Boîte mail RH et IA : protéger la confidentialité des échanges avec les salariés

Au 4 novembre 2026, le référentiel CNIL de gestion du personnel exclut tout contrôle individuel des communications émises ou reçues par les salariés, et la CNIL range l'analyse des flux de courriels sortants destinée à détecter des fuites d'information parmi les traitements soumis à AIPD obligatoire. Connecter une IA à une boîte RH impose donc de cadrer la finalité, les accès, l'hébergement et l'interdiction de réutilisation par le fournisseur.

Ce que contient une boîte RH

Une boîte partagée RH reçoit des demandes de congés, des questions de paie, des arrêts de travail, parfois des signalements ou des conflits. Une partie relève des données sensibles de l'article 9 du RGPD, d'autres de procédures disciplinaires ou d'alertes. Brancher un outil d'IA pour trier ou rédiger des réponses revient à créer un nouveau traitement sur l'ensemble de ces messages. Sa finalité doit être définie précisément, par exemple aider les gestionnaires à répondre, et non analyser le comportement des salariés qui écrivent.

Les limites posées par la CNIL

Le référentiel CNIL de gestion du personnel admet la messagerie professionnelle sur la base de l'intérêt légitime mais exclut tout contrôle individuel des communications. La liste CNIL des traitements soumis à AIPD vise, au titre de la surveillance constante de l'activité, l'analyse des flux de courriels sortants pour détecter des fuites d'information. Un outil qui classerait les messages par salarié, mesurerait leur ton ou repérerait des comportements changerait de nature. L'article L1222-4 du Code du travail interdit par ailleurs de collecter des informations sur un salarié par un dispositif qui n'a pas été porté préalablement à sa connaissance.

Sécurité et accès

L'article 32 du RGPD impose des mesures adaptées au risque, comme la pseudonymisation, le chiffrement et des tests réguliers. Le référentiel RH de la CNIL ajoute la gestion des habilitations, la revue annuelle des droits et la traçabilité des accès. Pour un outil d'IA, il faut vérifier que les réponses générées ne mélangent pas les dossiers de salariés différents, que seuls les gestionnaires habilités voient les suggestions et que les journaux d'utilisation sont protégés. Toute violation doit être notifiée à la CNIL dans les 72 heures si elle présente un risque (article 33).

Le fournisseur et ses données d'usage

Un outil branché sur la messagerie transmet le contenu des courriels au fournisseur et, souvent, à un fournisseur de modèle. La CNIL recommande de s'opposer, quand c'est possible, à la réutilisation des données d'usage par le fournisseur et rappelle qu'un sous-traitant ne peut réutiliser des données pour son compte qu'avec une autorisation écrite spécifique. Le contrat de l'article 28 doit l'exclure expressément, fixer la localisation du traitement et prévoir la suppression des contenus à l'issue de la prestation.

À faire

1. Écrire la finalité exacte de l'outil branché sur la boîte RH et exclure toute analyse individuelle des salariés.
2. Restreindre l'accès aux suggestions de l'IA aux gestionnaires habilités.
3. Interdire contractuellement la réutilisation des courriels par le fournisseur et ses sous-traitants.
4. Vérifier si une AIPD est requise, notamment en présence de données de santé ou de signalements.
5. Informer les salariés que leurs messages à la boîte RH sont traités par un outil d'IA.
6. Exclure du traitement automatique les boîtes ou dossiers dédiés aux alertes et aux procédures disciplinaires.

Textes de référence

• Référentiel CNIL relatif à la gestion du personnel
• Liste CNIL des traitements pour lesquels une AIPD est requise
• Articles 28, 32 et 33 du RGPD (CNIL, chapitre IV)
• Article L1222-4 du Code du travail

Questions fréquentes

Contenu d'information générale, qui ne constitue pas un conseil juridique.