Question apparemment simple, juridiquement complexe : quand un collaborateur utilise un LLM pour produire un texte, une image, du code, qui en est propriétaire au sens du droit d'auteur ?

La position du droit français et du droit européen en 2026 est la suivante :

1. Pas de droit d'auteur sur les sorties purement IA. Le droit d'auteur protège les œuvres de l'esprit humain (article L112-2 du Code de la propriété intellectuelle). Une sortie générée purement par une IA, sans intervention humaine significative, n'est pas protégée. Conséquence : un concurrent peut techniquement reprendre une image générée 100% par IA sans contrefaçon.

2. Protection si intervention humaine créative significative. Si un humain a apporté un apport créatif personnel dans la conception, l'orientation, la sélection, le retravail — alors l'œuvre peut être protégée. L'IA est alors considérée comme un outil au service de la création humaine. Le seuil de « significatif » est apprécié au cas par cas.

3. Décisions américaines récentes. Le U.S. Copyright Office a refusé en 2023-2024 plusieurs enregistrements de copyright pour des œuvres générées par IA, exigeant une « contribution humaine significative ». Plusieurs procès en cours.

Conséquences pratiques en entreprise :

• Un visuel marketing 100% généré par Midjourney sans retravail = pas protégeable. Concurrent peut reprendre. À éviter pour les visuels distinctifs.
• Un texte rédigé par ChatGPT puis substantiellement retravaillé, complété, personnalisé par un rédacteur = protégeable au titre des apports humains.
• Du code généré par Copilot puis modifié et intégré dans une architecture conçue par un développeur = protégeable comme l'ensemble.

La recommandation pratique : pour tout contenu à valeur distinctive (marque, identité, œuvres signées), garantir une intervention humaine créative substantielle et documentée. Ne pas se contenter du « brut » IA.

Côté contrat avec le fournisseur IA, les CGU précisent en général que le client conserve la propriété des sorties (selon les règles juridiques applicables). Ne pas confondre avec une protection par droit d'auteur — le contrat ne crée pas une protection juridique qui n'existe pas dans la loi.

Inversement, le contenu généré par IA peut reprendre, plus ou moins fidèlement, des œuvres protégées présentes dans le corpus d'entraînement. C'est une zone juridique active.

Procès en cours et précédents :

Getty Images vs Stability AI (UK / USA, depuis 2023). Getty Images a poursuivi Stability AI (créateur de Stable Diffusion) pour avoir utilisé des millions d'images Getty dans l'entraînement de son modèle, sans autorisation ni rémunération. Procès en cours au Royaume-Uni et aux États-Unis. Issue très attendue.

New York Times vs OpenAI / Microsoft (USA, depuis fin 2023). Le NYT poursuit OpenAI et Microsoft pour avoir utilisé ses articles dans l'entraînement de GPT et de Bing Chat. Le NYT demande des centaines de millions de dollars de dommages. Procès emblématique.

Sarah Silverman et autres auteurs vs Meta / OpenAI (USA, depuis 2023). Plainte collective d'auteurs pour utilisation de leurs livres dans l'entraînement.

Le Monde et le Figaro ont signé des accords commerciaux avec OpenAI en 2024-2025 pour licencer leurs contenus. C'est l'autre voie : monétisation contractuelle plutôt que procès.

Du côté européen, l'AI Act impose aux fournisseurs de GPAI (depuis août 2025) de respecter le droit d'auteur dans l'entraînement et de publier un résumé des données utilisées. Cette obligation est encore en cours d'opérationnalisation — son effectivité sera testée dans les années qui viennent.

Risques pour l'utilisateur entreprise :

• Image générée qui ressemble fortement à une œuvre protégée → risque de contrefaçon si publication
• Texte généré qui reproduit substantiellement un passage d'un livre ou d'un article → risque de plagiat
• Code généré qui reproduit du code GPL ou autre licence virale → risque contractuel sur la licence logicielle de l'entreprise

Garde-fous recommandés :

• Pour les images : utiliser des outils avec garantie d'indemnisation contractuelle (Adobe Firefly, par exemple, garantit l'absence de copyright tiers). Adobe couvre les éventuels procès de tiers.
• Pour les textes : vérifier avec un outil anti-plagiat (Turnitin, Grammarly, Originality.ai) avant publication
• Pour le code : vérifier l'absence de reproductions massives via des outils comme GitHub Copilot Filter, Codacy, Sourcegraph Cody
• Documenter la provenance et le retravail humain effectué

L'indemnisation contractuelle des fournisseurs Enterprise est un avantage à examiner : Microsoft (Copilot for M365), Adobe (Firefly), Anthropic et OpenAI Enterprise proposent des garanties limitées contre les poursuites en contrefaçon des sorties. À étudier dans les contrats.

Les deepfakes — audio, vidéo, image falsifiés générés par IA pour faire dire ou faire à une personne réelle ce qu'elle n'a pas dit ou fait — sont devenus une menace concrète pour les entreprises depuis 2023-2024.

Cas marquants :

Arup (UK, janvier 2024). Un employé du cabinet d'ingénierie Arup à Hong Kong a transféré 25 millions USD à des fraudeurs après une vidéoconférence où il pensait parler à son CFO et plusieurs collègues. Tous étaient des deepfakes. C'est l'attaque par deepfake la plus médiatisée à ce jour.

Énergéticien européen (2019, antérieur aux LLM). Un PDG a été imité vocalement par un deepfake audio, ordonnant un virement de 220 000 € à un fournisseur. Le virement a été effectué. Précédent considéré comme l'un des premiers cas.

Vidéos deepfake d'Elon Musk, Bill Gates, Mark Zuckerberg, Emmanuel Macron — circulant sur les réseaux sociaux pour promouvoir des arnaques crypto, des fausses opportunités d'investissement, des positions politiques imaginaires. Désinformation à grande échelle.

Risques pour l'entreprise :

• Fraude au président par deepfake audio ou vidéo : transferts de fonds frauduleux sur instructions imitées
• Usurpation d'identité de dirigeants dans des communications externes
• Atteinte à la réputation : faux propos attribués à un dirigeant ou un porte-parole
• Manipulation de marché : faux communiqué attribué à une entreprise cotée provoquant volatilité du cours
• Sabotage RH : faux comportement attribué à un salarié pour le faire licencier ou discréditer
• Fraudes internes avec deepfake d'un collègue, manager, RH

Mesures défensives :

1. Procédures de double validation pour tous les transferts financiers importants. Une vidéoconférence ne suffit jamais — confirmation par canal alternatif (téléphone vérifié, signature électronique, mots-clés de sécurité préalablement définis).

2. Mots-clés de sécurité entre dirigeants et équipes finance/IT : phrase secrète ou question dont la réponse ne peut être devinée par un deepfake.

3. Détection technique de deepfakes par outils dédiés (Reality Defender, Sensity, Microsoft Video Authenticator, certains outils intégrés aux solutions de vidéoconférence). Imparfait mais utile.

4. Formation des collaborateurs aux signaux d'alerte : qualité de l'image légèrement étrange, synchronisation labiale imparfaite, intonation vocale plate, mouvements d'yeux artificiels, demandes inhabituelles et urgentes.

5. Veille sur la présence éventuelle de deepfakes dirigés contre l'entreprise sur les réseaux sociaux. Outils de surveillance de marque pouvant inclure la détection de deepfakes.

L'AI Act impose aux générateurs de deepfakes de les marquer techniquement (watermarking) et aux déployeurs de les signaler explicitement (article 50). En pratique, cela limite les usages légitimes mais ne dissuade pas les attaquants malveillants — d'où l'importance des mesures défensives propres.

Tendance 2025-2026 : les deepfakes deviennent indétectables à l'œil humain non entraîné. La défense ne peut plus reposer sur la vigilance individuelle — elle doit s'appuyer sur des procédures structurelles (double validation) et des outils techniques.

Le shadow AI désigne l'usage d'outils d'IA générative par les collaborateurs hors de tout cadre formel de l'entreprise : ChatGPT version gratuite via navigateur personnel, Claude via téléphone perso, Mistral en privé, etc.

Études récentes (Microsoft, IBM, McKinsey 2024-2025) convergent : 50 à 75% des collaborateurs en entreprise utilisent au moins occasionnellement un outil d'IA générative, dont la moitié hors cadre officiel. Le shadow AI est donc présent dans presque toutes les organisations en 2026.

Risques du shadow AI :

• Confidentialité non maîtrisée (cf. chapitre 2.2) — les pires fuites passent par là
• Disparités de compétence : les collaborateurs sont inégalement à l'aise, certains font des erreurs faute de formation
• Pas de traçabilité : impossible de savoir ce qui a été demandé, à qui, pour quoi
• Non-conformité article 4 AI Act : pas de formation tracée pour ces usages, alors qu'ils sont concernés
• Conflits de propriété intellectuelle : si un livrable client a été produit en partie avec un outil non contractualisé, qui est propriétaire ? Que dit le contrat client sur l'usage d'IA ?
• Risques RGPD : transferts non maîtrisés vers les USA, pas de DPA, pas d'AIPD

Bannir le shadow AI par interdiction ne fonctionne pas, comme l'a montré le cas Samsung. Les collaborateurs continueront sur leurs appareils personnels. La solution est positive : offrir une alternative officielle attractive et la rendre suffisamment visible et utilisable pour qu'elle devienne le choix naturel.

Démarche recommandée :

1. Audit des usages réels : enquête anonyme auprès des équipes pour connaître ce qui se fait, sur quels outils, pour quels usages. Sans sanction, en posture d'écoute.
2. Sélection d'une solution officielle adaptée aux usages identifiés (souvent Microsoft Copilot Enterprise + ChatGPT Enterprise + un outil de génération d'images comme Adobe Firefly).
3. Charte d'usage claire, courte, communiquée largement.
4. Formation sur outils officiels — programmes courts, par profil métier, en présentiel + e-learning.
5. Communication sur les avantages de l'outil officiel vs gratuit (rapidité, intégration, fiabilité, conformité).
6. Mesure : suivi de l'adoption, taux d'usage officiels vs persistance shadow, indicateurs de productivité.

Quand la solution officielle est aussi bonne ou meilleure que les alternatives gratuites (ce qui est de plus en plus le cas avec les versions Enterprise modernes), le shadow AI se résorbe naturellement. La vraie résistance vient de l'expérience utilisateur : si l'outil officiel est moins ergonomique, plus lent, plus restrictif, les collaborateurs continuent en parallèle. L'UX de l'outil officiel est donc un critère majeur de sélection.

L'introduction de l'IA générative en entreprise ne relève pas que du droit des données et de l'IA. Le droit du travail a aussi son mot à dire.

Information et consultation du CSE. L'introduction d'un nouvel outil de travail, particulièrement s'il modifie les conditions de travail ou les emplois, doit faire l'objet d'une information-consultation du CSE (articles L2312-8 et L2312-37 du Code du travail). L'IA générative entre clairement dans cette catégorie. À organiser AVANT le déploiement, sous peine de nullité.

Surveillance des salariés. Les outils IA qui surveillent l'activité des salariés (productivité, contenu des emails, temps de connexion) sont soumis aux règles strictes du droit du travail : consultation CSE, information préalable individuelle, proportionnalité au but recherché. La jurisprudence est restrictive depuis l'arrêt Bărbulescu (CEDH, 2017).

Article L2312-38 — depuis loi Macron 2015, des dispositions spécifiques concernent les « nouvelles technologies » ayant un impact sur l'emploi. L'IA générative qui modifie sensiblement les postes (réduction de tâches automatisables, transformation des compétences requises) doit faire l'objet d'une analyse spécifique partagée avec les représentants du personnel.

Droit à la déconnexion. Les outils IA peuvent générer des contenus à toute heure. Encadrer leur usage en dehors des heures de travail pour respecter le droit à la déconnexion (article L2242-17).

Évaluation et performance. Si des outils IA sont utilisés pour évaluer les salariés (productivité, qualité, comportement), application stricte de l'article 22 RGPD (intervention humaine effective) et de l'AI Act haut risque.

Conséquence pratique : tout déploiement d'IA générative significatif dans une entreprise avec un CSE doit passer par une information-consultation formalisée. Ne pas le faire expose à la nullité juridique du déploiement et à des sanctions financières devant le conseil de prud'hommes ou le tribunal judiciaire.

Le processus type : (1) communication par la direction au CSE de l'intention de déployer, (2) documentation projet (objectifs, outils choisis, données traitées, AIPD, charte d'usage), (3) séance de consultation avec questions/réponses, (4) avis du CSE consigné au procès-verbal, (5) déploiement effectif. Délai minimum à respecter : 1 mois (L2312-15), parfois plus selon complexité.

Quelques risques en émergence à surveiller pour les prochaines années :

Agents IA autonomes. 2025-2026 voit l'émergence d'agents capables d'exécuter des tâches multi-étapes en autonomie (réserver un voyage, traiter une boîte mail, conduire une recherche). Ces agents prennent des décisions et agissent — risques décuplés par rapport à un simple chatbot. Cadre juridique à clarifier.

Personnalisation poussée et profilage. Les outils marketing IA permettent une personnalisation extrême. Risque de manipulation comportementale (interdite par l'article 5 si elle vise des vulnérabilités), risque RGPD si profilage non consenti.

IA dans le cycle DevOps et la production logicielle. Code généré par IA déployé en production sans relecture humaine adéquate. Risque de vulnérabilités introduites, de bugs subtils, de dépendances obsolètes. Plusieurs failles de sécurité récentes ont été attribuées à du code IA non revu.

Manipulation des LLM par prompt injection : des instructions malveillantes cachées dans des documents ou pages web peuvent détourner le comportement d'un LLM connecté à des outils. Risque croissant à mesure que les agents IA prolifèrent.

Désinformation industrielle : génération automatisée de masses de contenus faux pour influer sur la perception d'une entreprise, manipuler les marchés, attaquer la marque employeur. À surveiller en veille.

Concentration des fournisseurs : la dépendance à un petit nombre d'éditeurs IA américains (OpenAI, Anthropic, Google, Microsoft) crée un risque géopolitique et stratégique. La souveraineté numérique européenne est un enjeu débattu.

Coût énergétique de l'IA : impact environnemental significatif des centres de calcul. Pour les entreprises engagées dans une démarche RSE / CSRD, à intégrer dans le reporting Scope 3.

Ces risques justifient une veille structurée sur les évolutions IA — réglementaires, techniques, contractuelles. Désigner un référent IA dans l'entreprise (souvent partagé entre DSI, DPO, RSSI, juridique) qui assure cette veille et alerte les directions concernées.