Prise de notes par IA au Luxembourg : ce que la loi permet

En savoir plus sur l'implémentation de l'IA au Luxembourg, et sur les autres exigences du RGPD pour les outils d'IA dans notre guide de l'IA conforme au RGPD pour les PME luxembourgeoises.

Les assistants de réunion sont arrivés dans la plupart des entreprises luxembourgeoises sans projet. Quelqu'un a activé la transcription dans Teams, un responsable commercial a connecté une application à son agenda, un secrétaire de conseil d'administration a commencé à enregistrer pour rédiger les procès-verbaux plus vite. Ces outils sont utiles : un bon résumé avec les actions à mener fait gagner un temps réel. Ils reposent aussi sur l'une des activités les plus encadrées du droit du travail luxembourgeois : enregistrer ce que disent les salariés.

J'aide les entreprises luxembourgeoises à intégrer l'IA dans leur travail quotidien chez 20 More, et c'est la question que l'on me pose désormais dans presque chaque déploiement : peut-on laisser les équipes l'utiliser, et à quelles conditions ? Voici le cadre juridique, un tableau fonction par fonction et la configuration que je recommande. Ce sont des conseils pratiques, pas un avis juridique ; pour un cas sensible, associez votre DPO ou votre avocat.

Quelles règles s'appliquent à un outil de prise de notes par IA ?

Quatre ensembles de règles se superposent, et ils visent des fonctions différentes du même outil :

L'erreur est de traiter l'outil comme un tout. Une transcription utilisée pour rédiger un procès-verbal et la même transcription utilisée pour noter les appels d'un commercial sont deux traitements différents au regard des quatre régimes.

Quand l'article L.261-1 s'applique-t-il ?

L'article L.261-1 encadre le traitement de données personnelles « à des fins de surveillance » des salariés au travail. Il n'interdit pas la surveillance ; il lui impose une procédure. Selon Guichet.lu et la CNPD :

• Base légale. Le traitement doit reposer sur l'une des bases de l'article 6, paragraphe 1, points a) à f) du RGPD.
• Information collective préalable. Avant la mise en place, l'employeur informe la délégation du personnel, ou à défaut l'ITM, avec une description détaillée de la finalité, des modalités de mise en œuvre, de la durée de conservation des données, et un engagement de ne pas utiliser les données à d'autres fins. Guichet.lu conseille le courrier recommandé pour pouvoir prouver la date.
• Information individuelle. Chaque salarié reçoit les informations prévues à l'article 13 du RGPD.
• Délai de 15 jours. Dans les 15 jours suivant cette information, la délégation du personnel ou les salariés concernés peuvent demander à la CNPD un avis préalable sur la conformité du traitement. La demande suspend le projet, et la CNPD doit se prononcer dans un délai d'un mois.
• Codécision. Lorsque la surveillance sert la santé et la sécurité, contrôle la production ou les prestations quand c'est le seul moyen de déterminer la rémunération exacte, ou organise un système d'horaire mobile, la délégation du personnel codécide (articles L.211-8 et L.414-9).
• Pas d'autorisation. Depuis le 25 mai 2018, la CNPD n'autorise plus la surveillance au préalable. L'employeur porte seul la responsabilité de la conformité (Guichet.lu).

Une délégation du personnel est obligatoire dans les entreprises occupant au moins 15 salariés (Guichet.lu) ; en dessous, l'information va à l'ITM. La violation de l'article L.261-1 est une infraction pénale, punie d'un emprisonnement de huit jours à un an et/ou d'une amende de 251 à 125 000 euros (CNPD), et une plainte d'un salarié auprès de la CNPD ne peut pas constituer un motif de licenciement.

Un outil de prise de notes, est-ce de la « surveillance » ? La loi ne vise pas nommément les assistants de réunion, et je ne connais aucune décision luxembourgeoise à leur sujet. Le test pratique que j'utilise : les enregistrements, transcriptions ou statistiques pourraient-ils servir à observer ou évaluer ce que font ou disent des salariés en particulier ? Si oui, ce qui est le cas de la plupart des outils avec identification des intervenants, statistiques de temps de parole ou archives consultables, suivez la procédure de l'article L.261-1. Elle coûte un courrier et quinze jours. L'ignorer transforme chaque utilisation future des données en litige.

Que dit la CNPD sur l'enregistrement des réunions ?

La CNPD consacre une page à l'enregistrement sonore des réunions. Trois points comptent pour les outils de prise de notes par IA :

1. Le consentement est fragile. Il est possible en théorie mais difficile à obtenir valablement entre employeur et salarié, parce qu'il doit être libre : un participant doit pouvoir refuser sans conséquence. Les exemples donnés par la CNPD : mettre l'enregistrement en pause quand cette personne parle, ou ne pas enregistrer du tout.
2. L'information vient d'abord. Les participants doivent être informés, avant le début de l'enregistrement, de qui enregistre, pourquoi, pour combien de temps et de leurs droits (article 13 du RGPD). Un bandeau qui apparaît une fois la réunion commencée ne suffit pas à lui seul.
3. La conservation suit la finalité. Si la finalité est la rédaction du procès-verbal, l'enregistrement ne doit être conservé que le temps de le rédiger et de le faire approuver.

La brochure commune de la CNPD et de la Chambre des salariés sur la surveillance au travail dit la même chose pour les appels téléphoniques : chaque partie à un appel enregistré doit en être informée (brochure CNPD / CSL).

Pour la plupart des entreprises, la meilleure base est l'intérêt légitime (article 6, paragraphe 1, point f) du RGPD), pour une finalité clairement limitée comme le procès-verbal, avec une mise en balance documentée, plutôt qu'un consentement recueilli au début de chaque appel.

La loi de 1982 sur la vie privée est un risque distinct

La loi du 11 août 1982 concernant la protection de la vie privée punit le fait d'enregistrer, sans son consentement, les paroles prononcées à titre privé par une personne, ainsi que le fait de conserver, divulguer ou utiliser un tel enregistrement (Legilux). Sa portée pour les réunions professionnelles n'est pas tranchée, mais c'est la raison pour laquelle un robot qui rejoint en silence des appels externes depuis l'agenda d'un collègue est la première configuration que je désactiverais.

Où intervient l'AI Act européen ?

Deux dispositions comptent pour les outils de réunion :

• La reconnaissance des émotions est interdite au travail. Depuis le 2 février 2025, l'article 5, paragraphe 1, point f) de l'AI Act interdit les systèmes d'IA qui déduisent les émotions des personnes sur le lieu de travail, sauf pour des raisons médicales ou de sécurité (AI Act Service Desk). Les lignes directrices de la Commission précisent que l'interdiction vise la reconnaissance des émotions fondée sur des données biométriques, comme le ton de la voix ou les expressions du visage (lignes directrices de la Commission). Un score d'« engagement », de « sentiment » ou d'« humeur » calculé à partir de la voix ou de la vidéo des participants n'a donc pas sa place dans un outil de réunion interne. L'analyse de sentiment d'un texte écrit seul échappe à cette interdiction précise, mais elle exige toujours une base légale RGPD et, appliquée au personnel, la procédure de l'article L.261-1.
• Évaluer le personnel relève du haut risque. L'IA utilisée pour surveiller et évaluer les performances et le comportement des travailleurs est un usage à haut risque de l'annexe III, avec des obligations pour les déployeurs à partir du 2 décembre 2027 après l'Omnibus numérique (Commission). Un outil de prise de notes utilisé pour les procès-verbaux n'en est pas un. Le même outil alimentant un tableau de bord de notation des appels utilisé dans les entretiens d'évaluation peut le devenir.

Les obligations de transparence de l'article 50 ne transforment pas un résumé de réunion interne en contenu public à étiqueter : l'obligation d'étiquetage des textes de l'article 50, paragraphe 4, vise les textes générés par IA publiés pour informer le public (FAQ de la Commission). Le personnel doit tout de même être informé que le résumé est généré par IA, au titre de l'obligation d'information du RGPD, et chaque salarié qui utilise l'outil relève de votre obligation de maîtrise de l'IA (article 4).

Quelles fonctions sont acceptables, et lesquelles demandent de la prudence ?

Voici le tableau que j'utilise avec les clients. Il suppose des réunions internes et un outil contracté par l'entreprise, pas l'application personnelle d'un salarié.

La liste de la CNPD des traitements soumis à une analyse d'impact comprend la surveillance systématique des activités des salariés. Toute configuration à partir de « identification des intervenants » dans le tableau devrait en faire l'objet.

Un déploiement prudent en six étapes

1. Choisissez un outil et bloquez les autres. Les applications personnelles de prise de notes connectées aux agendas professionnels sont le plus grand risque non maîtrisé. Autorisez celle pour laquelle vous avez un contrat et un accord de sous-traitance (article 28 du RGPD), et bloquez l'accès aux agendas pour les autres.
2. Paramétrez avant d'annoncer. Sous-titres activés ; enregistrement et transcription désactivés par défaut et lancés manuellement par l'organisateur ; pas de participation automatique aux réunions externes ; statistiques de temps de parole et fonctions de sentiment désactivées ; conservation des enregistrements réglée sur l'option la plus courte qui permet encore de rédiger le procès-verbal.
3. Écrivez la finalité. Un paragraphe : procès-verbaux et actions à mener, rien d'autre, aucune utilisation en évaluation ou en discipline. C'est l'engagement qu'attend l'article L.261-1, et c'est ce qui rend l'intérêt légitime défendable.
4. Informez la délégation du personnel ou l'ITM par écrit, avec la finalité, le paramétrage, la durée de conservation et cet engagement. Puis attendez la fin des 15 jours avant la mise en service.
5. Informez les personnes. Une courte note sur l'intranet et dans les invitations : qui enregistre, pourquoi, combien de temps, comment s'y opposer, et que les participants peuvent demander la mise en pause de l'enregistrement.
6. Formez et réévaluez. Dix minutes sur ce que l'outil fait et ne fait pas, puis au bout de trois mois un point sur ce qui est réellement enregistré et conservé.

Si vous enregistrez aussi le temps de travail, le même courrier à la délégation du personnel peut couvrir les deux traitements ; notre automatisation RH et administrative part des mêmes données.

Questions fréquentes

Un employeur luxembourgeois peut-il enregistrer des réunions avec un outil de prise de notes par IA ?

Oui, sous conditions. L'enregistrement exige une base légale RGPD et l'information préalable des participants. Lorsque les enregistrements ou transcriptions peuvent servir à observer ou évaluer des salariés, l'article L.261-1 du Code du travail impose aussi l'information préalable de la délégation du personnel ou de l'ITM, ce qui ouvre un délai de 15 jours pendant lequel le personnel peut demander un avis à la CNPD.

Le consentement des salariés suffit-il pour enregistrer des réunions ?

Rarement. La CNPD relève que le consentement entre employeur et salarié est difficile à obtenir valablement, parce qu'il doit être libre et pouvoir être refusé sans conséquence, par exemple en mettant l'enregistrement en pause quand un participant s'y oppose. Pour un usage interne récurrent, une finalité limitée fondée sur l'intérêt légitime, avec une mise en balance documentée, est en général la base la plus solide.

Les scores de sentiment ou d'engagement en réunion sont-ils autorisés ?

Pas lorsqu'ils sont déduits de la voix ou des expressions du visage. Depuis le 2 février 2025, l'article 5, paragraphe 1, point f) de l'AI Act interdit la reconnaissance des émotions sur le lieu de travail, sauf pour des raisons médicales ou de sécurité. L'analyse de sentiment portant uniquement sur du texte échappe à cette interdiction mais, appliquée aux salariés, exige toujours une base légale RGPD et la procédure de l'article L.261-1.

Faut-il une analyse d'impact pour un assistant de réunion IA ?

Pour des sous-titres ou des procès-verbaux avec une conservation courte, souvent non. Dès que l'outil attribue des propos à des personnes nommées d'une réunion à l'autre, conserve une archive consultable ou produit des statistiques de participation, il se rapproche de la surveillance systématique des salariés qui figure sur la liste de la CNPD, et vous devriez en réaliser une.

Et les salariés qui utilisent leur propre application de prise de notes ?

C'est la première chose à corriger. Une application personnelle connectée à un agenda professionnel enregistre collègues et clients selon des conditions que l'entreprise n'a jamais acceptées et ne peut pas contrôler. Fournissez un outil approuvé, bloquez les autres, et inscrivez-le dans la politique interne sur l'IA.

Si vous voulez un second regard sur votre configuration actuelle, décrivez-nous l'outil et son paramétrage et nous vous dirons quoi changer en premier. Ce travail est souvent éligible aux aides luxembourgeoises ; le test d'éligibilité prend deux minutes.