Le programme de travail de la CNIL pour 2026, publié le 7 avril 2026, annonce des lignes directrices sur l’IA au travail encore en préparation. Le texte est explicite sur leur contenu à venir : elles « aborderont notamment les risques de biais algorithmiques et les garanties à mettre en place pour protéger les droits des salariés ». Aucune date de publication précise n’est donnée.
Ce qui est déjà tranché, et ce qui ne l’est pas
La CNIL a déjà publié en 2024 puis en 2025 des recommandations sur l’IA générative et le RGPD : base légale, minimisation des données, protection contre la divulgation par le modèle, analyse d’impact. Ce socle existe et répond à la plupart des questions qu’une PME se pose avant d’adopter un outil. Ce qui manque encore porte sur un terrain plus spécifique, l’IA au travail au sens large : la surveillance algorithmique, le risque de discrimination dans un recrutement assisté, la place du salarié face à une décision partiellement automatisée. C’est un chantier différent, plus proche du droit du travail que de la protection des données au sens strict.
Pourquoi ce vide n’est pas une raison d’attendre
Une doctrine incomplète peut sembler une bonne raison de reporter une décision. C’est l’inverse qui est vrai. Une entreprise qui écrit sa charte d’usageLe document qui liste les outils d’IA autorisés, les données interdites, et qui décide des nouveaux. maintenant, sur la base des recommandations déjà publiées, construit un document qui lui appartient et qu’elle peut ajuster. Une entreprise qui attend une doctrine complète laisse le sujet sans réponse pendant que les usages, eux, continuent de se répandre sans être écrits nulle part.
Ce qu’une doctrine en cours change pour une charte déjà écrite
Rien d’urgent. Les lignes directrices à venir porteront sur des situations que la plupart des PME sans direction informatique ne rencontrent pas encore, un système de tri de candidatures automatisé, un outil de notation de la performance. Une charte centrée sur l’usage courant de l’IA générative, écrite, autorisée, révisée, n’a pas besoin d’attendre une doctrine qui vise un terrain différent.
Ce que ça dit du calendrier réglementaire en général
Le règlement européen sur l’IA lui-même a été modifié en juillet 2026, quelques mois seulement après son entrée en application. La doctrine autour de l’IA n’est pas figée, elle continue de se construire. Une gouvernance interne qui attend un texte définitif attend un état qui n’arrivera jamais vraiment : le bon réflexe est d’écrire ce qui est raisonnable aujourd’hui, et de le mettre à jour au rythme des textes, pas de suspendre la décision jusqu’à leur stabilisation.