Déployer ChatGPT sans consulter le personnel : la justice suspend — et le Luxembourg n'est pas à l'abri

Le 21 mai 2026, la cour d'appel de Paris a ordonné la suspension immédiate de l'usage de ChatGPT et d'un assistant IA interne dans un groupe de presse professionnelle, sous astreinte de 1 000 euros par jour. Le motif tient en une phrase : le comité social et économique (CSE) n'avait pas été consulté avant le déploiement. Pas de faille de sécurité, pas de violation de données — un processus social ignoré a suffi à geler un projet d'IA générative déjà en production.

Pour toute organisation qui déploie aujourd'hui Copilot, ChatGPT ou un assistant interne, ces arrêts méritent mieux qu'un titre anxiogène. Voici ce qu'ils disent vraiment, pourquoi ils ne sont pas isolés, et ce que la même logique donne en droit luxembourgeois — où elle existe déjà, avec en prime un étage européen qui arrive en août 2026.

Ce que la cour a réellement décidé : une suspension, pas une interdiction

L'affaire (CA Paris, pôle 1, ch. 2, 21 mai 2026, n° 25/13232 et 25/13234) oppose le CSE du Groupe Moniteur (groupe Infopro Digital) à son employeur, qui avait déployé un assistant IA interne baptisé DIGI sur l'intranet et autorisé l'usage de ChatGPT via sa charte informatique — sans consultation préalable du comité. La cour ordonne la suspension de l'usage des deux outils jusqu'à la clôture de la consultation du CSE, sous astreinte de 1 000 euros par jour, et accorde 5 000 euros de dommages-intérêts provisionnels réparant le préjudice d'anxiété des salariés — un projet d'IA introduit sans transparence ni garanties génère une inquiétude légitime sur l'emploi et l'évolution des métiers, dit en substance la cour (plus 3 000 euros au titre des frais de procédure en appel).

Contrairement à ce que certains titres suggèrent, il ne s'agit donc pas d'une « interdiction de ChatGPT en entreprise ». C'est un blocage de calendrier : l'employeur retrouve sa liberté de déployer une fois la consultation menée à son terme. Mais un blocage qui coûte cher, s'affiche publiquement, et démarre du jour au lendemain.

Les trois arguments que la justice a écartés

L'intérêt de ces arrêts est moins dans la sanction que dans ce qu'ils précisent sur le déclenchement de l'obligation. L'employeur plaidait trois choses, toutes rejetées :

• « L'outil est facultatif. » Peu importe : le simple fait que l'assistant soit accessible à tous sur l'intranet caractérise un projet de diffusion collective.
• « ChatGPT est un outil grand public, externe à l'entreprise. » Peu importe : dès lors que la charte informatique en autorise l'usage professionnel, l'employeur l'a introduit dans l'organisation du travail.
• « Des salariés l'utilisaient déjà de façon informelle. » Peu importe : l'obligation de consulter naît au moment où l'employeur officialise, encadre ou facilite l'usage — pas avant, mais pas après non plus.

La cour refuse au passage d'assimiler l'IA générative à de la « bureautique courante » : c'est une technologie nouvelle qui affecte l'organisation des tâches et les conditions de travail, au sens de l'article L.2312-8 du Code du travail français. Et c'est le second point clé : ce manquement est qualifié de trouble manifestement illicite, ce qui permet au juge des référés d'ordonner la suspension sans avoir à démontrer l'urgence. Concrètement : une procédure rapide, accessible à tout comité mécontent, avec un effet immédiat.

Un courant de fond, pas un accident de jurisprudence

Ces arrêts s'inscrivent dans une série cohérente de décisions françaises rendues en un peu plus d'un an :

• TJ Nanterre, 14 février 2025 (n° 24/01457) : cinq applications intégrant de l'IA lancées en « phase pilote » pendant que la consultation du CSE était encore en cours. Le juge répond que la phase pilote est déjà « une première mise en œuvre » : suspension, sous astreinte de 1 000 euros par infraction constatée.
• TJ Créteil, 15 juillet 2025 (n° 25/00851) : outils d'IA générative déployés dans un groupe de presse sans consultation ; suspension de l'utilisation jusqu'à la clôture du processus.
• TJ Paris, 2 septembre 2025 (n° 25/53278) : une plateforme interne d'accès à des IA génératives est qualifiée de nouvelle technologie ; la consultation du CSE central est ordonnée.
• TJ Nanterre, 29 janvier 2026 (n° 25/02856, CS Group France) : deux logiciels de gestion des compétences dopés à l'IA déployés sans que la consultation ait même été ouverte ; le juge ordonne l'ouverture de la consultation et la suspension du déploiement, sous astreinte de 500 euros par jour.

Le message est uniforme : peu importe la taille du projet, sa phase (pilote inclus) ou la nature de l'outil (interne ou grand public), le processus social précède le déploiement. Les juges sanctionnent des décisions prises, pour la plupart, sans mauvaise intention — simplement sans que personne n'ait inscrit la case « représentants du personnel » dans le plan projet.

Et au Luxembourg ? La même logique, avec ses propres textes

Pas de CSE au Luxembourg : l'organe de représentation est la délégation du personnel, obligatoire dès 15 salariés (art. L.411-1 du Code du travail). Et le droit luxembourgeois organise déjà un processus social autour des projets technologiques, à deux étages :

• Dès 15 salariés : l'employeur doit informer et consulter la délégation sur « les décisions susceptibles d'entraîner des modifications importantes dans l'organisation du travail ou dans les contrats de travail » (art. L.414-3, § 3). Un déploiement d'IA générative qui change la manière de produire, rédiger, analyser ou répondre aux clients entre naturellement dans cette catégorie.
• À partir de 150 salariés : s'y ajoute une information-consultation préalable sur toute décision importante relative à l'introduction ou la transformation de l'équipement et des méthodes de travail (art. L.414-5) — l'équivalent luxembourgeois du texte français sur les nouvelles technologies. Et surtout, l'article L.414-9 impose une véritable codécision : certaines décisions doivent être prises « d'un commun accord » entre l'employeur et la délégation. Parmi elles, trois concernent directement l'IA : les installations techniques destinées à contrôler le comportement et les performances des salariés (monitoring algorithmique), les critères généraux de sélection à l'embauche, la promotion ou le licenciement (tri de candidatures par IA), et les critères généraux d'appréciation des salariés (scoring de performance). Sur ces terrains, la codécision est plus forte qu'une consultation à la française : sans accord, pas de déploiement conforme.
• Surveillance des salariés : tout traitement de données à des fins de surveillance obéit en plus à l'article L.261-1 — information préalable obligatoire de la délégation (à défaut, de l'ITM) et des salariés concernés, avec un garde-fou dont on parle peu : la délégation peut saisir la CNPD dans les 15 jours, et cette demande a un effet suspensif. Pour certaines finalités, le commun accord est requis. Les manquements sont pénalement sanctionnés (art. L.261-2).

Nuance honnête : le référé « trouble manifestement illicite » à la française, qui permet de geler un projet en quelques semaines, n'a pas d'équivalent aussi tranchant au Luxembourg. Le risque de paralysie immédiate y est donc moindre. Mais la logique de fond est identique, les leviers existent (effet suspensif CNPD, codécision, sanctions pénales en matière de surveillance), et un déploiement passé en force reste une faute documentable — devant les juridictions du travail comme dans un rapport d'audit.

L'AI Act ajoute l'étage européen en août 2026

Le règlement européen sur l'IA (AI Act, règlement (UE) 2024/1689) rend une partie de ce débat inévitable partout dans l'Union : son article 26, § 7 impose aux employeurs qui déploient un système d'IA à haut risque sur le lieu de travail d'en informer les représentants des travailleurs et les travailleurs concernés avant la mise en service. Sont notamment à haut risque (annexe III, point 4) les IA de recrutement et de tri de candidatures, celles qui pèsent sur les décisions de promotion ou de licenciement, l'attribution des tâches, la surveillance et l'évaluation des performances. Cette obligation s'applique à partir du 2 août 2026.

Attention à la portée exacte : l'AI Act impose une information, pas une consultation — et uniquement pour le haut risque. La consultation, elle, reste régie par le droit national (le règlement le dit lui-même, considérant 92). Autrement dit : l'AI Act fixe un plancher européen, et le droit du travail de chaque pays y ajoute son processus. Un ChatGPT d'usage général n'est typiquement pas un système à haut risque — mais son introduction officialisée déclenche quand même le volet national, comme la jurisprudence française vient de le rappeler.

Avant de déployer : la checklist sociale, au même rang que la DPIA

Pour un groupe présent dans plusieurs pays, le sujet se complique : un déploiement décidé au siège avec une date unique pour toutes les filiales peut créer des manquements simultanés dans plusieurs droits nationaux — consultation en France, codécision de la délégation au Luxembourg au-delà de 150 salariés, codétermination du Betriebsrat en Allemagne, souvent plus exigeante encore. D'où une checklist simple avant tout déploiement d'IA :

• Cartographier les outils concernés — y compris les outils grand public dont l'usage est officialisé par une charte : autoriser ChatGPT dans la charte informatique, c'est précisément le geste qui déclenche l'obligation ;
• Qualifier chaque outil : système à haut risque au sens de l'AI Act ? surveillance au sens de L.261-1 ? matière à codécision L.414-9 (monitoring, recrutement, évaluation) ?
• Informer et consulter la délégation du personnel avant la mise à disposition — pilote compris —, pays par pays pour les groupes, et documenter chaque étape ;
• Compléter le dossier : analyse d'impact RGPD (DPIA) lorsque le traitement l'exige, charte d'usage de l'IA, information individuelle des salariés, traçabilité des décisions ;
• Garder la preuve : c'est le dossier documenté qui fait la différence le jour où un délégué, un auditeur ou un juge pose la question.

Comment Luxgap vous aide

Luxgap réunit juristes, ingénieurs cyber et développeurs dans la même équipe. Sur ce sujet précis, nous intervenons des deux côtés : nos mandats DPO et notre accompagnement conformité IA intègrent le volet social (qualification des outils, calendrier d'information-consultation de la délégation, charte d'usage, DPIA, dossier de preuve) au même titre que le volet données. Et lorsque nous déployons notre IA souveraine chez un client, ce processus fait partie du projet — pas d'une régularisation après coup.

Vous prévoyez un déploiement d'IA, ou vous en avez déjà officialisé un sans passer par la délégation du personnel ? Parlons-en : un diagnostic honnête vaut mieux qu'une astreinte.

Voir aussi : Comprendre l'AI Act · Comprendre le RGPD · IA & conformité · Mandat DPO