Dans la même rubrique
« Protéger les données personnelles des travailleurs ne signifie pas nécessairement protéger les travailleurs ». Alors que les entreprises parlent de plus en plus d’IA respectueuses de la vie privée, ces solutions sont bien souvent un moyen de contournement, dénoncent les chercheurs de Data & Society, Power Switch Action et Coworker, auteurs du rapport Privacy Trap. Ces technologies peuvent leur permettre « de se conformer techniquement aux lois sur la confidentialité des données tout en exerçant sur leurs employés un contrôle qui devrait susciter de vives inquiétudes ». « Sans contrôle ni intervention proactive, ces technologies seront déployées de manière à obscurcir encore davantage la responsabilité, à approfondir les inégalités et à priver les travailleurs de leur voix et de leur pouvoir d’action ».
Les chercheurs et chercheuses – Minsu Longiaru, Wilneida Negrón, Brian J. Chen, Aiha Nguyen, Seema N. Patel, et Dana Calacci – attirent l’attention sur deux mythes fondamentaux sur la confidentialité des données, à savoir : croire que la protection des données sur le marché de la consommation fonctionne de manière similaire sur le lieu de travail et croire que renforcer la protection des informations personnelles suffit à remédier aux préjudices subis par les travailleurs suite à l’extraction de données. En fait, rappellent les chercheurs, les réglementations sur la protection des données personnelles reposent sur un cadre d’action fondé sur les droits individuels d’accès, de rectification et de suppression, et ne s’appliquent qu’aux données dites personnelles : les données anonymisées, dépersonnalisées ou agrégées ne bénéficient que de peu voire d’aucune protection juridique. Mais ces approches individualisées sont « cruellement » insuffisantes sur le lieu de travail, notamment parce que les travailleurs évoluent dans des conditions de pouvoir de négociations extrêmement inégales où l’exercice de leurs droits peut-être impossible et ils n’ont bien souvent pas le pouvoir de contrôler, voire même de percevoir, l’étendue de la surveillance dont ils sont l’objet. « Par conséquent, on observe une expansion sans précédent de la capacité des employeurs à collecter les données des travailleurs sans leur consentement explicite et à les utiliser à des fins de surveillance, de sanction et d’intensification de l’exploitation », comme par exemple quand les employeurs revendent ou transmettent les données des travailleurs à des tiers – comme l’expliquait par exemple la sociologue Karen Levy dans son livre sur la surveillance des routiers.
De l’instrumentalisation de la protection de la vie privée
Les technologies d’IA préservant la confidentialité (par exemple des techniques de chiffrement permettant de masquer les données lors de leur collecte, de leur traitement ou de leur utilisation), le développement des données synthétiques (qui servent à remplacer ou compléter des données réelles) et le calcul multipartite (des technologies permettant d’analyser les données de différents appareils ou parties, sans divulguer les données des uns aux autres), permettent désormais aux entreprises de se conformer aux cadres réglementaires, tout en accentuant la surveillance.
Les entreprises utilisent les données de leurs employés pour générer des profils détaillés, des indicateurs de performance… et manipulent ces informations à leur profit grâce à l’asymétrie d’information, comme le montrait le rapport de Power Switch Action sur Uber. Le développement du chiffrement ou de la confidentialité différentielle (ce que l’on appelle le marché des technologies qui augmentent la confidentialité, les Privacy-Enhancing Technologies (PET) est en explosion, passant de 2,4 milliards de dollars en 2023 à 25,8 milliards en 2033 selon des prévisions du Forum économique mondial) risquent d’ailleurs à terme de renforcer l’opacité et l’asymétrie d’information sur les lieux de travail, s’inquiètent les chercheurs, en permettant aux entreprises d’analyser des ensembles de données sans identifier les éléments individuels (ce qui leur permet de ne pas consulter les données des individus, tout en continuant à extraire des informations individuelles toujours plus précises). Le déploiement de ces technologies permettent aux entreprises de se dégager de leurs responsabilités, de masquer, voire d’obfusquer les discriminations, comme le disait la chercheuse Ifeoma Ajunwa ou comme l’explique la chercheuse Elizabeth Renieris dans son livre Beyond Data (MIT Press, 2023, non traduit et disponible en libre accès). Elle y rappelle que les données ne sont pas une vérité objective et, de plus, leur statut « entièrement contextuel et dynamique » en fait un fondement instable pour toute organisation. Mais surtout, que ces technologies encouragent un partage accru des données.
Uber par exemple est l’un des grands utilisateurs des PETs, sans que cela n’ait jamais bénéficié aux chauffeurs, bien au contraire, puisque ces technologies permettent à l’entreprise (et à toutes celles qui abusent de la discrimination salariale algorithmique, comme l’expliquait Veena Dubal) de réviser les rémunérations à la baisse.
Les chercheurs donnent d’autres exemples encore, notamment le développement du recours à des données synthétiques pour produire des conclusions statistiques similaires aux données réelles. Elles peuvent ainsi prédire ou simuler le comportement des employés sans utiliser ou en masquant les données personnelles. C’est ce que fait Amazon dans les entrepôts où il déploie des robots automatiques par exemple. Or, depuis 2019, des rapports d’enquêtes, comme celui du syndicat Strategic Organizing Center, ont montré une corrélation entre l’adoption de robots chez Amazon et l’augmentation des problèmes de santé des travailleurs dû à l’augmentation des cadencements.
Le problème, c’est que les lois régissant les données personnelles peuvent ne pas s’appliquer aux données synthétiques, comme l’expliquent les professeures de droit Michal S. Gal et Orla Lynskey dans un article consacré aux implications légales des données synthétiques. Et même lorsque ces lois s’appliquent, l’autorité chargée de l’application peut ne pas être en mesure de déterminer si des données synthétiques ou personnelles ont été utilisées, ce qui incite les entreprises à prétendre faussement se conformer en masquant l’utilisation réelle des données derrière la génération synthétique. Enfin, le recours aux données synthétiques peuvent compromettre les exigences légales d’explicabilité et d’interprétabilité. En général, plus le générateur de données synthétiques est sophistiqué, plus il devient difficile d’expliquer les corrélations et, plus fortement encore, la causalité dans les données générées. Enfin, avec les données synthétiques, le profilage pourrait au final être plus invasif encore, comme l’exprimaient par exemple les professeurs de droit Daniel Susser et Jeremy Seeman. Enfin, leur utilisation pourrait suggérer au régulateur de diminuer les contrôles, sans voir de recul du profilage et des mesures disciplinaires sans recours.
D’autres techniques encore sont mobilisés, comme le calcul multipartite et l’apprentissage fédéré qui permettent aux entreprises d’analyser des données en améliorant leur confidentialité. Le calcul multipartite permet à plusieurs parties de calculer conjointement des résultats tout en conservant leurs données chiffrées. L’apprentissage fédéré permet à plusieurs appareils d’entraîner conjointement un modèle d’apprentissage automatique en traitant les données localement, évitant ainsi leur transfert vers un serveur central : ce qui permet qu’une entreprise peut analyser les données personnelles d’une autre entreprise sans en être réellement propriétaire et sans accéder au détail. Sur le papier, la technologie du calcul multipartite semble améliorer la confidentialité, mais en pratique, les entreprises peuvent l’utiliser pour coordonner la consolidation et la surveillance des données tout en échappant à toute responsabilité. Ces technologies sont par exemple très utilisées pour la détection des émotions en assurant d’une confidentialité accrue… sans assurer que les préjudices ne soient réduits et ce, alors que, l’intégration des IA émotionnelles dans le champ du travail est complexifié par le règlement européen sur l’IA, comme l’expliquait un récent article du Monde.
Comment réguler alors ?
« Sans garanties proactives pour réguler les conditions de travail, l’innovation continuera d’être utilisée comme un outil d’exploitation », rappellent les chercheurs. « Pour inverser cette tendance, nous avons besoin de politiques qui placent la dignité, l’autonomie et le pouvoir collectif des travailleurs au cœur de nos préoccupations ». Et les chercheurs de proposer 3 principes de conception pour améliorer la réglementation en la matière.
Tout d’abord, supprimer le droit de surveillance des employeurs en limitant la surveillance abusive. Les chercheurs estiment que nous devons établir de meilleures règles concernant la datafication du monde du travail, la collecte comme la génération de données. Ils rappellent que le problème ne repose pas seulement dans l’utilisation des données, mais également lors de la collecte et après : « une fois créées, elles peuvent être anonymisées, agrégées, synthétisées, dépersonnalisées, traitées de manière confidentielle, stockées, vendues, partagées, etc. » Pour les chercheurs, il faut d’abord « fermer le robinet » et fermer « la surveillance illimitée », comme nous y invitaient déjà en 2017 Ifeoma Ajunwa, Kate Crawford et Jason Schultz.
Bien souvent, l’interdiction de la collecte de données est très limitée. Elle est strictement interdite dans les salles de pause et les toilettes, mais la collecte est souvent autorisée partout ailleurs. Il faut briser la « prérogative de surveillance de l’employeur », et notamment la surveillance massive et continue. « Lorsque la surveillance électronique intermittente du lieu de travail est autorisée, elle doit respecter des principes stricts de minimisation » (d’objectif et de proportionnalité pourrait-on ajouter pour rappeler d’autres principes essentiels de la protection des données). « Plus précisément, elle ne devrait être autorisée que lorsqu’elle est strictement nécessaire (par exemple, pour des raisons de conformité légale), lorsqu’elle affecte le plus petit nombre de travailleurs, qu’elle collecte le moins de données nécessaires et qu’elle est strictement adaptée à l’utilisation des moyens les moins invasifs ». Les chercheurs recommandent également d’informer les travailleurs de ces surveillance et de leur objectif et signalent l’existence de propositions de loi interdisant aux entreprises d’exiger de leurs employés des dispositifs de localisation ou le port permanent d’appareils de surveillance. Des propositions qui reconnaissent que la protection des données des travailleurs ne saurait se substituer à la protection de leur espace, de leur temps et de leur autonomie.
Enfin, ils recommandent de réduire voire d’interdire la vente de données et leurs exploitation à des tiers (sans développer cette proposition, hélas).
Le deuxième angle des propositions appelle à se concentrer sur les objectifs des systèmes, en soulignant, très pertinemment que « les cadres juridiques qui se concentrent sur les détails techniques ont tendance à désavantager les travailleurs, car ils exacerbent les asymétries de pouvoir » et surtout se concentrent sur des propositions qui peuvent être vite mises à mal et contournées par le déploiement de nouvelles technologies.
Les chercheurs recommandent de ne pas tant regarder regarder les intrants (la collecte de données ou leur anonymisation) et de se concentrer plutôt sur les « conséquences concrètes, intentionnelles comme imprévues, que ces systèmes produisent pour les travailleurs », comme l’instabilité des horaires, les mesures disciplinaires injustes, le stress, les cadences, ou la précarité de l’emploi… indépendamment des technologies utilisées ou du respect des normes de confidentialité. Par exemple, en interdisant la prise de décision automatisée dans certaines situations, comme le proposait déjà l’AI Now Institute en 2023 en demandant à établir des lignes rouges interdisant la surveillance émotionnelle ou la discrimination salariale algorithmique. Une loi fédérale pour la protection des travailleurs de la logistique par exemple interdit les quotas de cadencement inférieurs à la journée (88, 89) et charge l’administration de la sécurité et de la santé au travail (OSHA) de créer une norme dédiée suggérant l’intérêt à autoriser les organismes de réglementation existants à actualiser et améliorer les protections depuis les données. Un projet de loi sur la sécurité des emplois de la ville de New York interdit par exemple expressément aux employeurs de licencier des travailleurs sur la base de données issues de technologies biométriques, de technologies de géolocalisation, d’applications installées sur les appareils personnels et d’enregistrements effectués au domicile des employés. « L’un des avantages des approches politiques qui restreignent clairement certaines pratiques des employeurs est leur lisibilité : elles n’obligent pas les travailleurs ou les autorités de réglementation à déchiffrer des systèmes de boîte noire. Ces lois permettent aux travailleurs de mieux reconnaître les violations de leurs droits », comme les lois sur la semaine de travail équitable qui protègent les travailleurs contre les modifications d’horaires sans préavis ni rémunération (voir ce que nous en disions déjà en 2020). « Plusieurs États et localités ont adopté ces lois en réponse à l’essor des pratiques de planification à flux tendu, où les employeurs, souvent à l’aide de logiciels basés sur les données, tentent d’optimiser les coûts de main-d’œuvre par le biais de modifications d’horaires très imprévisibles. Les protections liées à la semaine de travail équitable ne réglementent pas les détails techniques, comme les données intégrées à l’algorithme ; elles désamorcent plutôt le problème en obligeant les employeurs à indemniser financièrement les travailleurs pour les modifications d’horaires de dernière minute. Les lois sur les horaires équitables et les limites de cadencement illustrent la manière dont les régulateurs peuvent créer de nouveaux droits substantiels pour les travailleurs en élaborant de nouvelles réglementations sur le lieu de travail pour les préjudices induits par les nouvelles technologies, qui n’étaient auparavant pas reconnus par la loi. Ces types de politiques sont facilement applicables et ont un impact concret et direct sur les conditions de travail ». Mettre des limites aux cadences, était d’ailleurs une des propositions que nous avions mises en avant dans notre article sur la surveillance au travail.
Enfin, les chercheurs évoquent un troisième faisceau de règles visant à privilégier les politiques qui renforcent l’autonomie des travailleurs et limitent le pouvoir des entreprises en rééquilibrant les asymétries de pouvoir. « Pour renforcer le pouvoir des travailleurs à l’ère de l’IA, les décideurs politiques doivent reconnaître que le problème fondamental ne réside pas dans la protection de données spécifiques, mais dans la manière dont les nouvelles technologies en milieu de travail peuvent exacerber les asymétries de pouvoir et l’exploitation structurelle », comme l’expliquait le Roosevelt Institute. Ils invitent à ce que les décideurs politiques soutiennent des mécanismes qui renforcent la participation collective des travailleurs à toutes les étapes du développement et du déploiement des technologies en milieu de travail : comme ceux favorisant la négociation collective et ceux favorisant la participation des travailleurs à toutes les étapes du développement, du déploiement et des ajustements des systèmes d’IA. Ensuite, ils recommandent, notamment face à la sophistication des déploiements technologiques, de renforcer les pouvoir d’enquêtes et les capacités des agences du travail et des procureurs et d’imposer plus activement des mesures de transparence en proposant des sanctions proportionnées pour dissuader les abus (et notamment en sanctionnant les dirigeants et pas seulement les entreprises, comme le suggérait le rapport 2025 de l’AI Now Institute). Les chercheurs proposent d’établir un droit privé d’action permettant à une personne ou une organisation de poursuivre une entreprise ou un employeur individuellement comme dans le cadre d’un recours collectif. Ils recommandent également que dans les cas de surveillance ou de décision algorithmique, la charge de la preuve incombe aux employeurs et de renforcer la protection des lanceurs d’alerte comme le proposait la juriste Hannah Bloch-Wehba pour contrer le silence autour du fonctionnement des technologies par ceux qui les déploient. Les révélations éclairent le débat public et incitent à agir. Il faut donc les encourager plus efficacement.
Et les chercheurs de conclure en rappelant que les entreprises privilégient de plus en plus les profits aux personnes. Pour défaire cette tendance, « nous avons besoin de garanties ancrées dans des droits collectifs », renforcés. Nous devons traiter les travailleurs non pas comme des données, mais leur permettre de peser sur les décisions.
Ces propositions peuvent paraître radicales, notamment parce que le déploiement des technologies de surveillance au travail est déjà partout très avancé et nécessite d’exiger de faire marche arrière pour faire reculer la surveillance au travail. De réfléchir activement à une dénumérisation voire une rematérialisation… Ils nous montrent néanmoins que nous avons un lourd travail à réaliser pour humaniser à nouveau la relation de travail et qu’elle ne se brise pas sur des indicateurs abscons et défaillants laissant partout les travailleurs sans pouvoir sur le travail.
Hubert Guillaud
Le 18 novembre, les chercheurs de Data & Society responsables du rapport proposent un webinaire sur le sujet. Son titre : « mettre fin au pipeline de la surveillance via l’IA ».