IA en entreprise : ce que la jurisprudence 2026 impose vraiment avant tout déploiement

L'intelligence artificielle est désormais accessible à toute entreprise. Elle permet d'automatiser des tâches répétitives, d'accélérer le traitement de l'information, de renforcer la veille concurrentielle et d'améliorer le pilotage opérationnel. Mais son usage engage l'entreprise bien au-delà du choix technologique : dès lors qu'elle traite des données, assiste une décision ou repose sur un prestataire externe, l'IA soulève des enjeux de confidentialité, de souveraineté numérique, de fiabilité et de dialogue social.

Deux décisions rendues en 2026 par des juridictions parisiennes montrent que la jurisprudence ne pose pas un principe uniforme : le simple usage d'un outil IA ne déclenche pas systématiquement une obligation de consultation du CSE, mais l'officialisation durable d'un outil qui transforme les tâches des salariés, si. Cet article propose une grille de lecture concrète pour appliquer cette distinction à votre propre projet, avec les délais réels à anticiper, les obligations AI Act selon votre niveau de risque, et les enjeux spécifiques aux groupes multi-pays.

I. Deux décisions, deux issues opposées : ce qui fait basculer votre projet

1.1 Quand l'expérimentation n'impose pas de consultation

Le 10 février 2026, le tribunal judiciaire de Paris a tranché un litige portant sur le déploiement de Copilot 365 par une association. Le CSE avait voté le recours à un expert habilité, estimant que l'introduction de cet agent conversationnel constituait un projet important modifiant les conditions de travail. L'association a contesté cette délibération devant le juge des référés.

Le tribunal a donné raison à l'employeur, pour deux raisons précises. D'abord, l'outil était déployé dans une phase d'expérimentation de quatre mois, sur la base du volontariat. Or, le caractère temporaire et facultatif de la mesure prive, selon une jurisprudence constante de la Cour de cassation, l'aménagement de son caractère "important".

Ensuite, le CSE n'apportait aucun élément concret établissant un impact réel sur les conditions de travail : le projet consistait en un simple accompagnement à l'utilisation d'une fonctionnalité déjà intégrée aux licences Microsoft existantes.

TJ Paris, référé, 10 février 2026, n°25/57412 : "pour être qualifié de projet important, un projet ne doit pas seulement concerner quantitativement un nombre significatif de salariés", il doit également conduire "qualitativement, à des modifications déterminantes et significatives des conditions de travail".

1.2 Quand l'officialisation durable impose la consultation

Trois mois plus tard, la Cour d'appel de Paris tranchait en sens inverse dans deux affaires parallèles concernant un groupe de presse. L'employeur avait mis à disposition de ses journalistes un assistant rédactionnel interne (DIGI) et autorisé l'usage de ChatGPT via une charte des moyens informatiques, en ouvrant des groupes de travail sur l'IA et en intégrant DIGI au portail intranet.

La différence avec l'affaire Copilot 365 est structurelle : il ne s'agissait plus d'une expérimentation temporaire et volontaire, mais d'un déploiement officialisé, encadré et durable, portant sur des tâches (retranscription, synthèse, reformulation, suggestion de titres) auparavant réalisées exclusivement par les salariés eux-mêmes. La Cour a jugé que le défaut de consultation préalable du CSE caractérisait un trouble manifestement illicite, et a ordonné la suspension immédiate de l'utilisation des deux outils, sous astreinte de 1 000 euros par jour, assortie de 5 000 euros de dommages-intérêts provisionnels au profit du CSE.

CA Paris, pôle 1 ch.2, 21 mai 2026, n°25/13232 et n°25/13234 : le déploiement de ChatGPT et de l'assistant DIGI constitue une introduction de nouvelles technologies au sens de l'article L.2312-8 du Code du travail ; l'absence de consultation préalable caractérise un trouble manifestement illicite.

1.3 Grille de lecture : où se situe votre projet ?

Pour situer un projet en cours entre ces deux lignes jurisprudentielles, quatre critères se dégagent de la lecture combinée des deux décisions :

	Plutôt « Copilot 365 » (pas d'obligation)	Plutôt « ChatGPT/DIGI » (consultation requise)
Durée	Expérimentation à durée limitée et annoncée (ex. 4 mois)	Déploiement sans limite de durée annoncée
Caractère	Usage volontaire, non encadré par une charte formelle	Usage encadré par une charte, groupes de travail dédiés
Intégration	Fonctionnalité ajoutée à un outil déjà existant	Outil nouveau intégré à l'intranet ou aux processus
Effet sur les tâches	Accompagnement à l'utilisation, sans preuve d'impact	Remplacement documenté de tâches auparavant humaines

Plus votre projet coche de cases dans la colonne de droite, plus le risque de requalification en "introduction de nouvelles technologies" nécessitant consultation est élevé, indépendamment du caractère gratuit, externe ou facultatif de l'outil.

II. Un délai à inclure dans le budget

Un projet IA qui nécessite une consultation du CSE ne peut pas être déployé du jour au lendemain. L'article R.2312-6 du Code du travail fixe, à défaut d'accord contraire, des délais précis : un mois à compter de la transmission des informations au CSE pour une simple consultation, deux mois si le CSE recourt à un expert, et trois mois lorsque la consultation se déroule à la fois au niveau du CSE central et d'un ou plusieurs CSE d'établissement.

À l'expiration de ces délais, le CSE est réputé avoir été consulté et avoir rendu un avis négatif. Certes, un simple avis négatif ne bloque en principe pas le déploiement, mais expose tout de même l'entreprise si le processus n'a pas été mené de bonne foi. Un projet identifié comme relevant du régime de la décision "ChatGPT/DIGI" doit donc être anticipé plusieurs mois avant la date de mise en production envisagée, sous peine de devoir choisir entre repousser le déploiement ou s'exposer à une remise en cause ultérieure.

Pour un projet nécessitant une expertise, compter deux à trois mois de délai de consultation incompressible avant tout déploiement généralisé, à intégrer dès la phase de cadrage du projet, pas au moment du lancement.

III. Un chatbot et un outil de scoring RH ne jouent pas dans la même catégorie

Au-delà du droit du travail, le règlement européen sur l'intelligence artificielle (AI Act) impose des obligations qui varient fortement selon la nature de l'usage. La qualification du système est la première étape, et elle détermine des obligations radicalement différentes allant de l'arrêt immédiat à l'absence totale de contrainte.

Niveau de contrainte	Exemples typiques	Conséquence
Inacceptable	Notation sociale, manipulation subliminale, biométrie sensible	Interdiction totale, arrêt immédiat
Élevé	Recrutement, notation RH, scoring crédit, éducation, services essentiels	Documentation, supervision humaine, analyse d'impact, enregistrement UE
Limité	Chatbots, génération de contenu destiné au public	Informer l'utilisateur qu'il interagit avec une IA (art. 50)
Minimal	Correction orthographique, synthèse interne, assistance rédactionnelle non diffusée	Pas d'obligation contraignante

Les obligations du risque élevé, initialement prévues pour le 2 août 2026, ont été reportées au 2 décembre 2027 pour les systèmes autonomes de l'Annexe III, et au 2 août 2028 pour l'IA intégrée à des produits déjà réglementés (Annexe I). Ce report résulte du Digital Omnibus, adopté par le Parlement européen le 16 juin 2026 puis par le Conseil de l'UE le 29 juin 2026. Il ne reste plus que sa publication au Journal officiel, attendue avant le 2 août 2026, pour qu'il produise pleinement effet.

Ce report ne dispense pas de la classification des systèmes ni de la préparation de la documentation : les entreprises qui commencent maintenant seront prêtes bien avant l'échéance. Pour le risque minimal, une bonne pratique reste de tenir un registre interne des usages, afin d'anticiper une éventuelle évolution vers un usage à risque plus élevé.

Règlement (UE) 2024/1689 (AI Act), art. 4, 5, 50 et 99 : interdictions applicables depuis le 2 février 2025 ; obligation de littératie IA des équipes en vigueur depuis la même date ; obligations de transparence pour les systèmes à risque limité applicables au 2 août 2026 ; sanctions jusqu'à 35 millions d'euros ou 7% du chiffre d'affaires mondial pour les pratiques interdites, 15 millions d'euros ou 3% pour les manquements aux obligations applicables aux systèmes à haut risque.

IV. Vos données dans l'IA : qui les héberge, qui les garde, qui les réutilise ?

Le premier risque opérationnel du déploiement de l'IA est la perte de maîtrise des données. Un contrat client, une note stratégique, un fichier RH intégré dans un outil non encadré peut être transféré vers un environnement technique dont l'entreprise ne contrôle ni l'hébergement, ni la conservation, ni les usages ultérieurs.

Ce risque n'est pas théorique. La CNIL l'a sanctionné sévèrement dans l'affaire Clearview AI, société ayant développé un outil de reconnaissance faciale reposant sur l'aspiration massive d'images accessibles en ligne, sans garanties suffisantes au regard du RGPD.

CNIL, décision SAN-2022-019 du 17 octobre 2022 (Clearview AI) : sanction pour aspiration massive de données sans garanties suffisantes au regard du RGPD.

Avant tout déploiement d'un outil IA externe, l'entreprise doit établir une liste claire des données qui ne peuvent jamais y être intégrées (données RH, données de santé, contrats confidentiels, secrets d'affaires, informations financières sensibles, données clients, codes sources, identifiants et mots de passe) et vérifier l'hébergement, la durée de conservation, la suppression et l'éventuelle réutilisation des données par le prestataire.

V. Quand l'IA décide à votre place

L'IA peut produire une réponse cohérente en apparence, bien argumentée, bien formulée, alors même qu'elle repose sur des données incomplètes, obsolètes ou biaisées. Le danger n'est pas que l'outil se trompe : c'est qu'il se trompe de façon convaincante, ce qui pousse à faire confiance au résultat sans le vérifier.

Ce risque devient juridique dès lors que ce résultat sert à prendre une décision qui affecte une personne : un salarié, un candidat, un client. C'est précisément ce qu'a tranché la Cour de justice de l'Union européenne dans l'affaire SCHUFA, à propos d'un organisme allemand qui calculait un score de solvabilité automatisé, utilisé ensuite par des banques pour accorder ou refuser un crédit. La Cour a jugé que ce type de score relève de l'article 22 du RGPD, qui encadre les décisions individuelles automatisées, dès lors que le score influence de manière déterminante la décision finale, et ce même si c'est un tiers, et non l'organisme qui a calculé le score, qui prend formellement la décision.

Pour une entreprise, l'enseignement est direct : si un outil d'IA attribue une note, un rang de priorité ou un niveau de risque à une personne, et que cette note pèse réellement sur une décision RH, commerciale ou financière la concernant, l'entreprise doit pouvoir expliquer comment cette note a été calculée, et la personne concernée doit pouvoir la contester. Un système opaque, dont même l'entreprise ne peut pas justifier le fonctionnement, l'expose directement sur ce fondement.

CJUE, 7 décembre 2023, C-634/21 (SCHUFA) : un score automatisé qui influence de manière déterminante la décision d'un tiers relève de l'article 22 du RGPD sur les décisions individuelles automatisées.

Lorsqu'un outil d'IA analyse des messages ou des comportements numériques des salariés, un principe ancien mais toujours central s'applique : la Cour de cassation a rappelé, dans l'arrêt Nikon, que le salarié conserve, même au temps et au lieu de travail, son droit au respect de la vie privée et au secret des correspondances.

Cass. soc., 2 octobre 2001, n°99-42.942 (Nikon) : le salarié a droit, même au temps et au lieu de travail, au respect de sa vie privée et au secret de ses correspondances.

VI. Ce qui bloque en Allemagne ne bloque pas forcément en France

Pour un groupe qui déploie un outil IA dans plusieurs pays, la question de la consultation des représentants du personnel ne se limite pas à la France. En Allemagne par exemple, le Betriebsrat dispose d'un droit de codécision (et non simplement de consultation) sur l'introduction de dispositifs techniques susceptibles de contrôler le comportement ou les performances des salariés, en application du §87 BetrVG. Ce droit est structurellement plus fort que la consultation française : sans accord du Betriebsrat, le déploiement peut être purement et simplement bloqué.

Un groupe industriel qui décide, depuis son siège français, d'une date de déploiement unique pour l'ensemble de ses filiales européennes s'expose à un risque de désynchronisation : un projet conforme en France peut être bloqué en Allemagne, ou nécessiter un calendrier de consultation totalement différent en Belgique. Cartographier les obligations de consultation dans chaque pays concerné avant de fixer un calendrier de déploiement devient une étape aussi nécessaire que la cartographie technique des outils eux-mêmes.

Un calendrier de déploiement IA pour un groupe multi-pays doit intégrer, dès la phase de cadrage, les délais et les régimes de consultation applicables dans chaque juridiction concernée, pas seulement ceux du pays du siège.

VII. Un projet, trois régimes de sanctions

Un déploiement pas suffisamment encadré expose l'entreprise à plusieurs régimes de sanctions cumulatifs, sur des fondements distincts.

En matière de protection des données, un manquement au RGPD peut entraîner des sanctions allant jusqu'à 10 millions d'euros ou 2% du chiffre d'affaires annuel mondial, et jusqu'à 20 millions d'euros ou 4% pour les manquements les plus graves.

Sur le plan social, un déploiement modifiant les conditions de travail sans consultation du CSE expose à un risque d'entrave, sanctionné par une amende pouvant atteindre 37 500 euros pour une personne morale, sans compter les astreintes prononcées en référé.

Le règlement AI Act ajoute un troisième régime, avec des sanctions pouvant atteindre 35 millions d'euros ou 7% du chiffre d'affaires mondial selon la gravité du manquement.

Ces trois régimes se cumulent : un même déploiement mal encadré peut exposer l'entreprise simultanément à un risque RGPD, à un risque social, et à un risque AI Act devant des autorités distinctes et sur des fondements distincts.

VIII. Six actions, pas six mois de blocage

1. Identifier les données interdites

Établir une liste claire des données qui ne doivent jamais être intégrées dans un outil d'IA non validé, et l'intégrer dans une charte interne diffusée à l'ensemble des collaborateurs.

2. Classer les outils selon leur niveau de sécurité et leur niveau de risque AI Act

Distinguer les outils autorisés, autorisés sous conditions, et interdits, en croisant les garanties de sécurité avec la qualification AI Act de chaque usage (minimal, limité, élevé).

3. Prévoir une validation humaine réelle pour les décisions sensibles

Les résultats générés par l'IA doivent être vérifiés par une personne compétente avant toute décision RH, commerciale, financière, juridique ou contractuelle importante.

4. Vérifier les prestataires avant tout déploiement

Vérifier l'hébergement des données, leur conservation, leur usage pour l'entraînement du modèle et les sous-traitants impliqués. Ces garanties doivent être contractualisées.

5. Appliquer la grille de décision avant toute officialisation

Situer le projet entre le régime "Copilot 365" et le régime "ChatGPT/DIGI", et anticiper les délais de consultation dès la phase de cadrage, soit deux à trois mois pour un projet structurant, et dans chaque pays concerné si le groupe est multi-sites.

6. Former les équipes et diffuser des règles internes claires

Une gouvernance efficace suppose des collaborateurs formés aux limites de l'IA, avec des responsables internes identifiés (service juridique, DPO, DSI, RH) pour valider les usages sensibles.

Checklist avant de déployer un outil d'IA en entreprise

• Le projet est-il une expérimentation temporaire et volontaire, ou un déploiement officialisé et durable ?

• Quelles données sont intégrées ? Des données sensibles, confidentielles, RH, clients ou financières sont-elles concernées ?

• Quel est le niveau de risque AI Act de l'usage envisagé : minimal, limité, élevé ?

• Le calendrier de déploiement intègre-t-il les délais de consultation du CSE (un à trois mois selon les cas) ?

• Si le groupe est multi-pays, les régimes de consultation locaux ont-ils été cartographiés ?

• Les résultats produits par l'IA sont-ils vérifiés par une personne compétente avant toute décision importante ?

• Une charte ou politique interne relative à l'IA a-t-elle été mise en place et diffusée ?

• Le DPO, la DSI, le service juridique et les métiers sont-ils associés au déploiement ?

FAQ - Déploiement de l'IA et obligations de l'entreprise

Tout déploiement d'un outil IA impose-t-il une consultation du CSE ?

Non. La jurisprudence 2026 distingue l'expérimentation temporaire et volontaire, qui n'impose pas de consultation (TJ Paris, 10 février 2026, n°25/57412, Copilot 365), du déploiement officialisé, encadré et durable, qui l'impose (CA Paris, 21 mai 2026, n°25/13232 et n°25/13234, ChatGPT/DIGI). Le critère déterminant est l'effet concret, qualitatif et durable de l'outil sur les tâches et les conditions de travail.

Combien de temps faut-il prévoir avant de pouvoir déployer un outil IA nécessitant une consultation ?

À défaut d'accord contraire, l'article R.2312-6 du Code du travail prévoit un délai d'un mois pour une simple consultation, deux mois en cas de recours à un expert, et trois mois si la consultation implique à la fois le CSE central et un ou plusieurs CSE d'établissement. Pour un groupe multi-pays, ces délais s'ajoutent à ceux, potentiellement différents, des autres juridictions concernées.

Un outil externe et gratuit comme ChatGPT est-il traité différemment d'un outil interne ?

Non. La Cour d'appel de Paris a expressément écarté cet argument : ce qui déclenche l'obligation de consultation est l'impact de l'outil sur les conditions de travail, pas son caractère propriétaire, interne ou grand public.

Quelles obligations AI Act s'appliquent à un simple outil de rédaction interne ?

Un outil de rédaction ou de synthèse à usage strictement interne, sans diffusion publique de contenu généré, relève généralement du risque minimal au sens de l'AI Act, sans obligation contraignante spécifique. La qualification change dès que l'outil influence une décision RH, un scoring, ou génère du contenu destiné au public, qui relèvent respectivement du risque élevé ou du risque limité.

Eve Chapman

Avocate en droit international des affaires et droit de l'IA

Prendre rendez-vous