RGPD et IA en prévention : comment protéger les données de vos travailleurs

Avant d'identifier les bases légales, cartographier les données. L'IA en prévention mobilise typiquement cinq familles, qu'il faut savoir distinguer.

• Données de santé (article 9 RGPD) : données particulièrement sensibles. Concerne la surveillance santé, les capteurs physiologiques, les wearables, les données du dossier médical du travail. Traitement en principe interdit, sauf exceptions strictes.
• Données biométriques (article 9 RGPD) : empreintes, reconnaissance faciale, voix, posture quand elles servent à identifier une personne. Particulièrement sensibles. Voir aussi EU AI Act.
• Données comportementales : analyse de gestes, postures, mouvements. Sensibilité variable selon que la donnée permet d'identifier l'individu.
• Données de géolocalisation : capteurs sur véhicules, badges, smartphones. Particulièrement sensibles en contexte de travail (suivi des déplacements).
• Données d'usage : interactions avec un chatbot QHSE, déclarations sur une application, formations suivies. Sensibilité variable.

Le bon réflexe : pour chaque déploiement IA, lister précisément quelles données sont collectées, quelles sont les données les plus sensibles, et identifier celles qui pourraient être minimisées ou anonymisées sans perte d'utilité préventive. La minimisation est le principe directeur.

Le RGPD impose qu'un traitement de données personnelles repose sur une base légale identifiée. En milieu de travail, plusieurs bases sont mobilisables, mais le consentement n'est généralement pas la bonne réponse.

• Obligation légale (article 6.1.c). Souvent pertinente en prévention. La Loi du 4 août 1996 et le Code du bien-être imposent à l'employeur d'assurer la sécurité et la santé des travailleurs ; certains traitements en découlent directement.
• Intérêts légitimes (article 6.1.f). Mobilisable pour des usages de prévention si le test de mise en balance avec les droits des travailleurs est documenté et favorable.
• Mission d'intérêt public ou exécution d'un contrat (articles 6.1.e et 6.1.b). Plus rarement utilisés en prévention.
• Consentement (article 6.1.a). Fragile en contexte de travail. La CJUE et l'APD belge considèrent que le consentement est rarement libre compte tenu du déséquilibre de pouvoir. À éviter comme base unique.

Pour les données sensibles (santé, biométrie), une seconde base de l'article 9 est nécessaire en plus de l'article 6. Typiquement : la médecine du travail (article 9.2.h) ou les obligations en matière de droit du travail (article 9.2.b).

Documenter le choix de base légale est obligatoire et c'est un actif majeur en cas de contentieux.

L'analyse d'impact relative à la protection des données (AIPD ou DPIA) est obligatoire pour les traitements susceptibles d'engendrer un risque élevé pour les droits et libertés. L'Autorité de Protection des Données (APD) belge a publié une liste de critères et d'exemples.

Pour les déploiements IA en prévention, la DPIA est généralement obligatoire dans les cas suivants :

• Tout traitement de données biométriques pour identification au travail.
• Tout traitement de données de santé à large échelle ou par dispositif systématique.
• Tout dispositif de surveillance électronique systématique (vision IA, capteurs).
• Tout système d'évaluation ou de scoring des travailleurs.
• Tout traitement combinant plusieurs sources de données personnelles à des fins de profilage.

La DPIA décrit le traitement, en évalue les risques pour les personnes, identifie les mesures pour réduire ces risques. Elle est conduite par le DPO en lien avec le responsable du traitement. Le résultat alimente la décision de déploiement et la documentation EU AI Act (registre des systèmes haut risque).

Une DPIA bien faite est aussi un outil de design : elle force à se poser les bonnes questions tôt et bien avant l'investissement irréversible dans une technologie ou un fournisseur.

Les travailleurs disposent de droits que l'employeur doit garantir activement. Pour un déploiement IA en prévention, six droits structurent la relation.

• Droit d'information préalable. Avant le déploiement, chaque travailleur concerné doit savoir : quelles données, par quel système, à quelle fin, qui y a accès, combien de temps, comment exercer ses droits.
• Droit d'accès. Le travailleur peut demander copie des données qui le concernent.
• Droit de rectification. Sur les données factuellement inexactes.
• Droit d'opposition. Mobilisable notamment pour les traitements fondés sur l'intérêt légitime ou la mission d'intérêt public.
• Droit à une décision humaine. En cas de décision automatisée produisant des effets juridiques ou impactant significativement le travailleur (article 22 RGPD), une intervention humaine doit être garantie.
• Droit d'explication. Le travailleur peut demander à comprendre la logique du système IA quand celui-ci affecte ses droits.

Pour l'employeur, ces droits ne sont pas des contraintes formelles. Ils sont la trace de la confiance. Une organisation qui informe mal, qui répond lentement et qui ne sait pas expliquer ses systèmes IA crée un risque social plus grand que les bénéfices recherchés.

Aucun déploiement IA en prévention ne réussit avec une gouvernance solitaire. Trois acteurs internes structurent le projet.

• DPO. Garant de la conformité RGPD, conduit la DPIA, suit les droits des personnes, dialogue avec l'APD.
• Conseiller en prévention. Garant de la cohérence avec le Code du bien-être au travail, de l'analyse de risques, de la formation des travailleurs, de l'évaluation périodique de l'efficacité.
• CPPT. Garant du dialogue social, consulté préalablement (CCT n°68), informé régulièrement.

Selon la taille et le contexte : ajouter un référent IA (EU AI Act), un juriste interne ou externe, et le service informatique pour la sécurité technique.

Le bon modèle de gouvernance : un dossier projet unique qui agrège les analyses (DPIA, analyse de risques, évaluation EU AI Act), traversé par tous les acteurs avant le déploiement et révisé régulièrement après. Ce dossier est aussi un actif documentaire qui prouve la diligence de l'employeur.

Le RGPD n'est pas un obstacle au déploiement de l'IA en prévention. C'est un cadre qui force à clarifier finalités, bases légales, garanties pour les travailleurs et gouvernance. Quand il est intégré au design dès le départ, il devient un atout pour la qualité du système, pour la confiance des travailleurs, pour la résilience juridique de l'organisation.

Quand il est traité comme une formalité, il devient un risque : sanctions, contentieux, perte de confiance. La différence se joue à la phase de cadrage. Les organisations belges qui réussissent en 2026 sont celles qui placent la DPIA, l'information des travailleurs et la concertation avec le CPPT au cœur du projet et pas en bout de course.