer la performance d’un salarié ; recommander une affectation. « Améliorer la productivité » est trop vague.
L’article 6 et l’annexe III du règlement (UE) 2024/1689 consolidé au 27 juillet 2026 exigent une qualification fondée sur la destination prévue et les conditions du texte. Le nom commercial, l’absence de décision automatique ou la présence d’un humain ne suffisent pas à sortir du champ.
La fiche de finalité contient utilisateurs, personnes affectées, entrées, sorties, décisions influencées, fréquence, conservation, droits et interdictions. Elle est liée au registre des systèmes IA. Chaque extension reçoit une nouvelle qualification.
Lire l’annexe III sans raccourci
Le point 4 de l’annexe III vise des systèmes destinés à être utilisés pour le recrutement ou la sélection, notamment publier des offres, filtrer des candidatures et évaluer des candidats ; pour prendre des décisions affectant les conditions des relations de travail, la promotion ou la résiliation ; pour attribuer des tâches sur la base du comportement ou de traits personnels ; et pour suivre et évaluer les performances et le comportement des personnes dans ces relations.
Un outil qui résume une procédure RH n’est pas automatiquement visé. Un système qui recommande quels gestionnaires recevront les dossiers complexes selon leur historique individuel peut relever de l’allocation de tâches. Un contrôle qualité sur un document peut devenir une évaluation de la personne si le résultat est rattaché à son dossier et utilisé dans une décision.
La Commission européenne présente le cadre des systèmes à haut risque et son calendrier. Dans la version consolidée au 27 juillet 2026, les exigences des sections 1 à 3 du chapitre III visant les systèmes de l’annexe III s’appliqueront à compter du 2 décembre 2027. Cette échéance ne dispense pas de qualifier dès maintenant la finalité, les données et les usages secondaires ; la page d’orientation ne remplace pas le texte consolidé et l’analyse doit être datée puis validée juridiquement.
Tester les exceptions avec prudence
L’article 6 prévoit des conditions dans lesquelles certains systèmes de l’annexe III peuvent ne pas être considérés à haut risque s’ils ne présentent pas de risque important de préjudice pour la santé, la sécurité ou les droits fondamentaux et n’influencent pas matériellement le résultat d’une décision. Il mentionne notamment certaines tâches procédurales étroites, l’amélioration d’une activité humaine achevée, la détection de schémas de décision sans remplacer l’évaluation humaine, ou une tâche préparatoire.
Ces catégories exigent une analyse. « Préparatoire » ne signifie pas sans effet. Si le classement détermine la liste que le manager examine, il peut influencer matériellement le résultat. Le règlement prévoit en outre le traitement des systèmes qui effectuent du profilage de personnes physiques dans ce contexte. Ne transformez pas une exception conditionnelle en règle de produit.
Le dossier documente tâche, influence, dommages possibles, contrôle humain, profilage, preuve et décision. Une analyse d’exception doit pouvoir être contestée et revue après modification.
Cartographier les données collaborateurs
Un copilote collecte bien plus que le texte saisi : identifiant, heure, durée, corrections, acceptation, refus, documents consultés, volume et appels d’outil. Ces traces servent à la sécurité et au support, mais peuvent devenir un profil comportemental.
Pour chaque donnée : source, finalité, base, destinataire, durée, accès, agrégation et décision possible. Distinguez contenu métier et métrique d’usage. Une mesure nécessaire au diagnostic technique n’est pas automatiquement réutilisable pour la performance individuelle.
La CNIL rappelle les règles de protection des données applicables à la gestion du personnel. Sa page sur le contrôle de l’activité des personnes employées précise les exigences d’information, de proportionnalité et de sécurité dans ce contexte. Les règles de droit du travail et de consultation doivent être analysées avec les conseils compétents.
Les zones de commentaires libres présentent un risque particulier : données de santé, opinions, appréciations ou informations sur des tiers peuvent y apparaître. Le système limite, filtre, informe et définit une durée. Il n’infère pas une caractéristique personnelle parce qu’elle améliorerait un score.
Tracer quatre frontières d’usage
| Usage | Objet | Garde | Alerte |
|---|---|---|---|
| Assistance au contenu | Reformuler, résumer, rechercher | Sources, validation et absence de score individuel | Mesure systématique de l’acceptation par salarié |
| Contrôle qualité | Détecter une pièce ou une étape manquante | Critère sur le dossier et recours | Résultat utilisé comme note de la personne |
| Évaluation individuelle | Estimer performance ou comportement | Parcours haut risque potentiel et gouvernance RH | Proxy opaque ou effet sur carrière |
| Surveillance/allocation | Suivre ou répartir selon caractéristiques | Qualification, nécessité, proportionnalité, contrôle | Affectation automatique sans contestation |
Les frontières sont implémentées : droits séparés, exports désactivés, agrégations minimales, champs interdits, API distinctes. Une politique seule n’empêche pas un responsable d’extraire un tableau nominatif.
Le dossier sur le copilote du courtier décrit l’assistance métier. Ici, toute réutilisation vers une décision RH est un nouveau cas d’usage, pas une fonctionnalité implicite.
Un arbre de décision par fonctionnalité
Ne qualifiez pas la plateforme en bloc. Une recherche documentaire, une recommandation de file et un tableau de performance peuvent cohabiter dans le même produit tout en relevant d’analyses différentes. L’arbre commence par la sortie : porte-t-elle sur un document, un dossier ou une personne ? Influence-t-elle une décision de recrutement, carrière, relation de travail, allocation individualisée, suivi ou évaluation ? Utilise-t-elle un comportement ou une caractéristique individuelle ?
Si la réponse est positive ou incertaine, ouvrez une qualification dédiée. Si la sortie ne concerne que le contenu, vérifiez qu’elle ne sera pas agrégée par personne et qu’aucune conséquence RH n’est prévue. Le dossier conserve les raisons et les contrôles qui maintiennent cette frontière.
L’arbre est réexécuté lors d’un nouveau tableau de bord, d’une intégration au SIRH, d’un changement d’habilitation ou d’une demande de manager. Ces événements sont plus révélateurs qu’une revue annuelle abstraite.
Ne pas confondre statistiques d’adoption et aptitude
Le fournisseur fournit souvent des métriques d’usage : connexions, requêtes, temps, acceptation, corrections. Elles aident à comprendre l’adoption et à dimensionner le service. Elles ne mesurent pas directement la compétence, la qualité ou l’effort. Un faible usage peut traduire une tâche non pertinente, une meilleure expertise, un handicap d’interface ou une absence de formation.
Avant toute agrégation nominative, l’organisation démontre nécessité et proportionnalité, étudie une agrégation d’équipe, limite la durée et interdit la réutilisation. Les personnes qui ont besoin d’un support ne doivent pas être pénalisées par les traces de ce support.
Organiser information, accès et contestation
Les personnes comprennent quelles données sont traitées, pour quelle finalité, pendant combien de temps, qui reçoit les résultats et quelle conséquence peut suivre. L’information est accessible avant l’usage, puis actualisée.
L’accès permet de retrouver les données et décisions pertinentes sans révéler des secrets ou données de tiers de manière indue. La rectification corrige une donnée factuelle ; la contestation examine aussi l’interprétation et l’effet. Un canal existe pour signaler une erreur, un détournement ou un usage non déclaré.
Le traitement d’une contestation est indépendant de la personne dont la décision est contestée lorsque nécessaire. Il conserve sortie, version, données, règles, intervention humaine et correction. La personne ne doit pas être pénalisée pour avoir contesté un résultat.
Conservation et séparation des environnements
Les journaux de sécurité, les historiques de conversation et les métriques produit ont des finalités et durées différentes. Ils sont séparés logiquement, avec des droits adaptés. Une copie d’incident n’est pas versée automatiquement dans un dossier RH. Un export pour la recette est supprimé ou archivé selon une règle documentée.
La durée ne doit pas être « tant que le compte existe » par défaut. Elle est justifiée par la finalité, les obligations et le besoin de contestation. Une conservation trop courte peut empêcher de corriger une décision ; une conservation trop longue crée un profil historique disproportionné. Le DPO, la sécurité, les RH et le métier arbitrent avec des preuves.
Les environnements de test utilisent des données synthétiques ou minimisées lorsque possible. Si des données réelles sont nécessaires pour vérifier un impact, l’accès, l’échantillon et la suppression sont approuvés. Les développeurs ne disposent pas d’un accès permanent aux conversations nominatives.
Informer sans noyer les personnes
L’information prend plusieurs formes : notice générale, message au moment de l’usage, aide contextuelle et information spécifique si une nouvelle finalité est envisagée. Elle explique le rôle du système, les données, les conséquences possibles et le canal de question. Une longue politique intranet ne suffit pas si l’interface paraît obligatoire ou si le manager présente le résultat comme une note.
Les consignes précisent que l’assistant peut être contesté et que l’usage conforme ne doit pas produire un désavantage caché. Les managers reçoivent une formation distincte sur les usages interdits et les limites des métriques.
Recetter biais et détournement de finalité
La recette couvre les tâches autorisées et les abus plausibles. Elle vérifie que l’assistant refuse ou n’exécute pas une demande de classement individuel, d’inférence sensible ou d’export nominatif hors habilitation. Elle teste les invites indirectes et les pièces contenant des instructions.
Pour l’évaluation, mesurez erreurs par type de tâche, canal, langue et situation de travail. Les données historiques peuvent refléter des affectations inégales : un salarié qui reçoit les dossiers difficiles aura davantage de reprises. Le modèle ne doit pas transformer cette exposition en faible performance.
Les données synthétiques aident à créer des cas contrôlés, mais ne prouvent pas l’absence d’impact réel. Un pilote en mode silencieux, comme décrit dans le mode silencieux d’un agent, permet d’observer les sorties sans les utiliser dans une décision RH.
Chaque test a un critère et une action : corriger, limiter, revoir ou arrêter. Une moyenne ne compense pas un cas où le système infère une fragilité ou recommande une décision de carrière sans preuve.
Constituer un jeu de cas de travail
Le jeu représente les tâches, langues, produits, niveaux d’expérience et situations d’accessibilité. Il ne cherche pas à classer les personnes. Il vérifie si le système répond de façon comparable à des dossiers comparables et s’il s’abstient lorsque l’information manque.
Des paires contrôlées modifient un détail non pertinent — nom, style, horaire ou formulation — pour détecter une variation. Les résultats sont interprétés avec prudence : une différence révèle un comportement à examiner, pas automatiquement une discrimination. Les petits volumes et les interactions limitent la conclusion.
Le pilote observe aussi les effets organisationnels : charge déplacée vers les personnes qui corrigent, pression pour accepter, standardisation du ton, perte de compétence, dépendance et inégalités d’accès. Un système techniquement exact peut dégrader l’autonomie ou l’apprentissage.
Tester les interdictions techniques
Les évaluateurs tentent d’obtenir une liste de « meilleurs utilisateurs », de déduire une humeur, de comparer les pauses, de classer les personnes selon leurs corrections ou d’affecter une tâche sur une caractéristique individuelle. Le système doit bloquer, masquer ou demander une autorisation selon la politique.
Le test couvre API, export, interface administrateur et outils de veille, pas seulement la conversation. Une interdiction dans le prompt peut être contournée par une extraction de base. Les journaux signalent les tentatives sans créer un nouveau dispositif de surveillance généralisée.
Rendre le contrôle humain effectif
Le manager ne doit pas recevoir un score sans contexte. Il voit les éléments, l’incertitude, les limites et les alternatives. Il a le temps et le pouvoir de s’écarter, et sa décision est documentée sans créer une surveillance supplémentaire.
Le contrôle humain effectif repose sur compétence, autorité, information et capacité d’arrêt. Dans le domaine RH, il faut aussi prévenir le biais d’automatisation et les conflits d’objectifs. Une validation routinière ne protège pas la personne.
Une revue indépendante examine les écarts, les décisions défavorables et les contestations. Le contrôleur n’est pas rémunéré sur l’adoption du copilote. Les seuils d’escalade protègent les cas rares.
Charge et effet d’ancrage
Le contrôle humain est dimensionné. Si un manager reçoit cent recommandations avant une réunion, il les validera vraisemblablement en série. Le processus limite le nombre, affiche les éléments avant le score et réserve les décisions sensibles à une revue réelle. La mesure porte sur le temps disponible et les désaccords motivés, pas sur un objectif maximal d’acceptation.
Les personnes qui contestent disposent des éléments pertinents. Une explication générée après coup n’est pas la preuve de la logique utilisée. Le dossier conserve les variables, règles et versions au moment de la décision.
Scénario de bascule vers le classement
Scénario hypothétique : un copilote aide des gestionnaires à résumer les dossiers. Les responsables constatent que certains acceptent moins de suggestions et demandent un classement hebdomadaire des « utilisateurs performants ». Le fournisseur permet l’export en quelques clics.
Le taux d’acceptation n’est pas une mesure de performance. Un gestionnaire expérimenté peut corriger davantage ; une équipe peut traiter des dossiers complexes ; une suggestion peut être inutile. Le nouvel usage est suspendu et qualifié séparément.
La direction souhaite ensuite attribuer les dossiers selon la rapidité, l’historique de correction et un profil produit. Cet usage peut toucher l’allocation individualisée de tâches et influencer les conditions de travail. L’organisation ne le déploie pas sous la fiche « assistant de rédaction ». Elle ouvre une analyse AI Act, données personnelles et droit social.
La décision peut être de conserver une file fondée sur la disponibilité déclarée et les habilitations objectives, sans score comportemental. Elle peut aussi lancer un parcours haut risque si la finalité est maintenue. Dans les deux cas, les journaux historiques ne sont pas réutilisés silencieusement.
Décider et surveiller
Le comité reçoit la finalité, les personnes, les données, la qualification, les tests, les consultations, les mesures et le risque résiduel. Il décide d’autoriser l’assistance, de retirer une fonction, de limiter les traces ou de lancer le parcours applicable.
Le registre conserve les usages interdits. Les demandes d’export ou nouveaux tableaux de bord déclenchent une revue. La surveillance cherche les requêtes RH, agrégations nominatives, accès inhabituels, rétention excessive et corrélations entre usage du copilote et décisions de carrière.
Les indicateurs ont une unité et une limite : nombre de demandes hors finalité, accès refusés, contestations, temps de correction, incidents et changements examinés. Ils ne deviennent pas eux-mêmes un score salarié.
Le dossier de décision
Le dossier rassemble finalité, qualification, architecture, données, droits, tests, consultation, contrôles, contrat fournisseur et avis contradictoires. Il liste les usages autorisés et interdits dans un langage compréhensible. Il indique qui peut modifier la configuration, ouvrir un export ou activer une intégration RH.
La décision n’est pas « outil conforme ». Elle autorise une version, une population, des tâches et une durée, avec des conditions. Elle précise les événements de réexamen : fonctionnalité de scoring, nouvelle source, export nominatif, changement de modèle, incident, plainte ou demande de direction.
Le fournisseur ne décide pas de la finalité
Une fiche produit peut appeler une fonction « coaching », « qualité » ou « optimisation ». L’organisation observe les entrées, sorties et usages. Elle demande au fournisseur la documentation, les paramètres, les journaux et les restrictions ; elle ne délègue pas la qualification de sa relation de travail.
Le contrat exige information sur les changements qui affectent les métriques ou capacités, coopération en cas de contestation, export des preuves et suppression. Un fournisseur qui ajoute un classement par personne ne doit pas l’activer par défaut.
Plan de déploiement
- Décrire la finalité et les effets autorisés.
- Qualifier l’annexe III et les exceptions avec une version datée.
- Cartographier données, journaux, inférences et exports.
- Séparer techniquement assistance et analyse individuelle.
- Informer et consulter les acteurs requis selon le cadre applicable.
- Créer les tests de tâche, abus, biais et détournement.
- Piloter sans effet RH et examiner les erreurs.
- Définir contrôle humain, contestation et correction.
- Décider et inscrire les interdictions dans le registre.
- Surveiller les changements de finalité et les nouveaux tableaux.
Le bon critère n’est pas le nombre de suggestions acceptées. C’est la capacité à aider le travail sans transformer les traces en jugement caché sur les personnes.
Sources officielles
- EUR-Lex — règlement (UE) 2024/1689 consolidé au 27 juillet 2026, article 6 et annexe III, point 4.
- Commission européenne — Navigating the AI Act.
- CNIL — Les règles pour la gestion du personnel.
- CNIL — Contrôle de l’activité des personnes employées.
Tracer la frontière avant l’usage secondaire
Un atelier peut cartographier finalités, données, effets et interdictions avant le pilote. Échangeons sur votre copilote interne.
