Sanctionner un salarié pour ChatGPT : le règlement intérieur

Oui, vous pouvez interdire à un salarié de mettre des données de clients dans un outil d’IA que l’entreprise n’a pas autorisé, et sanctionner celui qui passe outre. Trois conditions comptent. La règle est écrite, portée à sa connaissance, justifiée par la tâche et proportionnée. La sanction est permise par votre cadre : à partir de cinquante salariés, elle doit figurer dans le règlement intérieur, et une charte qui fixe des obligations de discipline en devient une adjonction, avec la même procédure. Enfin, la procédure disciplinaire est suivie et engagée dans les deux mois après que vous avez appris les faits.

Exemple fictif : une entreprise de négoce de 22 salariés a présenté en mars une charte d’usage de l’IA d’une page. Elle autorise le compte ChatGPT professionnel de l’entreprise et interdit de mettre un fichier de clients dans tout autre outil. Chaque salarié a signé la feuille de présence de la réunion. Le 8 octobre, une commerciale montre à son responsable une campagne de relance préparée avec son compte ChatGPT personnel, à partir de l’export de 300 clients : noms, téléphones, chiffre d’affaires de l’année. Le dirigeant veut réagir. Il se demande ce qu’il a le droit de faire, sous quelle forme, et avant quelle date.

Ce que vous pouvez interdire

L’employeur organise le travail : il choisit les outils, décide de ce qui peut sortir de l’entreprise et de ce qui doit y rester. La limite vient de l’article L1121-1 du Code du travail : une restriction aux droits et libertés des salariés doit être justifiée par la nature de la tâche et proportionnée au but recherché. L’article L1321-3 applique la même règle au règlement intérieur, qui ne peut pas non plus contenir de clause contraire à la loi ou à votre convention collective.

Pour l’IA, les interdictions faciles à justifier portent sur les données et sur les outils : aucun fichier de clients, dossier du personnel ou document reçu sous accord de confidentialité dans un compte personnel ; seuls les outils de la liste ; une relecture avant tout envoi à un client. Le guide sur le secret des affaires face aux outils d’IA montre qu’une règle écrite protège aussi vos propres informations. Une règle qui toucherait la vie personnelle du salarié, comme son usage de ChatGPT chez lui pour ses propres affaires, se rattache beaucoup plus difficilement à la tâche.

Quelques situations, de la plus solide à la plus fragile pour l’employeur :

Situation	Ce qui pèse	À vérifier
Fichier de clients collé dans un compte personnel malgré une interdiction écrite	Règle connue, données de tiers	La date à laquelle vous l’avez appris
Texte généré envoyé à un client sans la relecture prévue par la charte	Consigne précise, erreur arrivée chez le client	Que la relecture était exigée par écrit
Extension installée qui lit toute la messagerie	Accès aux données de l’entreprise	Que l’installation demandait un accord
Usage de ChatGPT alors que rien n’était écrit	Aucune règle à opposer	Écrire la règle avant de parler de sanction

Ce qui compte comme une sanction

Le Code du travail appelle sanction toute mesure, autre que les observations verbales, prise après un agissement que l’employeur considère comme fautif, qu’elle touche ou non tout de suite la présence du salarié, sa fonction, sa carrière ou sa rémunération (article L1331-1). La fiche de service-public sur les sanctions disciplinaires dans le secteur privé cite l’avertissement ou le blâme, la mise à pied disciplinaire, la mutation, la rétrogradation et le licenciement pour faute simple, grave ou lourde. Elle rappelle que la sanction doit être proportionnée à la faute.

Deux interdits reviennent souvent quand l’IA est en cause. Les amendes et autres sanctions pécuniaires sont interdites (article L1331-2) : pas de retenue sur salaire pour le temps passé à corriger un texte faux, ni de pénalité prévue dans la charte. Et un même fait ne se sanctionne pas deux fois : un avertissement déjà envoyé ne peut pas être suivi d’une mise à pied pour les mêmes faits.

À partir de cinquante salariés : le règlement intérieur décide

Le règlement intérieur est obligatoire dans les entreprises ou établissements d’au moins cinquante salariés, au terme d’un délai de douze mois après le franchissement du seuil (article L1311-2). Il fixe notamment les règles générales et permanentes de discipline, dont « la nature et l’échelle des sanctions » (article L1321-1).

Cette échelle vous lie. La Cour de cassation juge qu’un employeur tenu d’avoir un règlement intérieur ne peut prononcer une sanction autre que le licenciement que si elle y est prévue (Cass. soc., 23 mars 2017, n° 15-23.090, rendu quand le seuil était de vingt salariés ; il est de cinquante depuis le 1er janvier 2020). Elle juge aussi qu’une mise à pied n’est licite que si le règlement précise sa durée maximale (Cass. soc., 26 octobre 2010, n° 09-42.740). Relisez donc votre échelle avant de choisir une sanction pour un usage de l’IA : vous ne pouvez prendre que ce qui y figure.

Votre charte d’usage de l’IA entre alors dans ce cadre. Un document qui comporte des obligations générales et permanentes de discipline est une adjonction au règlement intérieur (article L1321-5). Il passe par l’avis du comité social et économique, les formalités de publicité, la communication à l’inspecteur du travail avec cet avis, et il entre en vigueur au moins un mois après la publicité (article L1321-4, version en vigueur depuis le 28 mai 2026). Il est rédigé en français, et peut être accompagné de traductions (article L1321-6).

Sauter ces étapes coûte cher. Le 9 mai 2012, la Cour de cassation a approuvé une cour d’appel qui avait refusé à un employeur le droit de reprocher à une vendeuse un manquement au règlement intérieur et à une note de service : il ne prouvait ni la consultation des représentants du personnel, ni la communication à l’inspection du travail. Le licenciement pour faute grave a été jugé sans cause réelle et sérieuse (Cass. soc., 9 mai 2012, n° 11-13.687). Gardez la trace de chaque formalité, avec sa date.

Point de vigilance, relevé le 31 octobre 2026 : depuis la loi n° 2026-403 du 26 mai 2026, l’article L1321-4 ne mentionne plus le dépôt du règlement au greffe du conseil de prud’hommes. L’article R1321-2 et la fiche de service-public sur le règlement intérieur, vérifiée le 28 mai 2026, le citent encore. Demandez à votre conseil si ce dépôt reste à faire.

Sous cinquante salariés

Le règlement intérieur n’est pas obligatoire, mais vous pouvez en établir un ; il suit alors les mêmes règles que dans une entreprise plus grande, selon la fiche de service-public. S’il existe, seules les sanctions qu’il prévoit peuvent être appliquées.

Sans règlement, vous gardez le pouvoir de sanctionner : la définition de l’article L1331-1 et la procédure des articles L1332-1 et suivants ne dépendent pas de l’effectif. Service-public cite parmi les fautes possibles le non-respect d’une note de service et le refus d’une directive. Une note qui fixe des obligations générales et permanentes de discipline reste toutefois soumise « en toute hypothèse » aux règles du règlement intérieur (article L1321-5), et service-public précise que cela vaut quel que soit l’effectif. Son contenu doit donc rester justifié et proportionné. Si vous avez un comité social et économique, faites vérifier la forme avant de diffuser le texte.

En cas de litige, le conseil de prud’hommes vérifie la procédure et si les faits justifient une sanction. L’employeur fournit les éléments qu’il a retenus, et le doute profite au salarié (article L1333-1). Le conseil peut annuler une sanction irrégulière en la forme, injustifiée ou disproportionnée (article L1333-2). Dans une petite entreprise, votre dossier tient en trois pièces : la règle datée, la trace qu’elle a été présentée au salarié, et les faits.

La procédure, dans l’ordre

Établir les faits. Demandez au salarié ce qu’il a envoyé, dans quel outil et depuis quand. Une information sur lui ne peut pas être collectée par un dispositif dont il n’a pas été informé avant (article L1222-4). Faites supprimer les conversations concernées ; le guide sur les salariés qui utilisent ChatGPT sans autorisation détaille ces premières mesures et l’inventaire des usages.
Noter la date à laquelle vous l’avez appris. Les poursuites disciplinaires doivent être engagées dans les deux mois, sauf poursuites pénales dans ce délai (article L1332-4). Une sanction de plus de trois ans ne peut pas être invoquée à l’appui d’une nouvelle (article L1332-5).
Pour un avertissement, ou une autre sanction sans effet sur la présence, la fonction, la carrière ou la rémunération, l’entretien n’est pas obligatoire. Le salarié est informé par écrit des griefs retenus contre lui (article L1332-1). Service-public indique une remise en main propre contre décharge ou une lettre recommandée avec avis de réception.
Pour une sanction plus lourde, convoquez le salarié en précisant l’objet de la convocation. Il peut se faire assister par une personne de l’entreprise. Pendant l’entretien, vous indiquez le motif de la sanction envisagée et vous recueillez ses explications. La sanction intervient au plus tôt deux jours ouvrables et au plus tard un mois après le jour fixé pour l’entretien ; elle est motivée et notifiée (article L1332-2).
Si les faits continuent et qu’il faut écarter le salarié tout de suite, une mise à pied conservatoire est possible, mais aucune sanction définitive ne peut suivre sans la procédure ci-dessus (article L1332-3). Un licenciement obéit en plus à ses propres règles.

Retour à l’exemple

L’entreprise de négoce compte 22 salariés : pas de règlement intérieur obligatoire. La charte est écrite, datée, présentée en réunion avec feuille de présence, et l’interdiction vise précisément les fichiers de clients. Le dirigeant a appris les faits le 8 octobre : il engagera la procédure avant le 8 décembre.

Il commence par les mesures urgentes. La commerciale supprime la conversation et l’export de son compte personnel. Les noms et téléphones des contacts sont des données personnelles : avec son conseil, il regarde si l’incident doit être déclaré, et reprend les questions à poser avant de confier des données personnelles à un outil. Il lui demande aussi pourquoi elle n’a pas utilisé le compte de l’entreprise. Elle ne savait pas quelles colonnes du fichier elle avait le droit d’y mettre.

Il choisit un avertissement écrit qui cite la règle de mars, les faits et leur date, et le lui remet contre décharge. S’il avait envisagé une mise à pied, il aurait d’abord fait relire le dossier. La semaine suivante, il montre à l’équipe comment préparer une relance avec le compte professionnel, à partir d’un fichier sans chiffre d’affaires.

Écrire la règle pour pouvoir s’en servir

Précise : l’outil autorisé, le compte à utiliser, les données interdites avec des exemples de votre métier.
Justifiée : une phrase qui dit pourquoi, par exemple les données de clients ou la confidentialité promise à un partenaire.
Connue : présentée en réunion, remise par écrit, avec une trace de la remise.
Datée et numérotée, pour savoir quelle version s’appliquait le jour des faits.
En français, avec une traduction si une partie de l’équipe en a besoin.
Rattachée au règlement intérieur à partir de cinquante salariés, avec sa procédure, et cohérente avec son échelle des sanctions.

Le modèle gratuit de charte d’usage de l’IA donne huit articles de départ. Le kit Charte IA en ajoute un sur les arrivées, les départs et les manquements, et fournit le déroulé des réunions pour présenter la règle à l’équipe.

Avant une sanction réelle, faites relire le dossier par un conseil en droit social.

Questions fréquentes

Peut-on sanctionner un salarié qui utilise ChatGPT au travail ?

Oui, si une règle écrite l’interdisait ou l’encadrait et qu’elle a été portée à sa connaissance. La sanction doit être proportionnée au manquement et suivre la procédure du Code du travail, engagée dans les deux mois après que l’employeur a appris les faits. Sans règle écrite, mieux vaut d’abord écrire la règle.

Une charte informatique ou une charte IA peut-elle servir de base à une sanction ?

À partir de cinquante salariés, une charte qui impose des obligations générales et permanentes de discipline est une adjonction au règlement intérieur : sans avis du CSE, publicité et communication à l’inspecteur du travail, l’employeur ne peut pas s’en prévaloir. En dessous, elle sert surtout à prouver que la règle était écrite et connue du salarié ; faites-la relire par un conseil si vous voulez y attacher des sanctions.

Faut-il un règlement intérieur pour sanctionner un salarié ?

Il est obligatoire à partir de cinquante salariés, et l’employeur ne peut alors prononcer une sanction autre que le licenciement que si elle figure dans son échelle. En dessous, le règlement est facultatif et l’employeur garde son pouvoir disciplinaire. S’il en adopte un, il est tenu par les sanctions qu’il prévoit.

Quel est le délai pour sanctionner un salarié ?

Deux mois à compter du jour où l’employeur a eu connaissance des faits pour engager la procédure, selon l’article L1332-4 du Code du travail. Après l’entretien, la sanction est notifiée au plus tôt deux jours ouvrables et au plus tard un mois après.

Un avertissement oral est-il une sanction ?

Non. L’article L1331-1 du Code du travail exclut les observations verbales de la définition de la sanction. Un avertissement qui compte est écrit et indique les griefs retenus contre le salarié.

Peut-on faire payer au salarié une erreur commise avec l’IA ?

Non par une retenue sur salaire ou une pénalité : l’article L1331-2 du Code du travail interdit les amendes et autres sanctions pécuniaires, et toute clause contraire est réputée non écrite. La réponse passe par une sanction disciplinaire proportionnée, ou par une règle plus claire.

Salarié et ChatGPT : ce que vous pouvez interdire et sanctionner