Sécurité et conformité

Le règlement européen sur l’IA classe à haut risque les systèmes qui surveillent ou évaluent la performance ou le comportement des travailleurs. Un outil qui cartographie des process n’en relève a priori pas, à condition de ne produire aucune analyse individuelle : c’est précisément ce que garantit la première règle de produit. Nous concevons le produit comme si les obligations du haut risque s’appliquaient déjà, pour ne jamais en relever.

• Transparence (article 50) : le participant est informé qu’il échange avec une IA, dès l’invitation.
• Reconnaissance des émotions au travail, interdite par l’article 5 : le produit ne fait aucune analyse émotionnelle.
• Une note de classification documente pourquoi le produit n’est pas à haut risque ; elle est revue à chaque fonctionnalité qui touche aux personnes.

L’entreprise auditée et, selon les cas, le cabinet sont responsables du traitement ; nous intervenons comme sous-traitant, et nos fournisseurs d’hébergement et d’IA comme sous-traitants ultérieurs listés. La base légale envisagée est l’intérêt légitime de l’employeur, le consentement d’un salarié envers son employeur étant jugé fragile. L’acceptation sur l’écran d’accueil sert à informer et à engager, pas de base légale.

• Minimisation : conservation des enregistrements bruts limitée à 90 jours par défaut, réglable par espace puis par mission.
• Accès : le participant retrouve par son lien tout ce qui le concerne, transcription, enregistrement, épingles et pièces.
• Effacement : une demande de suppression totale est traitée par le cabinet en une action, avec effet en cascade sur l’analyse et le livrable.
• Une analyse d’impact (AIPD) est très probablement requise ; un modèle pré-rempli est fourni.

En France, un outil qui enregistre la voix et l’écran peut être qualifié de moyen de contrôle de l’activité, même si sa finalité est l’audit. L’information et la consultation du CSE s’imposent alors, et des décisions de justice de 2025 ont suspendu des déploiements d’outils d’IA faute de consultation, y compris en phase pilote.

• Un kit CSE prêt à transmettre décrit les finalités, les données collectées, les garanties et les durées de conservation de la mission.
• Chaque mission porte un champ « CSE informé ou consulté le… », que l’assistant de lancement rappelle pour les entreprises françaises.
• La participation repose sur une acceptation explicite en début d’entretien : un collaborateur qui refuse ne fait pas l’entretien.

L’application, ses bases de données, ses fichiers et le serveur temps réel qui reçoit la voix et l’écran sont hébergés en France, chez OVHcloud. Chaque cabinet dispose d’un espace isolé : toute donnée appartient à un espace, et chaque requête est filtrée par espace. Les traitements d’IA, eux, passent par les fournisseurs que le cabinet choisit : par défaut OpenAI, qui traite les données aux États-Unis dans le cadre de clauses contractuelles types. Le produit indique la localisation de chaque fournisseur, et des options européennes existent pour l’analyse, le chat et la vision.

• Liens d’entretien personnels : jetons aléatoires stockés sous forme d’empreinte, à durée de vie limitée, révocables à tout moment, avec un code envoyé par e-mail en option pour les missions sensibles.
• Comptes du cabinet : double authentification obligatoire pour les administrateurs, extensible aux consultants, disponible pour les sponsors.
• Chiffrement des échanges en transit ; clés d’API des fournisseurs d’IA chiffrées, jamais affichées ni écrites dans les journaux.
• Journal d’accès : chaque écoute d’un enregistrement ou lecture d’une transcription est tracée (qui, quand, quel passage) et visible par l’administrateur de l’espace.

Un écran partagé montre souvent des IBAN, des numéros de carte ou des coordonnées de clients. Le floutage est activé par défaut : avant qu’une image d’écran soit envoyée au modèle de vision, un moteur de lecture de texte qui tourne sur nos serveurs repère ces données par des règles et des clés de contrôle, sans appel à un service externe, et les zones trouvées sont floutées. Aucune détection n’est parfaite, par exemple sur du texte manuscrit ou des données mal formatées : le produit le dit à l’écran d’accueil.

• Catégories détectées : IBAN, numéros de carte, numéros de sécurité sociale, e-mails et téléphones de tiers, champs de mot de passe ; elles sont réglables par mission.
• La vidéo enregistrée est floutée après la session ; personne ne peut la voir avant ce traitement, et la version non floutée est ensuite supprimée.
• Le participant peut lui-même masquer une zone de son écran pour le reste de la session.