Un défi pour les employeurs

L’intelligence artificielle (IA) peut s’avérer très précieuse dans la gestion des ressources humaines d’une banque ou d’un prestataire de services financiers. Les employeurs peuvent l’utiliser pour automatiser diverses tâches, comme le tri des candidatures, l’évaluation des performances, le prononcé d’avertissements, voire les licenciements. Ces pratiques soulèvent diverses questions juridiques : dans quelle mesure un employeur peut-il s’appuyer sur l’IA pour de telles tâches ? Les employés peuvent-ils contester l’utilisation de l’IA les concernant, respectivement peuvent-ils obtenir des explications sur les critères utilisés par l’IA ?

En Suisse, aucune règlementation ne vise spécifiquement l’IA. Cela étant, les décisions prises à l’aide de l’IA, voire exclusivement par l’IA, peuvent être qualifiées de décisions individuelles automatisées (DIA) au sens  de l’art. 21 LPD. Une DIA est retenue lorsque trois conditions cumulatives sont remplies : (1) la décision est individuelle, (2) prise sans réelle intervention humaine, et (3) produit des effets juridiques ou affecte de manière significative la personne concernée.

Les banques et prestataires de services financiers doivent d’abord évaluer si les processus automatisés qu’ils utilisent remplissent les critères d’une DIA. Cela signifie que l’employeur doit déterminer si la décision automatisée a été prise sans aucune intervention humaine significative et si elle a un impact notable sur l’employé. Par exemple, le rejet d’une candidature par un algorithme ou la détermination du montant d’un bonus basé sur des critères de performance sont des DIA si ces décisions ne sont pas revues de manière substantielle par un humain.

Si les processus utilisés par l’employeur sont qualifiés de DIA, l’employeur doit en informer les employés ou les candidats (art. 21 al. 1 LPD). Cette information doit être claire, concise, et aisément accessible. Sur demande de l’employé, l’employeur doit aussi l’informer de la logique sous-jacente à la décision, c’est-à-dire lui expliquer les critères sur lesquels la décision est fondée (art. 25 al. 2 let. f LPD).

Les employés ou candidats ont en principe le droit de faire valoir leur point de vue et de demander que la DIA soit revue par un humain (art. 21 al. 2 LPD). Cela signifie que l’employeur doit mettre en place des procédures permettant une intervention humaine lorsque cela est demandé. Par ailleurs, une analyse d’impact relative à la protection des données (AIPD) est nécessaire lorsque la DIA présente un risque élevé pour les personnes concernées (art. 22 LPD). Cette analyse doit évaluer les risques et les mesures pour les atténuer (cf. l’aide-mémoire d’août 2023 du Préposé fédéral à la protection des données et à la transparence).

Le non-respect des obligations légales liées aux DIA peut entraîner diverses conséquences. La personne responsable au sein des ressources humaines pourrait être condamnée pénalement si elle omet volontairement d’informer correctement un employé de l’utilisation d’une DIA (art. 60 al. 1 LPD). En outre, les mesures administratives peuvent inclure la suspension du traitement des données ou la suppression des données collectées en violation des obligations légales (art. 51 LPD).

Au niveau de l’UE, le RGPD connait la même définition de la DIA que le droit suisse. Il est cependant plus strict que la LPD puisqu’il interdit en principe toute DIA, sauf à trois conditions alternatives : (1) si la DIA est nécessaire pour l’exécution d’un contrat, (2) qu’elle est autorisée par la loi, ou (3) que la personne concernée y a consenti explicitement (art. 22 par. 1 et 2 RGPD). Lorsque la DIA est licite, l’employeur doit en particulier informer l’employé qu’il fait l’objet d’une DIA et mettre en place un processus de révision des décisions (human-in-the-loop, art. 22 par. 3 RGPD). En cas de violation de ces règles, l’autorité de surveillance peut imposer une importante amende administrative e (art. 83 RGPD).

En outre, le règlement sur l’intelligence artificielle (RIA) classe deux systèmes d’IA (SIA, cf. cdbf.ch/1382/) en matière de ressources humaines comme étant à haut risque (cf. cdbf.ch/1359/). Il s’agit (1) des SIA qui analysent, filtrent et évaluent les candidatures et (2) des SIA qui exécutent des tâches de ressources humaines, telles que la promotion, le licenciement, l’attribution de tâches ou encore le suivi et l’évaluation des performances et comportements des employés (Annexe III ch. 4 RIA). La ratio legis de cette classification comme SIA à haut risque provient des risques de discriminations selon le sexe, l’âge, l’origine raciale ou encore l’orientation sexuelle (consid. 57 RIA). Si l’employeur déploie une de ces SIA à haut risque, il doit en particulier en informer les employés concernés ou leurs représentants (art. 26 ch. 7 RIA).

En résumé, l’utilisation de l’IA peut être considérée comme une DIA si elle sert à la prise de décision – et non comme une simple aide à la décision –avec des effets significatifs pour la personne concernée. Au sein de l’UE, le RIA s’appliquera en plus du régime prévu en matière de protection des données.

Pour une analyse plus développée de cette thématique, cf. Hirsch Célian, Droit du travail et intelligence artificielle : défis des décisions automatisées pour les employeurs, in : Dunand Jean-Philippe et al. (édit.), La protection des données dans les relations de travail à la lumière de la nouvelle loi fédérale sur la protection des données, Zurich 2024.