IA, données et personnalité en RH

Révisé le 30 octobre 2026 · Information générale, pas un conseil individuel · Sources officielles en fin de page.

Information générale sur le droit suisse : ce n'est pas un conseil juridique individuel.

● RECChoisissezune touche, et c’est parti

🧠1Qualifier 🔐2Données 🛡️3Personnalité 🤖4IA & RH 🗂️5Tri des CV 🧭6Gouvernance 🧠7Quiz

Claude le hibou entouré d'outils d'intelligence artificielle

Il n'existe pas encore de jurisprudence spécifique à l'IA en droit du travail suisse. Cela n'autorise pas à attendre : les règles qui s'appliquent existent déjà, elles sont simplement dispersées entre la protection des données, le contrat de travail et l'égalité.

Trois textes suffisent à cadrer presque tout : l'article 328b CO sur les données que l'employeur peut traiter, l'article 21 LPD sur les décisions automatisées, et l'article 328 CO sur la protection de la personnalité.

Sur cette page

1 · Comprendre avant de qualifier 2 · Les données du collaborateur 3 · La personnalité au travail 4 · L'IA dans les processus RH 5 · Trier des CV avec l'IA 6 · Gouvernance 7 · Le droit en vigueur et l'AI Act

1 · Comprendre avant de qualifier

on n'applique pas le même droit à un algorithme et à un système d'IA

Le vocabulaire minimum

Algorithme	une suite finie d'instructions précises, exécutées dans un ordre donné
Modèle	le « cerveau » entraîné : ce qui a appris des règles à partir de données
Entraînement et inférence	apprendre à partir d'exemples, puis appliquer ce qui a été appris à un cas nouveau
Boîte noire	un modèle dont la logique interne est illisible, même pour ses concepteurs
Hallucination	une réponse plausible mais fausse : faits, sources ou jurisprudences inventés
Biais	une distorsion héritée des données, du concepteur, du modèle - voire de la formulation de la question

Algorithme classique ou système d'IA

	Algorithme classique	Système d'IA
Résultat	déterministe : même entrée, même sortie	probabiliste : un score, avec une marge d'erreur
Logique	explicable : on relit la règle	opaque : boîte noire
Origine de la règle	écrite par un humain	déduite d'un grand nombre d'exemples
Imputabilité	un humain l'a écrite, on sait à qui parler	biais diffus, hérités des données

La phrase à retenir. Toute IA repose sur des algorithmes, mais tout algorithme n'est pas de l'IA. Et la question juridique change avec : devant un algorithme on demande « quelle règle ? » ; devant une IA, « quelles données, quel entraînement, quel contrôle ? ».

Les poupées russes. L'intelligence artificielle contient l'apprentissage automatique, qui contient l'apprentissage profond, qui contient l'IA générative. Et deux familles d'usages : classer et prédire - trier des CV, prévoir un départ - ou produire du texte et des images.

2 · Les données du collaborateur

ce que l'employeur peut traiter, combien de temps, et ce qu'il doit pouvoir montrer

Le principe, en une phrase

L'employeur ne peut traiter des données concernant le travailleur que dans la mesure où elles portent sur son aptitude à remplir l'emploi, avant l'engagement, ou sont nécessaires à l'exécution du contrat, pendant les rapports de travail.

Au recrutement : ce qu'on peut demander

✓ En principe admissible

la formation, le parcours, les perspectives professionnelles
les références - mais avec l'accord du candidat, et limitées à l'activité
un rapport médical attestant l'aptitude au poste

✗ Seulement si le poste l'exige

le revenu actuel, un endettement, des antécédents judiciaires
les maladies existantes, une grossesse en cours
l'appartenance syndicale, la religion, les opinions politiques

Le candidat n'est pas tenu de répondre à une question sans rapport avec le poste - et une partie de la doctrine admet même qu'il puisse y répondre de façon inexacte pour se protéger.

Le renseignement qui coûte cher. Un ancien employeur a découragé par téléphone l'engagement d'un collaborateur, qui s'est retrouvé au chômage. Le Tribunal fédéral l'a condamné à des dommages-intérêts : le devoir de protéger la personnalité survit à la fin du contrat. Avant de répondre à un appel de référence, souvenez-vous que vous engagez l'entreprise.

Le questionnaire de santé destiné à la caisse de pension ou à l'assureur perte de gain ne passe jamais par l'employeur. Si l'entreprise gère elle-même l'institution, la séparation entre les personnes doit être stricte.

Le dossier personnel et le droit d'accès

Contenu	uniquement ce qui est indispensable à l'exécution du contrat
Tri	recommandé tous les deux ans par le préposé fédéral
Droit d'accès	réponse dans les 30 jours. Ce n'est pas un accès direct au dossier : l'employeur communique les informations par copie ou par voie électronique
Rectification	le collaborateur peut exiger la correction d'une donnée inexacte, et la suppression d'une donnée que l'employeur n'avait pas le droit de collecter
Après le départ	le droit d'accès subsiste

Combien de temps conserver

Documents	Durée	Fondement
Durée du travail et du repos	5 ans	obligation légale, OLT 1
Relevés de salaire pour l'assurance-accidents	5 ans	obligation légale, OLAA
Livres et pièces comptables, comptabilité des salaires	10 ans	obligation légale, CO 958f
Éléments liés à des créances du travailleur	5 ans	prescription, CO 128
Éléments utiles à un certificat de travail	10 ans	prescription, CO 127

Au-delà, les données doivent être effacées ou anonymisées.

Vous transférez à l'étranger plus souvent que vous ne le croyez. Un dossier déposé dans un cloud dont le siège est à l'étranger, un courriel adressé à un destinataire hors de Suisse, une transmission au sein d'un groupe international : ce sont des communications à l'étranger. Elles supposent un pays offrant une protection adéquate - l'UE et le Royaume-Uni le sont - ou des garanties contractuelles supplémentaires.

Surveiller : presque jamais

La technique rend tout possible : caméra, journalisation des frappes, géolocalisation, mesure du temps passé par application. Le droit, lui, part du principe inverse de la technique.

Les systèmes qui permettent d'observer le comportement des travailleurs à leur poste sont en principe interdits. Ils ne sont admis que pour des raisons de sécurité, éventuellement pour mesurer le rendement - et toujours après information préalable des personnes concernées.

Le téléphone. Relever les numéros appelés pour des raisons professionnelles est admissible. Rappeler ces numéros pour savoir de quoi il a été question ne l'est pas. Et les conversations internes ne s'écoutent pas.

La sanction : une violation intentionnelle des obligations de la loi sur la protection des données est punissable, sur plainte, d'une amende allant jusqu'à 250 000 francs.

Voir aussi. Le licenciement d'un collaborateur en incapacité, la protection en temps inopportun et le certificat médical sont traités sur la page du licenciement.

3 · La personnalité au travail

ce que l'employeur doit empêcher, et ce qu'il doit avoir mis en place avant que cela n'arrive

Harcèlement sexuel

Tout comportement de caractère sexuel, ou fondé sur l'appartenance sexuelle, qui porte atteinte à la dignité sur le lieu de travail.

Le critère décisif	le ressenti de la personne visée, et non l'intention de l'auteur
Un acte isolé	peut suffire : ni la répétition ni la durée ne sont nécessaires
La fonction de l'auteur	ne joue aucun rôle
Formes	remarques sur le physique, questions sur la vie intime, plaisanteries déplacées, attouchements, messages à contenu sexiste

Mobbing

Aucune définition légale. La jurisprudence retient un enchaînement de propos ou d'agissements hostiles, répétés fréquemment pendant une période assez longue, visant à isoler, marginaliser ou exclure une personne.

Ce qui n'est pas du mobbing. Un conflit dans les relations professionnelles, une mauvaise ambiance, ou un supérieur qui n'a pas toujours satisfait à ses devoirs ne constituent pas, en eux-mêmes, du harcèlement psychologique. La qualification est exigeante - et c'est important à savoir dans les deux sens : pour protéger la victime réelle, et pour ne pas déclarer coupable un manager maladroit.

Le harcèlement peut être descendant du supérieur, horizontal entre collègues, ou ascendant contre un supérieur.

Ce que l'employeur doit avoir mis en place (avant)

1	Afficher une tolérance zéro et définir clairement les comportements non tolérés
2	Désigner une personne de confiance, hors hiérarchie, interne ou externe, formée
3	Écrire une procédure interne claire - en avertissant que la confidentialité ne pourra pas être garantie vis-à-vis de l'auteur présumé
4	Énumérer les sanctions encourues
5	Formaliser le tout dans une directive ou un règlement

Même une PME doit s'organiser. Le Tribunal fédéral l'a dit : il ne s'agit pas de monter une structure compliquée et coûteuse, mais de désigner une personne joignable rapidement, avant que le conflit ne dégénère. Une petite entreprise peut passer par son association professionnelle pour mutualiser le dispositif.

Et quand cela arrive

Clarifier par des entretiens ou une enquête menée par une personne neutre, consigner chaque étape par écrit, envisager une médiation, prendre des mesures organisationnelles pour séparer les parties, puis sanctionner - de la réprimande au licenciement immédiat. Et sanctionner aussi celui qui a porté à dessein des accusations mensongères.

Ce que cela coûte

Tort moral	si la gravité de l'atteinte le justifie
Dommages-intérêts	si un dommage est prouvé, par exemple des frais médicaux
Harcèlement sexuel	indemnité jusqu'à six mois du salaire moyen suisse - sauf si l'employeur prouve avoir pris les mesures commandées

L'arrêt qui devrait faire réfléchir. Un collaborateur tombe en dépression à cause d'un mobbing que l'employeur n'a pas fait cesser. Celui-ci attend la fin du délai de protection, puis le licencie. Le Tribunal fédéral a jugé le congé abusif : l'employeur ne peut pas se prévaloir d'une incapacité qu'il a lui-même provoquée par son inaction.

4 · L'IA dans les processus RH

là où tout converge, et où l'article 21 LPD devient le point de passage obligé

Tri automatisé de CV, avec validation humaine

La décision individuelle automatisée

Lorsqu'une décision est prise exclusivement sur la base d'un traitement automatisé et qu'elle produit des effets juridiques ou comparables, la personne concernée a deux droits.

1	le droit d'en être informée
2	le droit d'exiger un réexamen par une personne physique, et de faire valoir son point de vue

Les trois cas typiques en RH : le refus automatisé d'une candidature, un licenciement suggéré par un algorithme, un scoring de performance.

La parade tient en une ligne. Prévoyez une étape de validation humaine dans tout processus où l'IA intervient sur une décision individuelle - et mentionnez ce droit dans vos notices d'information. Le mot qui déclenche l'article 21 est « exclusivement » : dès qu'un humain décide réellement, en connaissance de cause, on en sort.

Attention à la validation de façade. Un responsable qui valide en trois secondes une liste de deux cents candidats écartés par la machine ne « décide » pas. Le réexamen humain doit être effectif, avec un accès aux éléments et un pouvoir réel de s'écarter du résultat.

Le profilage : l'angle mort

Le profilage est un traitement automatisé qui permet d'évaluer certains aspects d'une personne. Il devient un profilage à risque élevé lorsqu'il permet d'apprécier des aspects essentiels de la personnalité : le travail, la santé, le comportement.

Conséquences du profilage à risque élevé

un motif justificatif renforcé est exigé
une analyse d'impact peut devoir être réalisée
les droits des personnes sont renforcés : opposition, réexamen humain

Le point que presque personne ne voit venir. Beaucoup d'outils RH font du profilage sans que l'employeur en soit conscient : un logiciel de suivi des candidatures qui attribue un score, un outil d'évaluation de la performance, un système de détection du risque de départ. Posez la question à chaque fournisseur, par écrit.

Les biais, et le triple risque juridique

Les algorithmes reproduisent et amplifient les biais présents dans les données d'entraînement. Un outil formé sur dix ans de recrutements majoritairement masculins apprendra que le profil attendu est masculin.

Loi sur l'égalité	discrimination à raison du sexe
Article 328 CO	atteinte à la personnalité du collaborateur
Responsabilité générale	l'employeur répond du comportement des outils qu'il utilise - il ne peut pas se retrancher derrière le fournisseur

Ce qu'on attend de vous : des audits réguliers des outils, des tests d'équité, et la documentation des choix algorithmiques.

Circuit fermé ou circuit ouvert : la question à poser en premier

	Circuit fermé	Circuit ouvert
Ce que devient la donnée	elle reste dans un environnement maîtrisé, contractuellement encadré	elle part vers un service public, éventuellement pour entraîner le modèle
Dossier confidentiel	envisageable, avec les garanties	exclu
Exemple	instance d'entreprise, contrat de sous-traitance signé	outil grand public gratuit

Le réflexe à faire passer dans toute l'entreprise. Coller un dossier de candidature, un certificat médical ou une évaluation dans un outil grand public, c'est une communication de données - souvent à l'étranger, souvent sans base légale. Le collaborateur qui le fait engage l'entreprise, et son propre devoir de diligence.

Vérifier un résultat d'IA : quatre niveaux

1	Plausibilité : le résultat a-t-il du sens ?
2	Sources : existent-elles vraiment ? Une référence inventée est le signe le plus fréquent d'une hallucination
3	Droit applicable : la règle citée est-elle suisse, et en vigueur ?
4	Décision : un humain assume-t-il, et peut-il l'expliquer ?

Choisir un outil : quatre questions

1	Quelles données entrent, et où vont-elles ?
2	Y a-t-il profilage, et de quel niveau ?
3	Une décision est-elle prise, ou seulement une aide fournie ?
4	Qui répond en cas d'erreur, et qu'a-t-on signé ?

5 · Trier des CV avec l'IA

les six obligations, dans l'ordre où elles tombent : avant l'outil, à l'annonce, au tri, après le refus

Le calendrier d'un recrutement assisté par l'IA

La section précédente donne le principe. Celle-ci donne la chronologie : à chaque moment du recrutement correspond une obligation précise, et une seule. Le tableau se lit de haut en bas, comme se déroule le processus.

Quand	Ce qu'il faut faire	Base légale
Avant de brancher l'outil	Une analyse d'impact si le traitement est susceptible d'entraîner un risque élevé. Le recours à une technologie nouvelle est expressément visé par la loi comme un indice de risque élevé.	art. 22 al. 1 et 2 LPD
Si le risque subsiste	Consulter le Préposé fédéral avant de traiter. Il répond dans les deux mois, trois si le traitement est complexe. L'entreprise en est dispensée si elle a consulté son conseiller à la protection des données.	art. 23 LPD
À la publication de l'annonce	Informer les candidats de manière adéquate : identité et coordonnées du responsable, finalité, destinataires éventuels. C'est le minimum, pas l'idéal.	art. 19 al. 1 et 2 LPD
Si vous cherchez ailleurs	Données récoltées sans passer par la personne - approche directe, prise de références, profil public - : il faut en plus lui communiquer les catégories de données traitées, au plus tard un mois après les avoir obtenues.	art. 19 al. 3 et 5 LPD
Au moment du tri	Si la décision est prise exclusivement par la machine : informer, et permettre au candidat de faire valoir son point de vue et d'exiger un réexamen humain.	art. 21 al. 1 et 2 LPD
Après le refus	Répondre à une demande d'accès dans les 30 jours, gratuitement, en indiquant notamment la logique sur laquelle la décision se fonde.	art. 25 al. 2 let. f, 6 et 7 LPD
Ensuite	Détruire ou anonymiser les dossiers dès qu'ils ne sont plus nécessaires à la finalité annoncée.	art. 6 al. 4 LPD

L'exception de l'article 21 ne sauve que les candidatures retenues

L'article 21 prévoit deux exceptions. Elles sont plus étroites qu'il n'y paraît, et la première est celle que tout le monde croit pouvoir invoquer.

L'exception	Ce qu'elle dit vraiment
Le contrat	La décision doit être en relation directe avec la conclusion ou l'exécution d'un contrat et la demande de la personne doit être satisfaite. Les deux conditions sont cumulatives.
Le consentement	La personne a expressément consenti à ce que la décision soit prise de manière automatisée. Un consentement valable suppose une volonté librement exprimée, après information.

Le raisonnement à tenir, et il tient en une phrase. Un candidat écarté est un candidat dont la demande n'est pas satisfaite : l'exception du contrat ne joue pas pour lui. Autrement dit, l'article 21 s'applique exactement là où on aurait envie de s'en passer - sur les deux cent quarante dossiers refusés, pas sur les quinze retenus.

Et le consentement ? Il se retourne souvent contre l'employeur. Faire signer un consentement au tri automatisé dans un formulaire de candidature est fragile : la loi exige une volonté librement exprimée, ce qui se discute quand la personne postule pour un emploi. Une étape humaine réelle protège mieux qu'une case à cocher.

Le profilage à risque élevé exige un consentement exprès

Un outil qui note la personnalité, la fiabilité ou le potentiel d'un candidat ne fait pas que classer : il apprécie des aspects essentiels de la personnalité. Quand une personne privée effectue un profilage à risque élevé, la loi exige un consentement exprès - pas un consentement tacite, pas une mention noyée dans une charte.

Les trois traitements où le consentement doit être exprès

le traitement de données sensibles
le profilage à risque élevé effectué par une personne privée
le profilage effectué par un organe fédéral

Ce qu'il faut en retenir en pratique : plus l'outil prétend mesurer la personne, plus la base juridique doit être solide. Un score de correspondance entre un CV et une annonce n'est pas de même nature qu'un test de personnalité automatisé.

art. 6 al. 6 et 7 LPD · art. 5 let. g LPD pour la définition du profilage à risque élevé

Le refus discriminatoire : trois mois, et c'est fini

Un algorithme entraîné sur les recrutements passés peut écarter systématiquement un profil. Si le critère est le sexe, la loi sur l'égalité s'applique - elle vise expressément l'embauche.

Le candidat peut d'abord	exiger de l'employeur qu'il motive son refus par écrit	art. 8 al. 1 LEg
Puis agir en justice	dans les trois mois dès la communication du refus, sous peine de péremption - le droit est alors définitivement perdu	art. 8 al. 2 LEg
L'indemnité	au maximum trois mois de salaire pour un refus d'embauche ; si plusieurs personnes réclament pour le même poste, ce plafond vaut pour la somme totale des indemnités	art. 5 al. 2 et 4 LEg

La question à vous poser avant de répondre à un candidat. Une motivation écrite rédigée à la va-vite après un tri automatisé est une pièce du dossier : si elle ne correspond pas aux critères réellement utilisés par l'outil, l'écart se verra. Mieux vaut savoir ce que l'outil a fait avant d'écrire pourquoi on a refusé.

L'amende vise une personne, pas l'entreprise

C'est le point le plus mal connu de la loi sur la protection des données, et celui qui change le regard des directions.

Qui est puni	« les personnes privées » qui omettent intentionnellement d'informer - donc la personne physique responsable, et non la société
Combien	une amende de 250 000 francs au plus
À quelle condition	sur plainte : il faut qu'une personne concernée porte plainte, la poursuite n'a pas lieu d'office
Quand l'entreprise paie à sa place	seulement si l'amende envisagée ne dépasse pas 50 000 francs et que retrouver la personne responsable exigerait des mesures d'instruction disproportionnées
Qui poursuit	les cantons ; le Préposé fédéral peut dénoncer et se constituer partie plaignante

art. 60 al. 1 let. b, 64 al. 1 et 2, 65 LPD · art. 6 et 7 de la loi sur le droit pénal administratif

Ce que cela veut dire pour vous. Omettre d'informer un candidat d'une décision automatisée n'expose pas une ligne budgétaire : cela expose la personne qui a décidé de ne pas informer. C'est l'argument qui fait avancer un projet de notice d'information plus vite que n'importe quel rappel de conformité.

Le paragraphe à coller dans vos annonces

Voici une formulation qui couvre les articles 19, 21 et 25 en six lignes. Adaptez les termes entre crochets, gardez la structure.

Protection de vos données. Les données de votre dossier sont traitées par [raison sociale, adresse, courriel de contact] dans le seul but d'examiner votre candidature au poste de [fonction]. Elles sont communiquées à [les personnes qui participent à la décision, et le cas échéant le prestataire de l'outil de recrutement]. [Notre outil de présélection propose un classement des dossiers ; la décision de convoquer ou d'écarter est prise par une personne.] Vous pouvez à tout moment demander quelles données nous traitons, dans quel but et selon quelle logique, et nous demander de les rectifier ou de les supprimer. Les dossiers non retenus sont détruits [délai] après la clôture du recrutement.

La phrase entre crochets est la plus importante. Si un humain décide réellement, écrivez-le et tenez-le. Si la machine écarte seule, retirez cette phrase et ajoutez la mention du droit à un réexamen humain : ce n'est plus la même page juridique.

Les sept questions à poser au fournisseur, par écrit

1	L'outil produit-il un classement, un score ou une exclusion ? Les trois n'ont pas le même régime.
2	Évalue-t-il des aspects de la personnalité ? Si oui, nous sommes en profilage.
3	Sur quelles données d'entraînement le modèle a-t-il été construit, et de quelle période ?
4	Quels tests d'équité avez-vous conduits, sur quels critères, et pouvez-vous nous en remettre le rapport ?
5	Pouvez-vous nous fournir, pour un candidat donné, la logique qui a mené au résultat ? C'est ce que nous devrons lui transmettre s'il le demande.
6	Où les données sont-elles hébergées, et sont-elles utilisées pour entraîner votre modèle ?
7	Que se passe-t-il à la fin du contrat : restitution, effacement, délai, preuve ?

Pourquoi par écrit. La question 5 est celle qui départage les fournisseurs sérieux des autres. Un prestataire incapable d'expliquer un résultat vous met dans l'impossibilité de répondre à une demande d'accès - une obligation dont vous restez tenu même quand un sous-traitant traite les données pour vous.

6 · Gouvernance

ce qu'il faut pouvoir montrer le jour où l'on vous le demande

La protection des données n'est pas le seul risque

On pense spontanément aux données personnelles. Trois autres domaines sont pourtant touchés dès qu'un outil d'IA entre dans l'entreprise.

Domaine	Ce qui peut déraper
Droit d'auteur	les données d'entraînement du modèle, mais aussi le contenu produit : rien ne garantit qu'un texte ou une image générés ne reprennent pas une œuvre protégée
Concurrence déloyale	un assistant conversationnel qui dénigre un concurrent engage l'entreprise, même si personne n'a écrit la phrase
Confidentialité	en interne, un collaborateur qui « nourrit » l'outil avec des secrets d'affaires ; en externe, des données sensibles confiées par un partenaire commercial
Droit étranger	si des données de personnes établies dans l'Union européenne sont traitées, le RGPD peut s'appliquer en plus de la loi suisse

Le cas d'école du secret d'affaires. Un collaborateur colle un projet de contrat, une grille salariale ou une liste de clients dans un outil grand public pour « gagner du temps ». L'information sort de l'entreprise, souvent vers l'étranger, parfois pour entraîner le modèle. Aucune loi sur la protection des données n'est même nécessaire pour que le dommage soit là.

Six gestes pour cadrer l'IA dans une entreprise

1	Définir la position de l'entreprise vis-à-vis de l'IA et ses principes éthiques - un document stratégique court vaut mieux qu'un règlement que personne ne lit
2	Écrire des consignes d'utilisation pour les collaborateurs, générales et par outil
3	Tenir un inventaire des applications autorisées : quel outil, pour quelle finalité, à quelles conditions, avec quelle analyse de risque
4	Désigner des responsables internes pour toutes les questions liées à l'IA
5	Prévoir un processus d'autorisation préalable pour tout nouvel outil
6	Former régulièrement, et contrôler l'inventaire

Interdire ne marche pas. Une interdiction générale pousse simplement l'usage dans l'ombre : les collaborateurs continueront, avec leur compte personnel, sur leur téléphone, sans aucun cadre. Mieux vaut autoriser un outil maîtrisé et dire clairement ce qu'on peut y mettre.

Ce qu'une directive interne doit dire

ce qu'on peut faire, et avec quel outil précisément
ce qu'on ne met jamais : secrets d'affaires, données personnelles non anonymisées, informations de partenaires
les limites des outils : hallucinations, données d'entraînement incomplètes, tendance à épouser le point de vue de l'utilisateur, partialité
l'obligation de vérification humaine avant tout envoi ou publication
l'obligation de respecter les conditions d'utilisation du fournisseur

L'outil vous donne raison. C'est le biais le moins connu et le plus insidieux : une IA générative a tendance à adopter le point de vue de celui qui l'interroge. Formulez une question orientée, vous obtiendrez une réponse orientée - et elle vous paraîtra excellente, précisément parce qu'elle vous ressemble.

Une violation de données : la double annonce

À qui	Quand	Quoi
Au préposé fédéral	« dans les meilleurs délais », si un risque élevé pour la personnalité ou les droits fondamentaux est vraisemblable	la nature de la violation, ses conséquences, les mesures prises
À la personne concernée	si c'est nécessaire à la protection de ses droits, ou si le préposé l'exige	idem

Des exceptions existent : obligation de garder le secret, information impossible ou disproportionnée, communication publique suffisante. Dans tous les cas, une enquête interne rapide est décisive.

La Petite RH pleine de questions, Dame RH qui explique

Beaucoup de questions, peu de réponses toutes faites. C'est normal : le droit de l'IA au travail se construit avec des textes écrits avant elle. Les 51 affirmations qui suivent portent sur ce qui est déjà certain - et 14 sont tirées au hasard à chaque partie.

Votre conformité RH en huit points

Cochez ce qui est en place aujourd'hui, chez vous. Rien n'est enregistré ni envoyé.

7 · Le droit en vigueur et l'AI Act

pas de loi suisse sur l'IA, mais pas de vide : les règles actuelles s'appliquent déjà

Les principesbonne foi, proportionnalité, finalité, exactitude : une IA ne traite que ce qui sert, pour le but annoncéart. 6 LPD

Informerdire quels outils traitent quelles données, pour quoi faireart. 19 LPD

Décision automatiséel'annoncer ; sur demande, laisser la personne s'exprimer et faire revoir par un humainart. 21 LPD

Analyse d'impactavant un traitement à risque élevé : scoring de candidats, analyse de la productivitéart. 22 LPD

Pas de surveillance du comportementun outil qui surveille le comportement au poste est interditart. 26 OLT 3

Le droit d'accèsréponse dans les 30 jours, gratuite sauf effort disproportionné (300 francs au plus), y compris la logique d'une décision automatiséeart. 25 LPD ; art. 18 et 19 OPDo

Le registre des traitements n'est pas obligatoire pour les entreprises de moins de 250 collaborateurs, sauf si elles traitent des données sensibles à grande échelle ou font du profilage à risque élevé : un outil qui note les candidats ou les collaborateurs peut faire basculer une PME dans l'obligation.

art. 12 LPD ; art. 24 OPDo

Le calendrier européen (AI Act)

Le règlement européen sur l'IA touche aussi une entreprise suisse quand les résultats de l'outil sont utilisés dans l'Union européenne (un groupe avec des filiales, un recrutement pour un poste dans l'UE) ; il devient aussi la norme des fournisseurs.

2 février 2025pratiques interdites, dont la reconnaissance des émotions sur le lieu de travail ; obligation de former le personnel à l'IA
2 août 2026règles de transparence (dire qu'on parle à une machine, signaler les contenus générés)
2 décembre 2027systèmes à haut risque dans l'emploi : recrutement, promotion, licenciement, attribution des tâches, évaluation ; date fixée par le règlement modificatif de 2026

règlement (UE) 2024/1689, modifié par le règlement (UE) 2026/1744

Mon usage de l'IA en RH : quel niveau de risque ?

Choisissez l'usage : le niveau et les gestes à faire s'affichent. Rien n'est envoyé.

Usage de l'IA

L'AI Act en clair : qui est visé ?

Fournisseur ou déployeur

Le fournisseur crée l'outil d'IA. Le déployeur l'utilise sous sa propre autorité : c'est l'employeur qui trie des CV ou évalue son personnel avec un outil acheté. Le règlement vise les deux.

art. 3 du règlement (UE) 2024/1689

Une entreprise suisse est concernée si…

…les résultats de l'outil sont utilisés dans l'Union : une filiale suisse qui applique les outils de son groupe européen, ou un recrutement pour un poste situé dans l'UE. Pour un frontalier engagé sur un poste en Suisse, la question reste discutée.

art. 2 al. 1 let. c

Déjà interdit au travail

Reconnaître les émotions du personnel, y compris pendant un recrutement (expressions du visage analysées en entretien vidéo, « stress » mesuré par la voix) ; classer les personnes par données biométriques pour en déduire leur origine, leurs opinions politiques, leur appartenance syndicale, leurs convictions ou leur orientation sexuelle.

art. 5 al. 1 let. f et g, depuis le 2.2.2025

Haut risque : les devoirs de l'employeur

Un contrôle humain confié à une personne formée et qui a l'autorité de corriger ; des données d'entrée pertinentes ; surveiller le fonctionnement ; garder les journaux de l'outil 6 mois au moins ; informer le personnel et ses représentants avant la mise en service.

art. 26, dès le 2.12.2027 ; maîtrise de l'IA du personnel : art. 4

Et la Suisse ?

Pas de loi suisse sur l'IA : le Conseil fédéral a décidé le 12 février 2025 de ratifier la convention du Conseil de l'Europe sur l'IA (signée le 27 mars 2025) et d'adapter des lois existantes, surtout la protection des données. Un avant-projet est attendu ; pas de nouvelles règles contraignantes avant plusieurs années. D'ici là : la LPD, le CO, l'OLT 3 et la LEg.

état en octobre 2026

Puis-je traiter ces données avec l'IA ? Le test en trois questions

L'employeur ne traite que les données sur l'aptitude du collaborateur à son poste ou nécessaires au contrat (art. 328b CO, auquel on ne peut pas déroger à son détriment, art. 362 CO).

question 1Y a-t-il des données personnelles ? Collecter, analyser, résumer, noter un collaborateur ou un candidat : oui. Des données vraiment anonymes : la LPD ne s'applique pas.
question 2Y a-t-il atteinte à la personnalité ? Oui si un principe est violé (but caché, données inutiles, résultat inexact), si la personne s'y oppose, si des données sensibles vont à des tiers, ou si l'on sort du cadre de l'art. 328b CO.
question 3Y a-t-il un motif justificatif ? Une loi, un intérêt prépondérant, ou un consentement, qui a une portée limitée dans un rapport de travail. Sans motif : le traitement est illicite.Les données sensibles sont fréquentes en RH : certificats médicaux, appartenance syndicale, données biométriques (pointeuse, reconnaissance du visage, analyse de la voix).

art. 328b et 362 CO ; art. 5 let. c, 6 et 31 LPD

✗ À éviter

analyser tous les courriels pour mesurer « l'engagement »
copier des dossiers complets dans un outil
garder les scores sans limite de durée
réutiliser les résultats d'une formation pour évaluer la personne

✓ À privilégier

des données pseudonymisées ou agrégées
seulement les champs utiles pour le poste
une durée de conservation fixée d'avance
un but par traitement, annoncé

La proportionnalité vaut autant pour ce qu'on met dans l'outil que pour ce qu'on garde de ses résultats (art. 6 LPD).

Dix situations de la vie RH

Le tri de CV

L'IA hérite des biais : un grand groupe de commerce en ligne a abandonné en 2018 un outil qui pénalisait les CV contenant le mot « women ». Un refus décidé par la machine seule est une décision automatisée : informer, et faire revoir par une personne sur demande.

Le bon réflexe : demander à l'outil le motif de chaque refus, puis en relire un échantillon : sur 500 CV et 300 refus, au moins 30 (10 %), CV et lettre en main.art. 21 LPD ; LEg

Le bonus calculé par l'IA

Une décision automatisée, et un risque d'inégalité salariale : si l'outil paie plus les hommes que les femmes, c'est l'employeur qui répond.

Le bon réflexe : l'IA propose, le supérieur décide et motive ; comparer les résultats femmes et hommes.art. 21 LPD ; art. 3 LEg

Le licenciement collectif

Demander à un outil de désigner « les moins performants » : biais, erreurs d'appréciation, et risque de congé abusif.

Le bon réflexe : revoir chaque proposition, avec des critères objectifs et documentés.art. 336 CO ; LEg

La caméra « intelligente »

La vidéosurveillance proportionnée et annoncée est possible ; y ajouter une IA qui repère les humeurs ou les « comportements bizarres » ne l'est pas.

Le bon réflexe : désactiver toute analyse des personnes, garder la sécurité seulement.art. 26 OLT 3 ; art. 6 LPD ; AI Act art. 5

Le contrôle des ordinateurs

Un outil qui bloque les sites interdits peut être admis ; le même outil qui sort un rapport complet de tout ce que fait chacun devient un logiciel espion.

Le bon réflexe : ce n'est pas parce que l'outil le permet que c'est permis ; couper les fonctions de rapport individuel.art. 26 OLT 3 ; ATF 139 II 7

L'IA « fantôme » (shadow AI)

Des collaborateurs utilisent l'IA sans le dire. Un travail produit par l'IA n'est pas le même qu'un travail réfléchi : par fidélité et diligence, le collaborateur devrait dire ce qu'il a fait avec l'IA (recherche, correction, rédaction, analyse).

Le bon réflexe : une directive : outils permis, données interdites, devoir de signaler un usage important.art. 321a CO

Un outil hébergé aux États-Unis

Les données peuvent y aller si le fournisseur est certifié selon le cadre de protection des données Suisse-États-Unis ; sinon, il faut des garanties, par exemple des clauses contractuelles.

Le bon réflexe : vérifier la certification avant de signer, et préférer une version « entreprise » sans réentraînement.art. 16 LPD ; OPDo, annexe 1

La formation et les « potentiels »

Un outil qui personnalise les parcours ou détecte des « potentiels » : les données de formation ne servent pas d'office à évaluer la personne.

Le bon réflexe : dire à quoi servent les résultats ; la personne peut voir sa classification.art. 6 al. 3 et 25 LPD

Le certificat de travail rédigé par l'IA

Un premier jet rapide, mais le certificat doit être vrai et bienveillant, et ne rien inventer.

Le bon réflexe : relire chaque phrase, vérifier les faits et les codes cachés (voir le générateur de certificat).art. 330a CO

Le droit d'accès

Il couvre aussi les données produites par l'IA : notes, résumés, scores. Un collaborateur peut découvrir ce qui n'aurait jamais dû y être.

Le bon réflexe : ne garder que ce qui est exact et nécessaire, effacer le reste.art. 25 LPD ; art. 6 LPD

Être en règle : qui doit quoi ?

L'employeur

Choisir les outils et les autoriser par écrit ; vérifier contrat, sécurité et hébergement (art. 8, 9 et 16 LPD).
Informer le personnel et les candidats des outils utilisés et de leur but (art. 19 LPD).
Ne traiter que le nécessaire, exact, pour le but annoncé (art. 6 LPD ; art. 328b CO).
Garder la décision humaine sur l'embauche, l'évaluation, le salaire et le licenciement (art. 21 LPD).
Analyser l'impact avant un usage à risque élevé (art. 22 LPD).
Ne pas surveiller le comportement ; protéger la personnalité et l'égalité (art. 26 OLT 3 ; art. 328 CO ; LEg).
Former les utilisateurs et donner des règles claires : directive (art. 321d CO) ; obligatoire dans l'UE (art. 4 AI Act).
Répondre aux demandes d'accès en 30 jours (art. 25 LPD).
Associer la représentation du personnel : droit d'être informée (art. 9 loi sur la participation), consultation sur la santé (art. 48 LTr).
Proposer des outils validés : l'employeur répond du dommage causé par ses auxiliaires (art. 101 CO).

Le collaborateur

Faire le travail soi-même : l'IA aide, elle ne remplace pas l'exécution personnelle (art. 321 CO).
Suivre la directive de l'employeur, selon la bonne foi (art. 321d CO).
N'utiliser que les outils autorisés, avec le compte professionnel.
Garder le secret : pas de données de collègues, candidats ou clients, ni de secrets d'affaires dans un outil non autorisé (art. 321a al. 4 CO ; secret commercial et professionnel, art. 162 et 321 CP).
Vérifier ce que l'IA produit avant de s'en servir : il en reste l'auteur (art. 321a CO).
Dire quand l'IA a fait une part importante du travail : rédaction, analyse, traduction.
Signaler tout de suite une erreur grave, une fuite ou un résultat discriminatoire.
Répondre d'un dommage causé par négligence, selon sa diligence (art. 321e CO).

Le modèle de directive sur l'usage de l'IA

La formation : le programme en cinq modules

Pour tous ceux qui utilisent l'IA au travail : une demi-journée suffit pour commencer, puis une mise à jour chaque année. Garder la liste des participants : c'est la preuve de la formation. Présenter les outils tôt, avec la représentation du personnel s'il y en a une, favorise leur acceptation.

1. Comprendre l'outil

Ce que fait l'IA générative, pourquoi elle invente parfois (hallucinations), pourquoi elle sonne juste même quand elle se trompe.

2. Les données

Ce qu'on peut y mettre et ce qu'on n'y met jamais ; anonymiser ; outils autorisés et outils grand public.

3. Biais et égalité

Reconnaître un résultat discriminatoire ; pourquoi l'employeur en répond (LEg).

4. Le contrôle humain

Les quatre niveaux, l'échantillonnage, noter ce qui a été vérifié.

5. Droits et incidents

Informer, droit d'accès, revue humaine ; qui prévenir en cas de fuite ou d'erreur grave.

Pour les cadres et les RH, en plus

Décisions automatisées, analyse d'impact, surveillance interdite, et, si filiale dans l'UE, les devoirs du « haut risque ».

Les droits du collaborateur face à l'IA

Droit	Ce que cela veut dire avec l'IA	Base
Accès	Recevoir ses données, y compris celles produites par l'IA (scores, classements, résumés, profils), le but, la durée de conservation, l'origine, et la logique d'une décision automatisée. Par écrit, en 30 jours, gratuitement (300 francs au plus si l'effort est disproportionné). Il ne sert pas à chercher des preuves pour un procès.	art. 25 et 26 LPD ; art. 18 et 19 OPDo ; ATF 147 III 139
Rectification	Corriger une donnée fausse ; si l'exactitude ne peut pas être établie, faire mentionner qu'elle est contestée. Une appréciation n'est pas une donnée « fausse ».	art. 32 al. 1 et 3 LPD
Effacement, opposition	Demander l'effacement ou s'opposer, sous réserve des durées de conservation obligatoires (par exemple 5 ans pour les registres de la loi sur le travail).	art. 32 al. 2 LPD ; art. 73 OLT 1
Revue humaine	Donner son point de vue et faire revoir par une personne une décision prise par la machine seule.	art. 21 al. 2 LPD
Remise des données	Recevoir les données fournies soi-même, traitées automatiquement pour le contrat, dans un format courant.	art. 28 LPD

La frise du contrôle : la vie d'un outil d'IA en RH

De l'idée au contrôle annuel, avec à chaque étape l'alerte à ne pas manquer.

avant toutInventorier les outils déjà utilisés, y compris ceux que les collaborateurs ont adoptés seuls.L'outil gratuit utilisé « en douce » avec des CV, c'est une fuite de données (art. 8 LPD).
avant d'acheterQualifier l'usage : rédiger, trier, évaluer, surveiller ? Niveau de risque, profilage, décision automatisée, lien avec l'UE.Émotions et catégorisation biométrique : on s'arrête là, c'est interdit.
avant de signerChoisir le fournisseur : contrat de sous-traitance, hébergement, pas de réentraînement sur vos données, journaux disponibles.Fournisseur hors de Suisse et de l'UE : certification ou garanties (art. 16 LPD).
si risque élevéAnalyse d'impact : décrire le traitement, chaque risque et sa parade ; si un risque élevé subsiste, consulter le Préposé, qui répond en deux mois.Scorer le personnel avec des données de santé : risque élevé, analyse obligatoire (art. 22 LPD).
avant la mise en serviceInformer le personnel ou les candidats : quel outil, pour quoi, qui décide ; adopter la directive IA ; former les utilisateurs.Un outil d'évaluation mis en place sans en parler : violation du devoir d'informer (art. 19 LPD).
à chaque usageContrôle humain adapté à l'enjeu : relire, comparer, sonder, ou refaire.Un « humain dans la boucle » qui valide tout sans regarder ne vaut pas revue humaine (art. 21 LPD).
chaque moisÉchantillonner les résultats (au moins 10 % des refus) et noter ce qui a été vérifié.Des refus qui touchent surtout un sexe, un âge ou une origine : arrêter l'outil et corriger.
chaque annéeRevoir : outils, accès, journaux, demandes d'accès reçues, égalité des résultats ; mettre à jour la directive et l'information.Une fuite ou un incident grave : annonce au Préposé si le risque est élevé (art. 24 LPD).

La mise en place : la Suisse et, en parallèle, la filiale dans l'UE

À gauche, ce que toute entreprise suisse fait déjà selon la LPD et le CO. À droite, ce qui s'ajoute si une filiale est dans l'Union européenne ou si les résultats de l'outil y sont utilisés.

Quand

Suisse (LPD, CO)

Filiale ou résultats dans l'UE (AI Act)

Déjà aujourd'hui

La LPD s'applique directement à l'IA : principes, information, décisions automatisées, sécurité, droit d'accès ; pas de surveillance du comportement.

Pratiques interdites depuis le 2.2.2025 (émotions au travail, catégorisation biométrique) ; former le personnel qui utilise l'IA (art. 4).

Mois 1

Inventaire des outils, y compris l'IA « fantôme » ; qualifier chaque usage.

Repérer les outils à haut risque : recrutement, promotion, licenciement, attribution des tâches, évaluation (annexe III).

Mois 2

Directive IA ; contrats et hébergement des fournisseurs vérifiés.

Demander au fournisseur la notice d'utilisation et ce qu'il prévoit pour le contrôle humain.

Mois 3

Information du personnel et des candidats mise à jour ; registre si l'entreprise y est tenue.

Depuis le 2.8.2026 : dire qu'on parle à une machine, signaler les contenus générés (art. 50).

Mois 4 à 6

Analyse d'impact pour les usages à risque élevé ; niveaux de contrôle humain fixés.

Désigner les personnes chargées du contrôle humain, avec formation et autorité (art. 26 al. 2).

Avant le 2.12.2027

Le plan tourne : échantillonnage, revue annuelle.

Haut risque « emploi » en vigueur : données d'entrée pertinentes, surveillance, journaux 6 mois au moins, information préalable du personnel et de ses représentants (art. 26).

Ensuite

Revoir chaque année, suivre les décisions du Préposé.

Mêmes contrôles chaque année ; incident grave signalé au fournisseur et à l'autorité (art. 26 al. 5).

LPD ; CO 328 et 328b ; OLT 3 art. 26 ; règlement (UE) 2024/1689, art. 4, 5, 26, 50 et annexe III, modifié par le règlement (UE) 2026/1744

La carte des risques de l'IA en RH

Risque	Exemple	Règle	La parade
Biais, discrimination	un tri de CV qui écarte les femmes ou les plus de 50 ans	LEg ; art. 328 CO	tester les résultats, une personne revoit chaque refus
Boîte noire	une note impossible à expliquer au candidat	art. 19, 21 et 25 LPD	documenter les critères, pouvoir expliquer
Erreur	un résumé d'entretien qui invente une phrase	art. 6 al. 5 LPD	relire, corriger avant de classer
Surveillance	un « score de productivité » par collaborateur	art. 26 OLT 3 ; art. 328 CO	mesure proportionnée et annoncée, analyse d'impact
Fuite	des CV collés dans un outil grand public	art. 8 LPD	une directive, des outils validés seulement
Étranger	des données hébergées dans un pays sans protection reconnue	art. 16 et 17 LPD	pays reconnu ou clauses contractuelles

Le contrôle humain : quatre niveaux

Plus l'enjeu est grand pour la personne, plus le contrôle doit être fort. Une relecture « pour la forme » ne vaut pas revue humaine (art. 21 LPD).

1. Reliretoujours, même pour un simple courriel : l'IA ne remplace pas la compétence

2. Comparerconfronter la réponse à une autre source ou un autre outil

3. Vérifier par sondagecontrôler les points clés et noter ce qui a été vérifié

4. Refairequand la décision touche fortement une personne : l'IA ne sert que de filet

Ce que coûte une infraction

Règle	Qui est puni	Au plus
LPD : informer, renseigner, sous-traitance, sécurité, discrétion	la personne responsable, pas l'entreprise ; le plus souvent sur plainte	250 000 francs
AI Act : pratique interdite	l'entreprise	35 millions d'euros ou 7 % du chiffre d'affaires mondial
AI Act : autres obligations, dont celles de l'employeur qui utilise l'outil	l'entreprise	15 millions d'euros ou 3 %
AI Act : informations inexactes aux autorités	l'entreprise	7,5 millions d'euros ou 1 %

Pour une PME, c'est le plus faible des deux montants qui fixe le maximum. Les arrêts du Tribunal fédéral sur la surveillance (GPS, logiciel espion, navigation, caméras) sont réunis dans la fraude à la paie.

art. 60 à 63 LPD ; règlement (UE) 2024/1689, art. 99

Tester vos connaissances

Testez vos réflexes

8 affirmations tirées au hasard parmi 23, et rien n'est enregistré ni envoyé

Les sources

un domaine sans jurisprudence propre : d'autant plus important de citer juste

Loi fédérale sur la protection des données Les articles à connaître : 5 pour le profilage, 6 pour les principes, 21 pour la décision automatisée, 24 pour l'annonce des violations, 25 pour le droit d'accès. officiel Préposé fédéral à la protection des données Guides pratiques, formulaire d'annonce des violations et recommandations sur le dossier personnel. officiel CO 328 et 328b La protection de la personnalité et la limite du traitement des données dans les rapports de travail. Deux articles courts, et presque tout en découle. officiel Loi sur l'égalité Le harcèlement sexuel à l'article 4, l'indemnité à l'article 5. Le socle en cas de discrimination algorithmique liée au sexe. officiel SECO - Protection de l'intégrité personnelle Définitions, formes de harcèlement, brochures et listes de contrôle - dont un modèle de directive sur la protection de l'intégrité personnelle, prêt à adapter. officiel CERT - Université de Neuchâtel Le centre d'étude des relations de travail. Sa journée annuelle 2026 était consacrée aux algorithmes, à l'IA et au droit du travail. université

Sur ce que vous venez de lire. Cette page s'appuie notamment sur les travaux présentés à l'Université de Neuchâtel et sur les publications de David Raedler, professeur associé à l'Université de Lausanne et responsable de la chaire de droit du travail, spécialiste en droit du travail et en protection des données. Les textes de loi ont été vérifiés à la source. Le droit de l'IA bouge vite : recontrôlez avant de décider.

Ces repères n'ont pas valeur juridique. Les montants et les règles changent chaque année, et chaque situation a ses particularités. Vérifiez toujours à la source officielle citée, ou auprès de votre caisse de compensation.

Un chiffre qui a bougé, une source qui manque ? Dites-le, on corrige.