IA générative en Allemagne : la déployer avec le Betriebsrat

En Allemagne, un projet d'IA générative commence rarement dans le bureau du DSI. Il commence autour d'une table avec le Betriebsrat, le comité élu par les salariés. Tant qu'il n'a pas donné son accord, beaucoup d'outils restent bloqués.

Bien préparée, cette négociation oblige à répondre tôt aux bonnes questions : quelles données peuvent partir vers un assistant IA, qui voit quoi, et comment prouver que les règles sont respectées. C'est précisément là qu'une solution de DLP pour l'IA trouve sa place.

Pourquoi le Betriebsrat a son mot à dire

La loi allemande sur l'organisation des entreprises, le Betriebsverfassungsgesetz (BetrVG), donne au comité un droit de codécision sur l'introduction et l'utilisation de dispositifs techniques capables de surveiller le comportement ou la performance des salariés (article 87, paragraphe 1, point 6). Les tribunaux lisent ce texte de façon large : il suffit que l'outil puisse produire ce type de données. L'intention de surveiller n'est pas nécessaire.

Depuis la réforme de 2021, dite Betriebsrätemodernisierungsgesetz, le BetrVG cite aussi explicitement l'intelligence artificielle. Le comité doit être informé des projets qui l'utilisent, et il peut se faire assister par un expert lorsqu'il doit évaluer un système d'IA.

Ce que dit vraiment la décision de Hambourg

En janvier 2024, le tribunal du travail de Hambourg a rejeté la demande d'un comité qui voulait faire interdire ChatGPT dans son entreprise. L'employeur avait simplement autorisé les salariés à utiliser l'outil dans le navigateur, avec leurs propres comptes, et publié des règles d'usage. Pour le tribunal, l'entreprise ne recevait aucune donnée d'usage, donc pas de codécision sur ce point.

Il serait imprudent d'en tirer une règle générale. La décision a été rendue en procédure d'urgence, sur un cas précis. Dès qu'une entreprise fournit des comptes professionnels, une version entreprise ou un outil qui journalise les prompts, elle dispose de données sur l'activité des salariés. La codécision revient alors au premier plan. Un outil de DLP qui enregistre des incidents entre clairement dans cette catégorie.

Le cadre de protection des données : DSGVO, DSK et autorités des Länder

Côté données personnelles, le texte de référence est le RGPD, appelé DSGVO en Allemagne, complété par la loi fédérale BDSG. Le contrôle est partagé entre le commissaire fédéral (BfDI) et les autorités de chaque Land, qui surveillent la plupart des entreprises privées.

En mai 2024, la Datenschutzkonferenz (DSK), qui réunit ces autorités, a publié une orientation sur l'IA et la protection des données. Elle vise les organisations qui choisissent et utilisent des applications d'IA, en particulier les grands modèles de langage. Parmi ses recommandations :

• définir à l'avance les usages autorisés et vérifier s'ils exigent vraiment des données personnelles ;

• fournir des comptes professionnels plutôt que laisser les salariés utiliser des comptes privés ;

• vérifier si les saisies servent à entraîner le modèle et, si possible, le refuser ;

• associer le délégué à la protection des données et les salariés, et rédiger des règles internes claires.

Dès novembre 2023, l'autorité de Hambourg avait publié une liste de contrôle très proche pour les chatbots fondés sur des LLM. L'IA est utilisable, à condition d'encadrer ce qui y entre.

Ce qu'un accord d'entreprise sur l'IA doit contenir

L'outil habituel est la Betriebsvereinbarung, signée par la direction et le comité. Pour l'IA générative, beaucoup d'entreprises signent un accord-cadre qui fixe des principes communs, puis ajoutent une annexe par outil. Les points à traiter :

1. La liste des outils autorisés et la procédure pour en ajouter.

2. Les catégories de données interdites dans les prompts : santé, données RH, secrets d'affaires, données clients identifiantes.

3. Ce qui est enregistré, par qui, pendant combien de temps et dans quel but.

4. Une interdiction claire d'utiliser ces données pour évaluer la performance individuelle.

5. L'accès du comité à des rapports agrégés.

6. La formation des salariés et un contact en cas de doute.

Où la DLP pour l'IA s'insère dans la codécision

ZeusLock fonctionne sur le poste de travail ou dans le navigateur. Il repère les données sensibles dans un prompt ou un fichier avant l'envoi, puis les anonymise, avertit l'utilisateur ou bloque l'envoi selon la règle définie. Chaque incident est journalisé pour servir de preuve de conformité.

Ces journaux sont justement ce que le Betriebsrat voudra encadrer. Une bonne configuration le prévoit dès le départ :

• l'anonymisation préservant le format remplace un nom ou un IBAN par une valeur fictive de même forme, ce qui permet au salarié de travailler sans exposer la donnée réelle ;

• les rapports peuvent être présentés par service ou par type de donnée, plutôt que par personne ;

• l'accès aux journaux détaillés peut être réservé à la sécurité et au délégué à la protection des données, selon une procédure écrite dans l'accord.

Présentée ainsi, la DLP devient un argument en faveur de l'accord. Elle protège le salarié contre une erreur de copier-coller autant qu'elle protège l'entreprise.

Préparer la négociation sans perdre six mois

Les projets qui avancent vite ont un point commun : ils impliquent le comité avant de choisir l'outil, pas après. Expliquer précisément quelles données sont collectées et proposer soi-même des garde-fous évite des allers-retours sans fin. Notre playbook de déploiement en 90 jours peut servir de calendrier de départ. Pour le volet européen, la checklist Règlement IA et RGPD aide à préparer l'analyse d'impact.

La formation seule ne suffit pas, comme nous l'expliquons dans pourquoi la formation sécurité IA ne fonctionne pas. Un garde-fou technique au moment de l'envoi complète donc utilement l'accord.

En résumé

En Allemagne, l'IA générative se déploie avec le Betriebsrat, pas contre lui. Le BetrVG lui donne un rôle dès qu'un outil peut produire des données sur les salariés. La DSK et les autorités des Länder attendent des règles claires sur les données saisies. Une DLP pour l'IA, configurée avec des rapports agrégés et une anonymisation transparente, permet de répondre aux deux exigences à la fois.

Vous préparez un accord d'entreprise sur l'IA ? Demandez une démo de ZeusLock et découvrez comment présenter la DLP à votre comité.