Enquêtes internes : où l’IA aide vraiment, où elle ne doit jamais décider

La qualification juridique des faits

Le harcèlement moral et le harcèlement sexuel sont définis par des textes précis¹, et leur caractérisation suppose une analyse en contexte : répétition, dégradation des conditions de travail ou pression pour obtenir un acte à caractère sexuel, intention ou non de l’auteur, gravité isolée éventuellement suffisante pour le harcèlement sexuel. Aucun système, aussi bien alimenté soit-il en jurisprudence, ne peut se substituer à cette qualification. Un outil peut signaler qu’un ensemble de faits ressemble, par leur structure, à des situations déjà qualifiées ailleurs. Il ne peut pas conclure que ces faits sont constitutifs d’un harcèlement dans le dossier en cours. C’est une différence de nature, pas de degré.

L’appréciation de la crédibilité et du contradictoire

Apprécier un témoignage suppose de tenir compte de la cohérence du récit, de sa constance dans le temps, du contexte relationnel entre les personnes, et de le confronter loyalement aux éléments contraires. Le Défenseur des droits rappelle que la conduite de l’enquête doit garantir l’impartialité, le respect du contradictoire et la protection de l’ensemble des personnes concernées, y compris la personne mise en cause². Cette exigence engage l’enquêteur en personne : elle ne se transfère pas à un modèle statistique, aussi précis en apparence que soient ses formulations.

La charge de la preuve reste un mécanisme juridique, pas un score

En matière de harcèlement, la loi organise un aménagement de la preuve : le salarié présente des éléments laissant supposer l’existence d’un harcèlement, et il incombe à l’employeur de démontrer que ces agissements sont étrangers à tout harcèlement³. Ce mécanisme est un raisonnement juridique en deux temps, pas une addition de points suspects. Un outil qui afficherait un « score de risque » global se substituerait, dans les faits, à ce raisonnement, ce qui est précisément ce que la méthode doit éviter. Ce que l’outil peut faire, en revanche, c’est réunir et relier les éléments dont l’enquêteur a besoin pour mener ce raisonnement lui-même, en connaissance de cause.

La décision finale ne s’automatise pas

Le RGPD encadre spécifiquement les décisions fondées exclusivement sur un traitement automatisé et produisant des effets juridiques ou affectant significativement une personne⁴. Une conclusion d’enquête pour harcèlement (qui peut déboucher sur une sanction disciplinaire, un licenciement ou, à l’inverse, un classement sans suite affectant la personne à l’origine du signalement) relève sans ambiguïté de cette catégorie de décisions. Elle doit donc rester humaine, documentée et explicable à partir des éléments qui la soutiennent, pas seulement produite par un système.

Pour l’avocat enquêteur, une couche déontologique supplémentaire

Lorsque l’enquête est menée par un avocat, s’ajoutent l’indépendance, le secret professionnel et la prévention des conflits d’intérêts, dont les fondements figurent notamment aux articles 1, 2 et 4 du Règlement intérieur national de la profession d’avocat⁵. Ces exigences déterminent, en pratique, ce qu’un outil peut ou non manipuler : le cloisonnement des dossiers entre enquêtes, les habilitations d’accès, et l’absence de réutilisation des pièces d’un dossier pour quelque autre finalité que celle pour laquelle elles ont été confiées.

Centraliser un dossier qui, sinon, se disperse

Documents en local, pièces jointes par e-mail, notes prises en entretien, tableur de suivi parallèle : la dispersion des pièces est, en pratique, la première cause de temps perdu et de risque d’oubli dans une enquête qui s’étend sur plusieurs semaines. Un dossier unique, où chaque pièce est versée une fois et reste consultable, ne remplace aucun jugement : il évite simplement de le fonder sur un dossier incomplet.

Rattacher chaque fait à sa source

Un fait avancé sans référence précise à la pièce ou à l’entretien dont il provient est un fait qui devra être retrouvé une seconde fois, au moment de rédiger le rapport, ou pire, en cas de contestation. Faire remonter automatiquement, pour chaque élément proposé, la pièce exacte qui le supporte est un gain de traçabilité pur : cela ne préjuge en rien de la valeur du fait, cela évite seulement de perdre le fil de sa provenance.

Faire remonter les contradictions et les questions ouvertes

Recouper deux témoignages sur un même événement, repérer qu’une date ne correspond pas à celle d’une pièce jointe, signaler qu’un point mentionné par un témoin n’a jamais été creusé avec un autre : c’est un travail de rapprochement systématique, répétitif, et qui gagne à être fait sur l’intégralité du dossier plutôt qu’à la mémoire. L’IA excelle à ce rapprochement mécanique. Ce qu’elle fait remonter reste une proposition à vérifier, jamais une contradiction « établie ».

Reconstituer une chronologie

À partir des dates figurant dans les pièces et les comptes rendus d’entretien, une chronologie peut être compilée automatiquement plutôt que reconstruite à la main à chaque relecture du dossier. C’est l’un des gains de temps les plus nets, et aussi l’un des moins risqués : la chronologie reste vérifiable pièce par pièce.

Alléger la rédaction, jamais la conclusion

Préparer une synthèse structurée des faits recueillis, des sources correspondantes et des points encore ouverts fait gagner un temps réel au moment de rédiger le rapport. Cette synthèse reste un brouillon de travail : elle est relue, corrigée et validée par l’enquêteur avant de devenir le rapport, dont la conclusion continue de porter sa seule signature.

RGPD : finalité et minimisation

Un dossier d’enquête concentre des données sensibles au sens du RGPD : origines des allégations, état de santé parfois évoqué en entretien, éléments de vie privée. Le traitement de ces données doit reposer sur une base légale précise et rester limité à ce qui est nécessaire à l’enquête en cours⁶, sans être conservé « au cas où » ni réutilisé pour une autre finalité.

Le règlement européen sur l’intelligence artificielle

Le règlement européen sur l’intelligence artificielle range, parmi les systèmes à haut risque relevant de son annexe III, les systèmes d’IA utilisés dans le champ de l’emploi et de la gestion des travailleurs, notamment pour évaluer ou surveiller leurs performances et leur comportement⁷. Un outil d’enquête interne relève typiquement de ce périmètre, et le règlement précise même qu’un système de ce type ne peut jamais échapper à cette qualification dès lors qu’il réalise un profilage des personnes physiques, c’est-à-dire une évaluation automatisée de leur comportement, de leur fiabilité ou de leurs traits de personnalité⁸.

Concrètement, pour DUPAIN, cette qualification trace une frontière précise entre ce que le traitement par IA a le droit de faire et ce qu’il n’a pas le droit de faire.

Ce que le règlement autorise, sous réserve d’une supervision humaine effective⁹ : organiser et structurer le dossier d’enquête, relier chaque fait avancé à la pièce qui le documente, signaler les incohérences ou les zones encore non éclaircies entre plusieurs témoignages, reconstituer une chronologie vérifiable, et conserver la trace de chaque action du système afin que l’enquêteur puisse à tout moment en retracer l’origine. Dans chacun de ces cas, l’IA prépare un travail que l’humain contrôle et peut corriger ; elle n’évalue, ne classe et ne note aucune personne.

Ce que le règlement interdit, à l’inverse : attribuer à une personne mise en cause ou à un témoin un score de crédibilité, de risque ou de probabilité de véracité, puisqu’un tel score constituerait précisément le profilage qui fait basculer le système dans le régime le plus contraignant, sans qu’aucune des dérogations prévues pour les tâches procédurales étroites ne puisse s’appliquer. Pour la même raison, l’outil ne peut ni qualifier un fait comme constitutif de harcèlement, ni recommander une sanction, ni plus largement rendre une conclusion qui se substituerait à celle de l’enquêteur : une telle sortie serait une décision produisant des effets significatifs sur une personne, au sens de l’article 22 du RGPD déjà cité plus haut, et ouvrirait pour elle un droit à une explication individuelle que le règlement reconnaît expressément face à ce type de système à haut risque¹⁰.

Une dernière obligation s’ajoute, qui ne pèse pas sur l’outil lui-même mais sur l’organisation qui le déploie : lorsqu’un employeur met en service un système de ce type pour mener une enquête interne, il agit en qualité de déployeur au sens du règlement, et doit à ce titre informer au préalable les travailleurs concernés ainsi que leurs représentants¹¹. La conséquence pratique d’ensemble reste celle déjà connue : documentation du système, supervision humaine effective, et surtout absence de toute automatisation de la décision, ce qui rejoint, depuis un autre angle, l’exigence déontologique évoquée plus haut.

Un référentiel de gouvernance pour l’IA elle-même

La norme ISO/IEC 42001, publiée fin 2023, propose un système de management dédié à l’intelligence artificielle : gouvernance des risques, documentation des décisions de conception, contrôle continu des systèmes déployés¹². Elle ne remplace aucune des obligations légales rappelées ci-dessus, mais donne un cadre méthodique pour les tenir dans la durée, à mesure que l’outil évolue.

Le cas particulier du signalement par une procédure d’alerte

Lorsqu’un signalement de harcèlement transite par le dispositif d’alerte professionnelle de l’organisation, des exigences spécifiques de confidentialité de l’identité et de délais de traitement s’ajoutent¹³. Un outil qui centralise le dossier d’enquête doit être conçu pour les respecter dès l’origine du signalement, et non les traiter comme une contrainte accessoire ajoutée après coup.