IA et évaluation de performance : biais algorithmiques et conformité au droit suisse

L'IA dans l'évaluation de performance : un gain de temps qui cache des risques juridiques réels

Un outil d'IA qui génère automatiquement des scores de performance à partir de données CRM, de présence ou de tickets traités peut diviser par trois le temps consacré aux entretiens annuels. Ce même outil peut simultanément discriminer les collaboratrices en congé maternité, pénaliser les travailleurs à temps partiel et produire des décisions contestables devant un tribunal civil — sans que l'employeur ne s'en rende compte avant la mise en demeure.

L'IA appliquée aux RH n'est pas neutre : elle encode les biais présents dans les données historiques. Pour une PME romande de 5 à 50 employés, cela représente un risque RH concret, pas une abstraction académique. Les obligations découlant de la loi fédérale sur la protection des données (nLPD), du Code des obligations et de la loi sur le travail s'appliquent dès la première évaluation automatisée.

Ce que la nLPD impose dès l'utilisation d'un algorithme d'évaluation

La nLPD, en vigueur depuis le 01.09.2023, introduit une règle spécifique pour les décisions entièrement automatisées (art. 21 nLPD) : toute décision prise uniquement par un algorithme, sans intervention humaine significative, doit être signalée à la personne concernée. L'employé a le droit de demander une révision par un humain. La violation de cette obligation expose l'entreprise à une amende pouvant atteindre CHF 250'000.— à la charge de la personne physique responsable (art. 60 nLPD), et non de l'entreprise elle-même.

La notion clé est « entièrement automatisée ». Un score généré par l'IA mais validé — sans ajustement réel — par un responsable en trente secondes ne constitue pas une intervention humaine au sens de la loi. Le Préposé fédéral à la protection des données (PFPDT) a précisé dans ses lignes directrices que la validation formelle sans examen substantiel ne suffit pas.

Traitement de données sensibles dans les évaluations

Les données RH utilisées pour entraîner ou alimenter un modèle d'évaluation peuvent constituer des données sensibles au sens de l'art. 5 lit. c nLPD : données sur la santé (absences maladie), données syndicales, données relatives à des mesures d'aide sociale. Leur traitement nécessite une base légale renforcée, typiquement le consentement explicite ou un intérêt prépondérant clairement documenté. Dès qu'un algorithme croise données d'absentéisme et score de performance, le risque de traitement illicite de données de santé est réel.

La tenue d'un registre des activités de traitement (art. 12 nLPD) est obligatoire pour les entreprises qui traitent des données à grande échelle ou des données sensibles. Une PME de 20 employés utilisant un SaaS RH avec module IA d'évaluation est concernée. Ce registre doit documenter la finalité du traitement, les catégories de données, les destinataires, les délais de conservation et les mesures de sécurité.

Biais algorithmiques : mécanismes et impact mesurable sur les évaluations

Les biais dans les outils d'évaluation IA ne sont pas hypothétiques. Trois mécanismes principaux les génèrent dans un contexte PME :

1. Biais de données historiques

Si l'algorithme est entraîné sur des évaluations passées réalisées par des managers qui notaient systématiquement plus bas les collaborateurs travaillant à 80%, il perpétue ce schéma. Dans une PME de 25 personnes avec 6 à 8 années de données d'évaluation, l'échantillon est trop petit pour que les biais se compensent statistiquement. Le résultat : des scores automatiques qui reflètent les préjugés des évaluateurs historiques, avec une apparence d'objectivité mathématique.

2. Biais de proxys

Les outils qui mesurent la performance via des indicateurs indirects — nombre de mails envoyés, heures de connexion, tickets fermés — créent des proxys biaisés. Un parent qui réduit ses heures de connexion pendant les vacances scolaires vaudoises obtient un score inférieur sans lien avec sa productivité réelle. Les collaborateurs en situation de handicap léger non déclaré peuvent être pénalisés sur des métriques de vitesse de traitement.

3. Biais de feedback loop

Si les scores IA influencent les augmentations, et que les augmentations influencent la motivation, et que la motivation influence les métriques futures, l'algorithme amplifie les écarts initiaux. Une PME qui utilise ce système sans correction manuelle sur 3 à 5 ans verra les écarts salariaux entre groupes homogènes croître de 8 à 15% sans justification liée à la performance réelle, selon les estimations publiées par des chercheurs spécialisés en équité algorithmique.

Cadre légal CO et LTr : ce que l'employeur doit garantir

L'art. 328 CO impose à l'employeur de protéger la personnalité du travailleur et de ne pas procéder à des évaluations discriminatoires. La loi sur l'égalité (LEg) interdit toute discrimination fondée sur le sexe dans les décisions liées à la relation de travail, y compris les évaluations de performance qui conditionnent les promotions ou les salaires. Un score IA qui, en pratique, défavorise systématiquement les femmes constitue une violation de la LEg, même si l'intention discriminatoire est absente.

La loi sur le travail (LTr) et ses ordonnances d'exécution encadrent la surveillance des travailleurs. L'art. 26 OLT 3 interdit les systèmes de surveillance qui portent atteinte à la liberté de mouvement et d'action des travailleurs. Un outil IA qui collecte en continu des données comportementales (frappes au clavier, déplacements, micro-pauses) pour alimenter un score de performance contrevient à cette disposition. La frontière entre mesure de performance et surveillance inadmissible est franchie dès que la collecte est permanente et non liée à un besoin opérationnel spécifique.

Consultation de la représentation des travailleurs

Dès qu'une PME introduit un système d'évaluation automatisé affectant les conditions de travail, elle doit, si elle dispose d'une commission du personnel (obligatoire dès 50 employés selon la loi sur la participation, facultative en dessous), consulter celle-ci préalablement. En l'absence de représentation formelle, la bonne pratique — et parfois une exigence contractuelle si une CCT s'applique — est d'informer les travailleurs par écrit du fonctionnement du système, des données collectées et des critères retenus.

Procédure de mise en conformité : démarches étape par étape

Une PME romande qui souhaite déployer un outil d'évaluation IA — ou qui en utilise déjà un sans avoir formalisé sa conformité — doit suivre la procédure suivante :

1. Inventaire des données utilisées. Lister toutes les sources de données alimentant l'algorithme : RH interne, CRM, outil de ticketing, données de présence badgée. Identifier lesquelles sont des données sensibles au sens de l'art. 5 nLPD.
2. Analyse d'impact (AIPD) si nécessaire. L'art. 22 nLPD impose une analyse d'impact sur la protection des données lorsque le traitement est susceptible de présenter un risque élevé pour les personnes concernées. Un système de scoring automatisé des employés entre dans cette catégorie. L'AIPD documente les risques identifiés et les mesures d'atténuation retenues.
3. Mise à jour du registre des traitements. Ajouter le module IA d'évaluation au registre des activités de traitement avec : finalité (évaluation de performance), catégories de données (données professionnelles, présence, métriques de production), destinataires (manager direct, DRH, prestataire SaaS), délai de conservation (durée du contrat de travail + 5 ans recommandés pour prévenir les litiges), mesures techniques de sécurité.
4. Rédaction d'une notice d'information. Informer les employés par écrit de l'existence du système d'évaluation automatisé, de la logique générale (pas nécessairement le code source), de leurs droits (demande de révision humaine, accès aux données, rectification). Cette notice peut être intégrée au règlement du personnel ou remise à la signature lors de l'entretien d'embauche.
5. Définir le processus de révision humaine. Formaliser par écrit que tout score IA est soumis à validation par un responsable qui doit : lire le détail des métriques, comparer avec ses observations qualitatives, justifier par écrit tout maintien ou modification du score. La validation prend au minimum 15 minutes par évaluation pour être substantielle.
6. Audit biais semestriel. Segmenter les scores moyens par genre, taux d'occupation, ancienneté, statut familial connu. Si l'écart moyen entre deux groupes comparables dépasse 5%, déclencher une révision des critères de notation. Conserver les résultats de cet audit comme preuve de bonne foi en cas de litige.
7. Clause contractuelle fournisseur. Vérifier que le contrat avec le prestataire SaaS inclut une clause de sous-traitance conforme à l'art. 9 nLPD : le fournisseur ne peut traiter les données qu'aux fins documentées, doit garantir les mêmes standards de sécurité, et doit notifier toute violation de données dans les 72 heures.

Cas pratique : Fiduciaire Revaz SA, Sion, 18 employés

Fiduciaire Revaz SA emploie 18 collaborateurs à Sion. En janvier 2024, la direction confie à son outil RH SaaS (module IA activé) la génération automatique de scores de performance annuels basés sur : nombre de dossiers clients traités, taux de relances clients, délais moyens de rendu, et taux d'absence. Le système attribue des scores de 1 à 5 qui déterminent directement le montant des bonus.

Problème détecté : Isabelle Morand, 34 ans, collaboratrice à 80%, a travaillé à ce taux depuis son retour de congé maternité en mars 2023. Son score automatique est de 2.8/5. Son collègue Romain Fellay, 36 ans, à 100%, traite le même type de dossiers avec des métriques similaires ramenées à une base horaire, et obtient 3.9/5. L'écart provient du fait que l'algorithme compare les volumes absolus, pas les volumes normalisés par le taux d'occupation.

Impact financier : Le barème bonus de la fiduciaire prévoit CHF 2'000.— pour un score ≥ 3.5 et CHF 500.— pour un score entre 2.5 et 3.4. Isabelle reçoit CHF 500.—, Romain CHF 2'000.—. Écart injustifié : CHF 1'500.—. Sur un collectif de 6 collaborateurs à temps partiel (5 femmes, 1 homme), l'écart cumulé atteint CHF 6'800.— par an, soit une discrimination salariale indirecte fondée sur le genre au sens de l'art. 3 LEg.

Procédure corrective appliquée :

1. La responsable RH, Mélanie Dayer, détecte l'écart lors de l'audit biais de février 2024 après avoir segmenté les scores par taux d'occupation.
2. Elle demande au prestataire SaaS de normaliser toutes les métriques volumétriques par équivalent plein temps (EPT) avant scoring. Délai d'implémentation : 3 semaines.
3. En attendant, elle recalcule manuellement les 18 évaluations sur base EPT et soumet les scores corrigés à la direction pour validation.
4. Le score d'Isabelle corrigé est de 3.7/5 → bonus recalculé à CHF 2'000.—. La différence de CHF 1'500.— est versée avec le salaire de mars 2024.
5. Une notice d'information est remise à tous les collaborateurs documentant les critères de scoring et le droit à la révision humaine.
6. Le registre des traitements est mis à jour pour inclure le module IA d'évaluation avec mention de l'AIPD réalisée en mars 2024.

Coût total de mise en conformité pour Revaz SA : environ 8 heures de travail interne + 2 heures de conseil juridique externe (≈ CHF 600.— à CHF 900.— au tarif romand). Le coût d'un litige LEg non résolu à l'amiable — frais d'avocat, procédure cantonale, dommages-intérêts pouvant atteindre 6 mois de salaire — aurait dépassé CHF 25'000.—.

Récapitulatif opérationnel

• Vérifier si votre outil génère des décisions entièrement automatisées au sens de l'art. 21 nLPD : si oui, instituer une procédure de révision humaine documentée et en informer les collaborateurs par écrit.
• Normaliser les métriques volumétriques par taux d'occupation (EPT) avant tout calcul de score pour éviter la discrimination indirecte des travailleurs à temps partiel.
• Exclure les données d'absentéisme maladie des variables d'entrée de l'algorithme ou justifier leur inclusion par une analyse d'impact validée, pour éviter le traitement de données de santé sans base légale.
• Réaliser un audit biais semestriel segmenté par genre, taux d'occupation et ancienneté ; conserver les résultats dans le dossier de conformité nLPD.
• Mettre à jour le registre des traitements pour inclure le module IA d'évaluation avec finalité, catégories de données, délais de conservation et nom du prestataire.
• Vérifier le contrat SaaS : clause de sous-traitance conforme à l'art. 9 nLPD, obligation de notification de violation dans les 72 heures, localisation des serveurs (transfert hors Suisse → vérifier équivalence selon liste PFPDT).
• Documenter chaque validation humaine d'un score IA (date, identité du validant, justification de maintien ou de modification) pour démontrer l'absence de décision entièrement automatisée en cas de contrôle.
• Informer les collaborateurs par notice écrite intégrée au règlement du personnel : existence du système, logique générale, droit à la révision, coordonnées du responsable de la protection des données.

Un outil comme SynHR permet de centraliser ces obligations de traçabilité — registre des évaluations, historique des validations humaines, exports pour audit biais — sans multiplier les outils.

Sources

• Loi fédérale sur la protection des données (nLPD), RS 235.1 — Fedlex — Texte consolidé en vigueur depuis le 01.09.2023, incluant les art. 21 (décisions automatisées), 22 (AIPD), 60 (sanctions pénales).
• Loi fédérale sur l'égalité entre femmes et hommes (LEg), RS 151.1 — Fedlex — Base légale interdisant la discrimination salariale directe et indirecte, applicable aux évaluations de performance conditionnant le salaire.
• Conditions de travail et droit du travail — SECO — Ressources officielles sur la LTr, OLT 3 (protection de la personnalité, surveillance des travailleurs) et pratiques admissibles.
• Préposé fédéral à la protection des données et à la transparence (PFPDT) — Lignes directrices sur la nLPD, avis sur les décisions automatisées et liste des États tiers offrant une protection adéquate.
• Code des obligations (CO), art. 319–362 — Fedlex — Dispositions sur le contrat individuel de travail, protection de la personnalité (art. 328) et obligations de l'employeur.