Un salarié peut-il utiliser une IA sur le code de son employeur ?

Introduction

L’usage d’outils personnels sur le code de l’entreprise s’est répandu bien avant que les employeurs ne s’y intéressent. La régularisation intervient généralement après un incident.

L’obligation de loyauté et de discrétion

Le salarié est tenu d’une obligation de loyauté, qui existe sans clause.

Il est tenu d’une obligation de discrétion sur les informations dont il a connaissance dans l’exercice de ses fonctions.

Le règlement intérieur et les usages peuvent préciser ces obligations.

Transmettre du code de l’entreprise à un service tiers, sans encadrement, s’inscrit mal dans ces obligations, en particulier lorsque le service réutilise les saisies.

L’absence de règle interne

C’est la situation la plus fréquente et la plus délicate.

Sans règle claire, portée à la connaissance des salariés, la sanction d’un usage devient fragile : le salarié pourra invoquer l’absence d’interdiction et la tolérance de l’employeur.

Une pratique tolérée pendant des mois est difficile à sanctionner brutalement.

L’employeur doit donc commencer par poser la règle, avant de sanctionner.

La charte informatique

Elle constitue l’instrument adapté.

Elle désigne les outils autorisés et interdit les comptes personnels pour le code de l’entreprise.

Elle interdit la saisie de données personnelles réelles, d’identifiants, de clés et d’éléments couverts par un engagement de confidentialité envers un client.

Elle impose l’activation des fonctions de filtrage.

Elle rappelle les conséquences d’un manquement.

Pour être opposable et fonder une sanction, elle doit suivre les formalités applicables : lorsqu’elle contient des dispositions relevant du règlement intérieur, notamment des sanctions, elle doit en respecter la procédure d’adoption, incluant la consultation du comité social et économique, la transmission à l’inspection du travail et le dépôt au greffe.

Une charte diffusée par simple courriel, comportant des sanctions, n’est pas opposable.

La sanction disciplinaire

Elle suppose une règle préexistante et connue.

Elle doit être proportionnée : la nature des informations transmises, l’existence d’un préjudice, l’ancienneté et les fonctions du salarié sont prises en compte.

Un premier manquement, sur un code sans sensibilité particulière, justifie un rappel à l’ordre plutôt qu’une sanction lourde.

La transmission d’un code client couvert par un engagement de confidentialité, ou de données personnelles, se situe à un autre niveau.

La preuve

Elle repose généralement sur les journaux de connexion ou sur les traces laissées par l’outil.

Son utilisation suppose un dispositif régulièrement mis en place : information des salariés, consultation des représentants du personnel lorsqu’elle est requise, inscription au registre des traitements, durée de conservation proportionnée.

Une surveillance occulte fragilise la preuve et expose l’employeur à un grief supplémentaire.

La responsabilité de l’employeur

Envers les tiers, elle est engagée.

Le commettant répond des dommages causés par son préposé dans l’exercice de ses fonctions.

L’entreprise répond de ses propres engagements de confidentialité : un client dont le code a été transmis se retournera contre elle, non contre le salarié.

L’entreprise répond également, en qualité de responsable de traitement, de la transmission de données personnelles à un tiers non encadré.

Cette responsabilité explique que l’encadrement soit d’abord une mesure de protection de l’employeur.

La titularité du code produit

Une question distincte se pose.

Les droits patrimoniaux sur les logiciels créés par un employé dans l’exercice de ses fonctions sont dévolus à l’employeur.

Cette dévolution s’applique au code produit avec assistance, dès lors qu’il est original et créé dans l’exercice des fonctions.

L’usage d’un outil personnel ne fait pas sortir la création du champ de la dévolution : c’est le cadre de la création qui compte, non l’outil employé.

La démarche recommandée

Poser la règle avant de contrôler : charte adoptée selon les formalités, diffusée et expliquée.

Fournir des outils autorisés, correctement paramétrés : l’interdiction sans alternative produit un contournement.

Former les équipes aux règles et à leurs raisons.

Traiter les manquements de manière graduée.

Réexaminer périodiquement, les outils et les usages évoluant vite.

Poser la règle avant de la faire respecter

Une sanction sans règle préalable ne tient pas. Notre expertise en droit du travail accompagne ces mises en place.

En résumé

• L’obligation de loyauté et de discrétion existe sans clause, mais fonde mal une sanction seule.
• Une charte comportant des sanctions doit suivre la procédure du règlement intérieur.
• La preuve suppose un dispositif de journalisation régulièrement déclaré.
• L’employeur répond envers ses clients et envers les personnes concernées.
• La dévolution des droits sur le logiciel joue quel que soit l’outil employé.