Noter vos salariés à l'IA : 40 000 € d'amende, et ça se durcit

Vingt-six salariés de Meta ont saisi la justice fédérale américaine à la mi-juillet 2026, quarante-huit heures avant une vague de licenciements prévue le 22 juillet. Le cœur du dossier : un score de productivité calculé par l'IA à partir de leurs frappes clavier, de leur activité écran, de leurs e-mails et de leur historique de navigation. En France, la même mécanique tourne déjà dans des PME — et la CNIL a commencé à la sanctionner. Le 2 août, l'AI Act change encore la donne pour tout employeur qui laisse une IA noter ses équipes.

On parle ici de surveillance en poste, pas de tri de CV à l'embauche — un sujet qu'on a traité à part dans notre guide sur l'IA au recrutement. La logique juridique se recoupe, mais les outils et les risques diffèrent.

Meta poursuivi : l'IA de productivité comme juge des licenciements

La plainte, déposée devant un tribunal fédéral, vise à bloquer des départs décidés en partie sur des évaluations générées par l'IA. Selon les plaignants, Meta a agrégé les frappes clavier, l'activité à l'écran, les e-mails, l'historique de navigation, les communications internes et jusqu'à la consommation de tokens IA de ses employés. Un outil interne baptisé MetaMate — décrit comme « un second cerveau entraîné par le salarié » — aurait alimenté un classement de performance.

L'accusation la plus lourde n'est pas la collecte, c'est le biais. Les plaignants affirment que le score pénalisait mécaniquement les salariés en arrêt maladie, en situation de handicap, enceintes ou aidants familiaux : moins d'activité numérique, donc score plus bas, donc plus haut sur la liste des départs. Meta se défend en martelant que « des humains, pas l'IA » ont pris la décision finale. C'est précisément le point que la loi européenne rend intenable : produire une donnée qui oriente une décision RH engage déjà votre responsabilité, quel que soit le dernier maillon humain. Un dirigeant de PME française n'est pas Meta, mais le mécanisme — un outil qui score et qu'on invoque pour trancher — est exactement le même, et il est à portée d'abonnement mensuel.

Surveiller ses salariés avec l'IA : que dit la loi en France ?

Pas de vide juridique. Le monitoring d'un salarié est un traitement de données personnelles : il tombe sous le RGPD et le Code du travail. Trois principes verrouillent le terrain. La proportionnalité : la surveillance doit être adaptée au but, jamais permanente ni totale. La transparence : le salarié doit être informé, individuellement, du dispositif et de sa logique. La consultation du CSE : tout outil qui contrôle l'activité passe devant les représentants du personnel avant déploiement.

La CNIL a déjà tranché un cas d'école. En décembre 2024, elle a infligé 40 000 € d'amende à une agence immobilière pour surveillance disproportionnée. Le logiciel comptabilisait des périodes « d'inactivité » dès qu'aucun mouvement de souris ou de frappe n'était détecté pendant 3 à 15 minutes, prenait des captures d'écran régulières, et les salariés étaient filmés en continu. Le régulateur a jugé le dispositif excessif et mal encadré. Le détail de la décision est public.

Ce n'est pas un cas isolé. En 2024, la CNIL a prononcé 87 sanctions pour plus de 55 millions d'euros — un record, dont une part croissante vise le contrôle numérique des salariés. Ajoutez qu'une surveillance systématique à grande échelle impose une analyse d'impact (AIPD) préalable, et le niveau d'exigence devient clair.

Faut-il prévenir les salariés et le CSE ?

Oui, les deux, et dans l'ordre inverse du réflexe habituel. Le CSE se consulte avant la mise en service — une information a posteriori ne régularise rien. Chaque salarié doit ensuite être informé individuellement. La jurisprudence est constante : une surveillance clandestine est déloyale, et les données qui en sortent sont écartées d'un litige, y compris quand la faute du salarié est réelle. Autrement dit, un outil installé en douce ne protège de rien et se retourne contre l'employeur.

Ce que l'AI Act interdit ou encadre au 2 août 2026

Deux briques de l'AI Act frappent directement le monitoring RH.

La première est déjà en vigueur. Depuis février 2025, l'article 5 interdit la reconnaissance des émotions sur le lieu de travail : détecter le stress, l'ennui, l'engagement ou la colère d'un salarié via l'IA est une pratique prohibée, sauf usage médical ou de sécurité. Les amendes pour pratique interdite montent jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial. Beaucoup d'outils de « bien-être au travail » vendant de l'analyse de sentiment tombent dans cette case sans le dire.

La seconde arrive le 2 août 2026. L'annexe III de l'AI Act classe en « haut risque » les systèmes d'IA utilisés pour la gestion des travailleurs : évaluation de la performance, répartition des tâches, décisions de promotion ou de licenciement. À cette date, ces systèmes doivent respecter un socle contraignant — supervision humaine réelle, contrôle des biais, transparence, documentation technique, journalisation. La sanction pour un système à haut risque non conforme atteint 15 millions d'euros ou 3 % du chiffre d'affaires. Le procès Meta n'est que la version américaine d'un risque que Bruxelles vient d'armer. Pour situer la mécanique du « haut risque » et ses rares portes de sortie, voir notre décryptage des exemptions.

Keyloggers, captures d'écran, scoring : le permis et l'interdit

Concrètement, où passe la ligne pour une PME ?

• Interdit ou quasi : keyloggers enregistrant chaque frappe, captures d'écran permanentes, webcam allumée en continu, analyse des émotions, score de productivité opaque servant à sanctionner ou licencier.
• Toléré sous conditions strictes : mesure d'activité agrégée et anonymisée, journalisation d'accès pour la sécurité, contrôle ponctuel et ciblé après information et consultation du CSE, avec une durée de conservation courte.
• La zone grise qui coûte cher : les suites de « productivity analytics » qui promettent un tableau de bord par salarié. Techniquement défendables si l'on reste sur des indicateurs collectifs ; hors des clous dès qu'elles individualisent un score comportemental sans base solide.

Le réflexe à avoir : demander à l'éditeur ce que l'outil calcule par personne, et ce qu'il infère (émotion, engagement, « niveau de risque »). Si la réponse est floue, c'est un signal.

Déployer un outil IA RH sans se mettre hors la loi

La marche à suivre tient en cinq points, dans l'ordre.

1. Cadrer la finalité précise et légitime (sécurité, facturation au temps, qualité) — jamais « surveiller » tout court.
2. Rédiger l'AIPD si la surveillance est systématique ou à grande échelle. C'est une obligation, pas une option.
3. Consulter le CSE avant tout déploiement, procès-verbal à l'appui. L'oubli du CSE est le motif de sanction le plus fréquent.
4. Informer chaque salarié : nature du dispositif, données collectées, logique de l'algorithme, durée de conservation, droits.
5. Minimiser et journaliser : le moins de données possible, la durée la plus courte, une trace de qui accède à quoi.

Pour rédiger l'AIPD, la note d'information au personnel et la charte d'usage, un assistant comme

Combien coûte le flicage algorithmique

Le coût visible, ce sont les amendes : 40 000 € pour une PME immobilière, jusqu'à 15 M€ ou 3 % du CA pour un système à haut risque non conforme, 35 M€ ou 7 % pour une pratique interdite. Mais le coût caché est souvent pire. Un dispositif de surveillance mal vécu fait fuir les meilleurs, gèle la confiance et se retourne en conflit social. Les travaux de Shoshana Zuboff sur le capitalisme de surveillance l'avaient anticipé : mesurer en permanence dégrade souvent ce qu'on prétend améliorer. Son livre de référence, L'Âge du capitalisme de surveillance ^{· Amazon}, reste une lecture utile pour tout dirigeant tenté par le tout-mesure.

Le vrai calcul n'est pas « combien je gagne en productivité mesurée », mais « combien je perds en turnover, en procès et en réputation le jour où un salarié conteste ». Le dossier Meta le montre en direct : la donnée algorithmique, censée objectiver, devient la première pièce à charge contre l'employeur. Les détails de la plainte se lisent comme un manuel de ce qu'il ne faut pas faire.

Ce qu'il faut retenir

Surveiller ses équipes avec l'IA n'est pas interdit — le faire à l'aveugle l'est. La reconnaissance des émotions est déjà bannie ; la gestion algorithmique des travailleurs bascule en haut risque le 2 août ; la CNIL sanctionne déjà les excès. Pour une PME, la bonne posture n'est pas de renoncer à tout outil, mais de partir de la finalité, de consulter le CSE, de documenter, et de fuir tout logiciel qui note les gens sans dire comment. Ceux qui traitent la surveillance comme un sujet de conformité avant de déployer dormiront mieux que ceux qui découvriront l'AIPD au moment du contrôle.