IA et RGPD en entreprise : ce qu'il faut savoir
Vos équipes collent déjà des e-mails clients, des CV ou des contrats dans ChatGPT. Le problème : la plupart ignorent que ces données personnelles peuvent partir sur des serveurs hors UE et servir à entraîner un modèle. Voici comment concilier IA et RGPD en entreprise, sans brider vos usages ni risquer une sanction CNIL.
L'IA est-elle compatible avec le RGPD ?
Oui, l'IA et le RGPD sont compatibles, à condition de respecter les mêmes règles que pour tout traitement de données : une base légale, une finalité claire, la minimisation des données et un encadrement des sous-traitants. Le RGPD ne vise pas l'IA en tant que technologie, mais l'usage que vous faites des données personnelles.
La CNIL l'a répété : rien dans le RGPD n'interdit d'utiliser l'intelligence artificielle. Ce qui compte, c'est ce que vous donnez à manger à l'outil et où ces données atterrissent.
Le risque n'est donc pas d'utiliser l'IA. Il vient d'un usage aveugle : coller des informations sensibles sans savoir qui les héberge, ni ce qu'elles deviennent ensuite.
Avant d'entrer dans le détail des obligations, un rappel utile : la conformité passe autant par les outils que par la formation de vos équipes à la maîtrise de l'IA, désormais exigée par l'AI Act.
Quand l'usage de l'IA relève-t-il du RGPD ?
Dès qu'un outil d'IA traite une donnée permettant d'identifier une personne, le RGPD s'applique. Un nom, un e-mail, un numéro de téléphone, un CV, un compte-rendu d'entretien ou même une adresse IP suffisent. À l'inverse, une donnée totalement anonyme échappe au règlement.
La frontière est plus large qu'on ne le croit. Un prénom associé à une fonction dans une PME peut suffire à identifier quelqu'un.
En pratique, dès que vous demandez à une IA de résumer un e-mail client, de trier des candidatures ou de rédiger une réponse à un prospect, vous traitez des données personnelles.
- Coordonnées de clients, prospects, salariés ou candidats
- CV, lettres de motivation, comptes-rendus d'entretien
- Échanges e-mail nominatifs collés dans un prompt
- Données de santé, opinions, situation financière (données sensibles, régime renforcé)
Peut-on utiliser ChatGPT avec des données personnelles ?
Oui, mais pas n'importe quelle version ni n'importe comment. La version grand public de ChatGPT peut réutiliser vos saisies pour améliorer le modèle et héberge les données hors UE. Pour un usage professionnel conforme, il faut une offre entreprise avec engagement de confidentialité et non-réutilisation des données.
La différence est décisive. Sur un compte gratuit, ce que vous tapez peut nourrir l'entraînement du modèle par défaut. Sur une offre Team, Enterprise ou via API, l'éditeur s'engage contractuellement à ne pas réutiliser vos données.
Concrètement : interdisez la version grand public pour les données clients ou RH, activez les bons réglages de confidentialité, et privilégiez les offres pro. C'est souvent le premier réflexe qui change tout.
Le même raisonnement vaut pour Gemini, Copilot ou Claude : ce n'est pas l'outil qui pose problème, c'est la version et son paramétrage.
Quelles données ne faut-il jamais mettre dans une IA grand public ?
Bannissez de tout outil grand public les données sensibles et confidentielles : santé, données bancaires, informations RH nominatives, secrets d'affaires, contrats non signés et fichiers clients complets. Sur une version non professionnelle, considérez qu'une donnée saisie peut être conservée et réutilisée.
La règle mentale à transmettre à vos équipes est simple : « Est-ce que j'écrirais ça sur une carte postale ? » Si la réponse est non, on ne le colle pas dans une IA grand public.
Quand la donnée est indispensable, on l'anonymise avant de l'envoyer : on remplace « Jean Dupont, diabétique » par « le client, patient chronique ».
- Données de santé, origine, opinions politiques ou religieuses
- Coordonnées bancaires, numéros de sécurité sociale
- Dossiers RH nominatifs et évaluations de salariés
- Secrets industriels, code source, stratégie commerciale
- Bases de données clients exportées telles quelles
Quelle base légale pour traiter des données via l'IA ?
Comme tout traitement, l'usage de l'IA doit reposer sur l'une des bases légales du RGPD : le consentement, le contrat, l'obligation légale ou l'intérêt légitime. En entreprise, l'intérêt légitime et l'exécution du contrat sont les plus fréquents, à condition de rester proportionnés et documentés.
Exemple : utiliser une IA pour rédiger une réponse à une réclamation client relève de l'exécution du contrat. Trier des CV reçus pour un poste relève de l'intérêt légitime du recruteur.
En revanche, réutiliser un fichier clients pour un usage nouveau et non prévu au moment de la collecte pose problème. Une donnée collectée pour une facture ne peut pas partir librement alimenter un outil d'analyse marketing sans réexamen.
L'éditeur d'IA est-il un sous-traitant au sens du RGPD ?
Oui, dans la plupart des cas. Quand un fournisseur d'IA traite des données personnelles pour votre compte, il devient un sous-traitant. Vous devez alors signer un contrat de sous-traitance (DPA) précisant les garanties, les finalités et la localisation des données, et l'inscrire à votre registre.
Beaucoup d'entreprises l'oublient : ajouter un outil d'IA revient à ajouter un sous-traitant, comme un hébergeur ou un logiciel de paie.
Vérifiez trois points avant d'adopter un outil : l'existence d'un accord de traitement des données (DPA), les garanties de sécurité, et la localisation des serveurs.
Beaucoup de grands modèles hébergent hors Union européenne. Un transfert de données hors UE reste possible, mais il exige un encadrement juridique spécifique que la formation vous apprend à repérer.
Faut-il réaliser une analyse d'impact (AIPD) ?
Une analyse d'impact relative à la protection des données (AIPD) est obligatoire lorsque le traitement par IA présente un risque élevé pour les personnes : profilage à grande échelle, données sensibles, décision automatisée affectant un individu. Dans le doute, la CNIL recommande de la mener.
Concrètement, un chatbot qui répond à des questions générales ne déclenche pas d'AIPD. Un système qui présélectionne automatiquement des candidats, si.
L'AIPD n'est pas une formalité punitive. C'est un exercice qui force à se poser les bonnes questions : quelles données, pour quoi, avec quels risques et quelles protections. Bien menée, elle protège autant l'entreprise que les personnes.
Comment mettre en place l'IA de façon conforme, en pratique ?
La conformité tient en quelques réflexes : choisir des offres professionnelles, encadrer les usages par une charte claire, former les équipes aux bons gestes, minimiser les données saisies et documenter le tout. La technique ne suffit pas ; c'est le comportement quotidien qui fait la différence.
Un cas parlant : un cabinet de 15 personnes a divisé par deux ses incidents de fuite de données en un mois, simplement en imposant une version pro et une charte d'usage. Aucun développement, juste des règles claires et une demi-journée de formation.
La formation reste le maillon décisif. Un outil parfaitement configuré ne protège rien si un collaborateur colle un fichier RH dans un compte gratuit à la maison.
- Établir une charte d'usage de l'IA connue de tous
- Autoriser une liste d'outils validés, interdire les versions grand public pour les données perso
- Anonymiser ou pseudonymiser avant de saisir une donnée
- Inscrire les outils d'IA au registre des traitements
- Nommer un référent et former les équipes régulièrement
Quel lien entre RGPD et AI Act pour les entreprises ?
Le RGPD protège les données personnelles ; l'AI Act encadre les systèmes d'IA eux-mêmes. Les deux se cumulent. Depuis février 2025, l'AI Act impose en plus de garantir la maîtrise de l'IA (« AI literacy ») par vos collaborateurs, ce qui rend la formation obligatoire.
Autrement dit, respecter le RGPD ne suffit plus. Une entreprise peut être irréprochable sur les données et pourtant en défaut sur l'obligation de compétence prévue par l'AI Act.
Pour tout comprendre de cette nouvelle obligation, ses échéances et les sanctions encourues, consultez notre guide complet sur la formation obligatoire à l'AI Act. C'est le point de départ pour cadrer une démarche conforme sur les deux plans à la fois.
Que risque-t-on en cas de non-conformité ?
Les sanctions du RGPD peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial. À cela s'ajoutent, depuis l'AI Act, des amendes spécifiques et surtout un risque réputationnel : une fuite de données clients via une IA mal utilisée entame durablement la confiance.
En pratique, la CNIL privilégie l'accompagnement avant la sanction lourde. Mais les mises en demeure existent, et une simple plainte de salarié ou de client peut déclencher un contrôle.
Le vrai coût est souvent invisible : temps perdu, image écornée, perte de contrats. Investir quelques jours de formation revient bien moins cher qu'un incident.
Questions fréquentes
Le RGPD interdit-il d'utiliser l'IA en entreprise ?
Non. Le RGPD n'interdit aucune technologie, y compris l'intelligence artificielle. Il encadre l'usage des données personnelles. Vous pouvez donc utiliser l'IA en respectant les mêmes principes que pour tout traitement : base légale, finalité, minimisation et encadrement des sous-traitants.
Peut-on mettre des données clients dans ChatGPT ?
Pas dans la version grand public, qui peut réutiliser vos saisies et les héberge hors UE. Pour un usage professionnel conforme, utilisez une offre Team, Enterprise ou l'API, où l'éditeur s'engage à ne pas réutiliser vos données, et anonymisez ce qui peut l'être.
L'IA utilise-t-elle mes données pour s'entraîner ?
Cela dépend de l'offre. Sur les versions gratuites grand public, vos saisies peuvent servir à entraîner le modèle par défaut. Sur les offres professionnelles, l'éditeur s'engage contractuellement à ne pas les réutiliser. Vérifiez toujours les conditions et les réglages de confidentialité.
Quelles données ne jamais saisir dans une IA grand public ?
Les données sensibles et confidentielles : santé, coordonnées bancaires, dossiers RH nominatifs, secrets d'affaires, contrats non signés et fichiers clients complets. Sur une version non professionnelle, partez du principe qu'une donnée saisie peut être conservée et réutilisée.
Un fournisseur d'IA est-il un sous-traitant RGPD ?
Oui, dès qu'il traite des données personnelles pour votre compte. Vous devez alors signer un contrat de sous-traitance (DPA), vérifier ses garanties de sécurité et la localisation des serveurs, puis l'inscrire à votre registre des traitements, comme tout autre prestataire.
Faut-il une analyse d'impact pour utiliser l'IA ?
Une AIPD est obligatoire quand le traitement présente un risque élevé : profilage à grande échelle, données sensibles ou décision automatisée affectant une personne. Un simple chatbot d'information n'en nécessite pas ; un tri automatique de candidatures, oui. Dans le doute, la CNIL recommande de la mener.
Comment anonymiser des données avant de les mettre dans une IA ?
Retirez tout élément identifiant avant la saisie : nom, prénom, e-mail, adresse, numéro de dossier. Remplacez-les par des termes génériques (« le client », « le candidat »). Une donnée réellement anonyme, impossible à ré-identifier, sort du champ du RGPD et peut être utilisée plus librement.
Quelle base légale pour traiter des données avec l'IA ?
Les mêmes que pour tout traitement : consentement, contrat, obligation légale ou intérêt légitime. En entreprise, l'intérêt légitime et l'exécution du contrat sont les plus courants, à condition de rester proportionnés, documentés et cohérents avec la finalité initiale de la collecte.
Quelle différence entre le RGPD et l'AI Act ?
Le RGPD protège les données personnelles ; l'AI Act encadre les systèmes d'IA eux-mêmes. Les deux se cumulent. L'AI Act ajoute notamment, depuis février 2025, l'obligation de garantir la maîtrise de l'IA par vos collaborateurs, ce qui rend la formation nécessaire.
Que risque une entreprise qui utilise l'IA sans respecter le RGPD ?
Les sanctions du RGPD peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial, auxquelles s'ajoutent les amendes de l'AI Act. Au-delà de l'amende, le risque majeur reste réputationnel : une fuite de données via une IA mal utilisée abîme durablement la confiance.
Former les équipes suffit-il à être conforme ?
La formation est indispensable mais se combine à d'autres mesures : outils professionnels, charte d'usage, minimisation des données et registre à jour. C'est le comportement quotidien qui fait la différence. Un outil bien configuré ne protège rien si un collaborateur contourne les règles.
Sécurisez l'usage de l'IA dans votre entreprise
Formation Qualiopi, finançable OPCO/FNE. Devis gratuit sous 24 h et étude de financement offerte.