Cahier des charges d'un assistant RH IA : les exigences à formuler

Au 4 novembre 2026, un cahier des charges d'assistant RH IA doit couvrir quatre blocs : l'usage (questions traitées, sources, escalade), la conformité (contrat article 28, AIPD, durées de conservation, transferts), la sécurité (article 32 du RGPD, droits par rôle, journalisation) et la sortie (renvoi ou suppression des données). La CNIL recommande en outre de partir de besoins concrets et de s'opposer à la réutilisation des données d'usage.

Partir des besoins

La CNIL conseille de partir de besoins concrets avant de choisir un système d'IA générative, et rappelle qu'un outil d'aide à la décision appelle un niveau d'exigence plus élevé. Le cahier des charges décrit donc les questions que l'assistant doit traiter, les publics visés, les canaux utilisés, les sources documentaires autorisées et les cas où il doit passer la main à un gestionnaire. Il précise aussi ce que l'outil ne doit pas faire, par exemple prendre une décision individuelle ou répondre sur une situation médicale.

Qualité des réponses

Exigez que chaque réponse cite le texte utilisé, avec sa référence et sa date, et que l'outil distingue le Code du travail, la convention collective identifiée par son IDCC et les accords d'entreprise. Demandez un mode de fonctionnement où l'outil répond à partir de vos documents plutôt que de sa seule mémoire. La CNIL cite parmi les risques de l'IA la production de contenus erronés et recommande de ne pas reprendre telles quelles les sorties : un circuit de signalement des erreurs et de correction des sources fait partie du besoin.

Conformité et sécurité

Le cahier des charges reprend les huit points de l'article 28 du RGPD, la liste des sous-traitants et leur localisation, l'interdiction de réutiliser les données pour entraîner un modèle, la conformité aux durées du référentiel CNIL RH et l'aide du fournisseur pour l'AIPD. Côté sécurité, il demande les mesures de l'article 32, l'authentification unique, des droits par rôle appliqués aux réponses, la journalisation des accès, un délai de notification des incidents et des preuves d'audit ou de certification. Les risques propres à l'IA, comme l'injection d'instructions, doivent être traités.

Mesure et sortie

Prévoyez des indicateurs de suivi définis à l'avance : volume de questions, part des réponses escaladées, erreurs signalées, délai de réponse. Ces indicateurs doivent rester agrégés pour ne pas devenir un outil de contrôle individuel, qui imposerait l'information et la consultation du CSE prévues par l'article L2312-38. Enfin, le cahier des charges fixe la réversibilité : formats d'export, délai, attestation de suppression et frais éventuels, en cohérence avec l'article 28, paragraphe 3, point g, du RGPD.

À faire

1. Rédiger la liste des usages couverts et exclus, avec les règles d'escalade.
2. Exiger la citation des sources et la prise en compte de la convention collective et des accords.
3. Joindre une annexe RGPD reprenant l'article 28 et l'interdiction de réutilisation des données.
4. Joindre une annexe sécurité : article 32, SSO, droits par rôle, journalisation, notification d'incident.
5. Définir des indicateurs agrégés et une procédure de sortie testée.
6. Prévoir une phase pilote avec un jeu de questions dont les réponses sont connues.

Textes de référence

• CNIL : questions-réponses sur l'utilisation d'un système d'IA générative
• Articles 28 et 32 du RGPD (CNIL, chapitre IV)
• Référentiel CNIL des durées de conservation, gestion des ressources humaines
• Article L2312-38 du Code du travail

Questions fréquentes

Contenu d'information générale, qui ne constitue pas un conseil juridique.