En bref
- Un fichier de paie contient des données plus sensibles qu’il n’y paraît : le numéro de sécurité sociale (NIR), dont l’usage est limité à des finalités listées par décret, et des absences qui peuvent révéler une information de santé.
- Avant de confier une donnée de paie à un outil d’IA, 6 questions se posent : finalité, réutilisation pour l’entraînement, contrat, conservation, accès et analyse d’impact.
- La CNIL déconseille de saisir des données personnelles dans un service d’IA grand public.
- Le calcul de la paie ne figure pas dans la liste des usages RH « à haut risque » de l’AI Act. Le RGPD, lui, s’applique déjà pleinement.
« On ne met jamais de paie dans l’IA. » J’entends souvent cette règle, et je comprends l’instinct de prudence. Elle a pourtant un défaut : elle ne dit rien de ce qui se passe réellement dans l’entreprise.
Car la paie entre déjà dans des outils d’IA. Un gestionnaire colle un tableau d’écarts dans un assistant pour gagner une heure. Et certains SIRH, les logiciels de gestion RH, intègrent déjà des assistants d’IA : ils répondent aux questions des RH ou des salariés à partir des données du logiciel. Ces assistants peuvent être bien encadrés. Encore faut-il l’avoir vérifié.
Ma position tient en une phrase : avant d’autoriser ou d’interdire, sachez ce que l’outil fait de vos données.
Pourquoi une donnée de paie n’est pas une donnée comme une autre
Un bulletin de paie concentre des informations que l’entreprise ne publierait nulle part ailleurs : salaire, primes, retenues, absences. Deux d’entre elles demandent une attention particulière.
La première est le numéro de sécurité sociale, ou NIR. Son usage est encadré par l’article 30 de la loi Informatique et Libertés. Un décret de 2019 liste les finalités autorisées. Pour les employeurs et leurs tiers mandatés, il cite notamment « le traitement automatisé de la paie et de la gestion du personnel ». Envoyer un NIR dans un assistant d’IA grand public pour reformuler un courrier ou analyser un écart sort de ce cadre.
La seconde concerne les absences. Pour la CNIL, une donnée de santé est aussi une donnée qui permet de déduire l’état de santé d’une personne. Une suite d’arrêts maladie sur des bulletins peut révéler une information de santé, qui relève alors d’un régime plus protecteur (RGPD, article 9).
Les 6 questions à se poser avant d’utiliser un outil d’IA sur la paie
1. L’usage entre-t-il dans une finalité prévue ? Le calcul de la paie et les déclarations sociales, oui. Un test « pour voir » sur un outil grand public, non. Si la finalité n’est pas claire, la donnée ne doit pas partir.
2. L’éditeur réutilise-t-il vos données pour entraîner son modèle ? C’est la question la plus souvent oubliée. La CNIL recommande de s’opposer à cette réutilisation, et de ne jamais saisir de données personnelles dans un service grand public. Sur de la paie, la non-réutilisation doit figurer dans le contrat, pas seulement dans un réglage de l’interface.
3. Existe-t-il un contrat de sous-traitance ? Un éditeur qui traite vos données de paie pour votre compte est un sous-traitant au sens du RGPD. L’article 28 impose un contrat qui fixe ce qu’il peut faire des données, où il les héberge et ce qu’il en fait à la fin.
4. Combien de temps les données restent-elles chez l’éditeur ? Le référentiel de la CNIL sur les durées de conservation RH, publié en avril 2026, fixe des durées précises pour les bulletins. Il retient notamment 5 ans pour le double conservé par l’employeur, en application de l’article L. 3243-4 du Code du travail. Ces durées concernent vos archives de paie. Un outil d’IA ne doit pas devenir une seconde archive, sans durée et sans contrôle.
5. Qui a accès aux réponses de l’outil ? Un outil qui repère un écart de salaire individuel produit lui-même une donnée sensible. Ses résultats doivent être réservés aux personnes qui ont déjà accès à la paie.
6. Faut-il une analyse d’impact ? La gestion de la paie classique en est dispensée dans les structures de moins de 250 personnes, en l’absence de profilage. L’arrivée d’un outil d’IA change l’analyse. Les lignes directrices européennes retiennent 2 critères qui se cumulent ici : les salariés sont des personnes « vulnérables » face à leur employeur, et l’usage d’une technologie nouvelle en est un autre. Dans la plupart des cas, 2 critères réunis imposent une analyse d’impact relative à la protection des données (AIPD).
Ce que dit l’AI Act, et ce qu’il ne dit pas
Le règlement européen sur l’IA classe « à haut risque » plusieurs usages RH : le recrutement, la promotion, la rupture, l’attribution des tâches, l’évaluation des performances. Le calcul de la paie n’y figure pas.
Je nuance pourtant. Un outil qui fixerait une part variable à partir d’une évaluation des performances se rapprocherait de cette liste. C’est mon interprétation, pas un texte. Les obligations correspondantes s’appliqueront à partir du 2 décembre 2027, depuis le report adopté en juillet 2026.
L’AI Act n’est donc pas la contrainte principale sur la paie. Le RGPD, lui, s’applique depuis 2018.
Ce que je fais en mission
J’analyse très rarement des bulletins avec une IA. Je travaille plutôt sur des extractions non nominatives : les rubriques, les montants et les populations utiles à l’analyse, sans nom ni NIR. Un écart de cotisation se comprend très bien sans savoir qui le porte.
Quand un bulletin est indispensable, je l’anonymise d’abord sur mon poste. Le NIR, l’IBAN, l’adresse et le nom disparaissent avant que le texte ne quitte mon ordinateur. Je relis la version anonymisée, et c’est seulement elle qui part.
Chez un client, je commence par une question simple : quels outils d’IA touchent déjà à la paie ou aux données RH ? La réponse est rarement complète du premier coup. Les usages non déclarés, testés par un manager ou activés dans le SIRH lors d’une mise à jour, sont le vrai sujet. L’outil officiellement choisi par la direction a au moins été regardé par quelqu’un.
Interdire en bloc pousse ces usages dans l’ombre. Les recenser, puis les encadrer, les rend visibles.
En trois questions
Peut-on utiliser l’IA sur des données de paie ? Oui, avec un outil sous contrat, sans réutilisation des données pour l’entraînement, pour une finalité prévue et avec une durée de conservation maîtrisée. Un service grand public ne remplit pas ces conditions.
Le NIR peut-il être envoyé dans un outil d’IA ? Seulement si l’usage entre dans les finalités prévues par le décret de 2019, comme le traitement de la paie par un prestataire mandaté. Dans le doute, le retirer est la solution la plus simple.
Par quoi commencer ? Par l’inventaire des outils d’IA qui touchent déjà à vos données de paie, y compris ceux que personne n’a officiellement autorisés.
Ce sujet rejoint celui de la charte IA et de la consultation du CSE, et celui de ce qu’un agent d’IA peut faire, ou non, en contrôle de paie. Le calendrier de l’AI Act pour les RH est détaillé dans cet article.
Vérifié le 14 octobre 2026.
Sources :
- Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, article 30, Légifrance
- Décret n° 2019-341 du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l’usage du numéro d’inscription au répertoire national d’identification des personnes physiques, article 2, Légifrance
- Délibération n° 2026-031 du 29 janvier 2026 portant adoption d’un référentiel relatif aux durées de conservation pour les traitements mis en œuvre dans le cadre de la gestion des ressources humaines, JO du 2 avril 2026, Légifrance
- CNIL, référentiel des durées de conservation en gestion des ressources humaines (PDF, mis à jour le 20 mai 2026)
- Code du travail, article L. 3243-4, Légifrance
- CNIL, Qu’est-ce qu’une donnée de santé ?
- CNIL, Les questions-réponses de la CNIL sur l’utilisation d’un système d’IA générative, 18 juillet 2024
- CNIL, référentiel relatif aux traitements de données personnelles mis en œuvre aux fins de gestion du personnel (PDF)
- CNIL, Liste des types d’opérations de traitement pour lesquelles une analyse d’impact est requise
- Groupe de travail « Article 29 », lignes directrices concernant l’analyse d’impact relative à la protection des données (WP248 rev.01), 4 octobre 2017
- Règlement (UE) 2024/1689 sur l’intelligence artificielle, annexe III, EUR-Lex
- Règlement (UE) 2026/1744 du 8 juillet 2026, EUR-Lex