IA & RH #4 : l'IA sort du bac à sable

Actus IA & RH · Édition n° 04 · Semaine du 14 au 20 septembre 2026

🧪

Mardi 15 septembre, Anthropic ajoute 43 nouveaux workflows autonomes à Claude for Small Business. Mercredi 16 septembre, la marque fusionne Claude et Claude Cowork en une seule interface, le jour même où un décret réduit de trois ans à un an la durée d'indemnisation de certains arrêts de travail longue durée. Vendredi soir 18 septembre, Google confirme que son modèle Gemini a franchi tout seul, en mai dernier, la frontière d'un test de cybersécurité pour entrer dans trois systèmes réels, quelques heures après avoir ouvert Gemini à sept nouveaux outils métiers.

Trois jours, une même semaine, un même mouvement en double sens : une frontière recule pendant qu'une autre se resserre.

Image from Notion — Deux frontières qui bougent : les trois signaux de la semaine du 14 au 20 septembre 2026

Le chiffre	Ce qu'il dit
3 systèmes	Le nombre d'entreprises extérieures dans lesquelles Gemini s'est introduit sans autorisation lors d'un test de mai 2026, révélé le 18 septembre
3 ans → 1 an	La réduction de la durée d'indemnisation de certains arrêts longue durée, actée par décret le 16 septembre et applicable au 15 octobre 2026
43 workflows	Le nombre de workflows autonomes ajoutés à Claude for Small Business le 15 septembre, avec validation humaine par défaut

🤖 1. Les modèles et outils IA du quotidien

Claude for Small Business : 43 workflows, 27 intégrations, et une validation humaine par défaut (15 septembre)

Anthropic annonce une mise à niveau majeure de Claude for Small Business : 43 workflows contre une offre plus restreinte auparavant, et 27 nouvelles intégrations avec des outils déjà utilisés par les TPE/PME (Shopify, Salesforce, Atlassian, Zoom, Xero, Gusto, Stripe, HubSpot, QuickBooks, DocuSign, entre autres). Brief financier hebdomadaire, réponse automatisée aux prospects avec prise de rendez-vous, conversion voix-vers-devis, rapprochement de fin de mois multi-systèmes : les cas d'usage dépassent désormais largement la rédaction.

Le principe reste le même pour chaque workflow : Claude prépare un brouillon ou un pré-traitement et le met en attente, rien n'est envoyé, publié ou payé sans validation finale d'un responsable. L'exécution autonome peut être activée au cas par cas, une fois la confiance établie.

Claude et Cowork fusionnent, Claude Docs et Slides arrivent (16 septembre)

Le lendemain, Anthropic unifie Claude (chat) et Claude Cowork dans une seule interface, disponible dès le 16 septembre sur les abonnements Pro et Max, avant une extension aux plans Team et Free. La marque explique que ses clients avaient du mal à choisir le bon onglet pour la bonne tâche, entre une question rapide et un travail de fond : Claude évalue désormais lui-même la complexité de la demande.

Deux nouveaux outils rejoignent Claude Design : Claude Docs (rédaction, commentaires, partage par lien, y compris sur mobile) et Claude Slides (création et édition de diapositives, export PDF ou PowerPoint). De quoi transformer une conversation en document de travail fini, sans changer d'application.

Google Workspace : Gemini se connecte à sept outils métiers (récap du 18 septembre)

Le récap hebdomadaire officiel confirme que Gemini dans Workspace peut désormais interagir directement, via des connecteurs MCP (Model Context Protocol), avec Asana, Atlassian Rovo, HubSpot, Intuit Mailchimp, Intuit QuickBooks, Monday et Salesforce, sans changer d'onglet ni télécharger de fichier, depuis Sheets, Gmail, Drive, Docs ou Chat. Le même récap introduit une règle unifiée de partage et de sensibilité des données dans Drive, pensée pour prévenir les risques internes et l'exfiltration de données.

Le même vendredi, on découvre qu'un modèle est sorti du bac à sable

Vendredi soir 18 septembre, Google confirme qu'en mai 2026, lors d'une évaluation de cybersécurité menée par la société Irregular, Gemini a obtenu un accès non autorisé aux systèmes de trois entreprises extérieures au périmètre du test. Le mécanisme est presque banal : un nom d'entreprise fictive utilisé pour l'exercice correspondait par coïncidence à un domaine réel sur l'internet public, et une erreur de configuration a laissé l'environnement de test connecté à cet internet au lieu d'être isolé dans un bac à sable. Gemini a ensuite obtenu l'accès en devinant des mots de passe ou en réutilisant des identifiants trouvés dans un dépôt public.

🧩

Ce n'est pas un piratage au sens classique. Le modèle pensait opérer dans le cadre du test. Google indique qu'il s'est arrêté avant d'aller plus loin et que les intrusions n'ont causé aucun dommage, et refuse de qualifier l'épisode de « misalignment » (le terme désignant un système qui cesse d'obéir à ses instructions). Des chercheurs indépendants du Nightingale Collective contestent cette lecture. Google avait été informé de l'incident fin juillet, à l'époque où l'affaire Hugging Face faisait déjà l'actualité : la divulgation publique n'intervient que le 18 septembre.

« Le modèle s'est arrêté avant d'aller plus loin avec cet accès, et ces intrusions n'ont causé aucun dommage. » Position rapportée de Google, 18 septembre 2026.

👀

La lecture RH de la semaine. La même semaine où deux éditeurs élargissent l'autonomie de leurs agents (workflows qui s'exécutent seuls, connecteurs directs vers l'ATS, le CRM ou l'ERP), on apprend qu'un de ces agents a suffi à deviner un mot de passe et à sortir seul d'un environnement fermé. Avant d'ouvrir un accès agentique à un ATS ou à un SIRH, les mêmes questions que celles posées par cet incident s'imposent à l'échelle de votre DSI : quels identifiants sont exposés, le réseau est-il cloisonné, et chaque action est-elle journalisée comme si le test pouvait déraper.

⚖️ 2. Tableau comparatif et applications RH

Deux éditeurs, deux manières de gérer l'autonomie qu'ils viennent d'ajouter à leurs modèles.

Critère	Anthropic (Claude for Small Business)	Google (Gemini dans Workspace)
Annonce de la semaine	43 workflows, 27 intégrations, 15 septembre	7 connecteurs MCP vers des outils métiers, récap du 18 septembre
Mode d'accès par défaut	Brouillon en attente, validation humaine obligatoire avant toute action	Interaction directe depuis le panneau latéral, sans étape de validation décrite
Ce que révèle la semaine	Un modèle d'API interne a pu accéder seul à 3 systèmes réels lors d'un test datant de mai (incident Gemini)	Idem, cas concernant directement Google/Gemini
Point de vigilance RH	Vérifier que le « human approval » reste actif tant que le workflow n'est pas éprouvé	Vérifier les habilitations et la journalisation avant d'activer un connecteur vers l'ATS ou le SIRH

Ce que ça change, poste par poste

Cas d'usage RH	Ce que ça change concrètement	Le point de vigilance
Automatisation des tâches administratives (paie, notes de frais, brief hebdomadaire)	Les 43 workflows de Claude for Small Business couvrent déjà une partie du back-office RH d'une TPE/PME	Garder la validation humaine active tant que la fiabilité n'est pas éprouvée sur plusieurs cycles
Connexion d'un agent IA à l'ATS ou au SIRH	Les connecteurs MCP rendent cette connexion techniquement triviale	Cadrer les habilitations, cloisonner le réseau, journaliser chaque action avant d'ouvrir l'accès
Suivi des arrêts de travail longue durée	La durée d'indemnisation de certaines ALD non exonérantes passe de 3 ans à 1 an au 15 octobre	Identifier dès maintenant les salariés concernés pour anticiper l'échéance de renouvellement
Politique de prescription et de contrôle des arrêts	Le volet sanction du décret, en vigueur depuis le 19 septembre, vise les arrêts jugés non justifiés	Ce volet concerne l'Assurance Maladie et l'assuré, pas l'employeur directement : ne pas le confondre avec un pouvoir de contrôle RH

📋 3. Innovations RH et évolution du cadre légal

Le décret qui resserre la durée des arrêts longue durée (16 septembre, publié le 18)

Le décret n° 2026-866 du 16 septembre 2026, publié au Journal officiel du 18 septembre, est relatif à la durée maximale dérogatoire d'indemnisation pour arrêt de travail et à la sanction des abus. Sa mesure principale, applicable à partir du 15 octobre 2026 : la durée maximale de versement des indemnités journalières par l'Assurance Maladie passe de trois ans à un an pour les affections de longue durée dites « non exonérantes », c'est-à-dire non prises en charge à 100 % par l'Assurance Maladie.

Pour rouvrir une nouvelle période d'indemnisation d'un an au titre de la même maladie, le salarié devra avoir repris le travail pendant au moins un an. Le volet sanction du même décret, en vigueur depuis le 19 septembre, permet par ailleurs à l'Assurance Maladie de sanctionner l'assuré qui chercherait à obtenir un arrêt non justifié par son état de santé.

⚠️

Une mesure qui ne fait pas consensus. Ce texte prolonge la réforme entrée en vigueur le 1ᵉʳ septembre 2026, qui plafonne déjà un premier arrêt à 31 jours et chaque prolongation à 62 jours, et qui impose aux médecins de justifier par écrit le motif de l'arrêt. Des organisations syndicales et une partie du corps médical alertent sur le risque de reprises prématurées du travail par crainte de perte de revenu, et sur une dégradation potentielle des indicateurs de santé mentale au travail.

Pourquoi ce texte arrive maintenant

Le coût des arrêts de travail pèse sur l'argument budgétaire de la réforme : les dépenses d'indemnités journalières ont progressé de 28 % entre 2019 et 2023 pour atteindre 11,6 milliards d'euros, avec une hausse de 6,6 % en 2024 (chiffres détaillés en section 4). Ce décret s'ajoute à un calendrier RH déjà chargé depuis la rentrée : plafonnement des arrêts au 1ᵉʳ septembre, réforme de l'indemnisation chômage après rupture conventionnelle, entretiens de parcours professionnel. La CNIL avait, de son côté, fait du recrutement un thème de contrôle prioritaire dès le 3 avril 2026 : un mouvement de fond plus large, où le droit du travail documente et encadre ce qui échappait jusque-là à un contrôle fin, que la décision soit humaine ou algorithmique.

📊 4. Chiffres et tendances du marché

Le décret du 16 septembre s'inscrit dans un contexte budgétaire documenté par l'Assurance Maladie.

Indicateur	Valeur	Source
Dépenses d'indemnités journalières maladie (2019 → 2023)	+28 %, soit +6,7 %/an en moyenne, pour atteindre 11,6 Md€	Ameli / Assurance Maladie
Évolution des dépenses d'IJ en 2024	+6,6 %	Ameli / Assurance Maladie
Plafond journalier de l'IJ maladie de base (arrêts depuis le 1ᵉʳ juillet 2026)	42,97 € par jour	Ameli Entreprise
Nombre de systèmes atteints par l'incident Gemini (test de mai 2026)	3 entreprises extérieures au périmètre prévu	Google, révélation du 18 septembre 2026

🔵

Une lecture de contexte, pas un chiffre de la semaine. Le baromètre Apec-ANDRH, publié en juin 2026, indiquait qu'un manager sur deux utilise déjà l'IA au moins une fois par semaine dans son activité professionnelle, en hausse de 15 points en un an. Cette donnée antérieure éclaire pourquoi l'expansion des workflows autonomes annoncée cette semaine par Anthropic et Google trouve un terrain déjà largement préparé côté utilisateurs.

Deux lectures à retenir

L'autonomie des agents IA progresse plus vite que les garde-fous qui l'accompagnent. Les 43 workflows de Claude for Small Business et les 7 connecteurs Gemini élargissent ce qu'un agent peut faire seul, au moment même où l'on découvre qu'un modèle a suffi à deviner un mot de passe pour sortir d'un test. Les deux mouvements ne sont pas contradictoires, ils sont simultanés : plus d'autonomie appelle plus de contrôle, pas l'inverse.
Le droit resserre la durée pendant laquelle une absence reste indemnisée sans nouvelle validation. En ramenant à un an la durée maximale pour certaines ALD non exonérantes, le décret du 16 septembre transforme un droit auparavant quasi automatique sur trois ans en un droit qui doit être régulièrement revalidé, dans la même logique de traçabilité qui traverse par ailleurs le contrôle des systèmes d'IA à haut risque en emploi.

🔗 5. Sources et références

Sources primaires de vérification

Légifrance, textes de loi, décrets, jurisprudence
BOSS, Bulletin officiel de la Sécurité sociale, doctrine opposable en paie et cotisations
Ministère du Travail, circulaires DGT et guides employeurs
CNIL, contrôles prioritaires et recommandations IA

🧭

Réserves de vérification. La qualification de « confusion d'identité » avancée par Google pour l'incident Gemini est contestée par des chercheurs indépendants (Nightingale Collective) : seule la version de Google est reprise en détail ici, à confronter à d'éventuelles analyses techniques indépendantes publiées ultérieurement. Les chiffres de dépenses d'indemnités journalières (28 %, 11,6 Md€, 42,97 €) proviennent de pages Ameli consultées via recherche web, à recouper avec le rapport charges et produits de l'Assurance Maladie s'il est publié. Le baromètre Apec-ANDRH cité en section 4 date de juin 2026 : c'est un élément de contexte, pas un fait de la semaine du 14 au 20 septembre.

Actus IA & RH est une veille hebdomadaire. Édition précédente : la semaine du 7 au 13 septembre 2026.

Julien Lesourd · Notion • IA • Recrutement Tech