Le RGPD s’applique à l’intelligence artificielle dès qu’un système traite des données personnelles, que ce soit pour l’entraîner, pour le faire fonctionner ou parce que des collaborateurs y saisissent des informations sur des clients ou des salariés. Pour une PME, la conformité tient en cinq mesures : une base légale par usage, une règle sur ce que les équipes peuvent saisir dans les outils, une analyse d’impact pour les usages à risque, l’information des personnes et un contrat avec le fournisseur de l’outil.
Ce guide décrit ce que la CNIL attend, ce qui s’ajoute avec le règlement européen sur l’IA, et le plan à mettre en place avant de généraliser ces outils dans l’entreprise.
L’essentiel
- Le RGPD s’applique intégralement à l’IA : aucune exception, aucun texte dérogatoire.
- Deux situations distinctes : utiliser un outil d’IA du marché (ChatGPT, Copilot, Gemini…) ou développer son propre système ; la première concerne presque toutes les PME.
- La CNIL a publié ses recommandations sur le développement de systèmes d’IA et des fiches pratiques sur l’usage des assistants en entreprise.
- Le règlement européen sur l’IA s’ajoute au RGPD sans le remplacer ; pour une PME utilisatrice, il impose surtout la transparence et la formation.
- La charte IA est le document qui rend tout cela opérationnel en interne.
Pourquoi le RGPD s’applique à l’IA
Le RGPD ne vise pas une technologie mais une opération : le traitement de données personnelles. Un système d’IA en réalise au moins une des trois suivantes.
- L’entraînement : le modèle apprend à partir de données qui peuvent contenir des informations sur des personnes.
- L’usage : un collaborateur saisit un e-mail client, un CV ou un compte rendu de réunion dans un assistant.
- La décision : le système trie des candidatures, note des clients ou déclenche une action à leur égard.
Dans chaque cas, les principes habituels s’appliquent : finalité déterminée, minimisation, base légale, information des personnes, sécurité, durée de conservation limitée et respect des droits. L’article le RGPD s’applique-t-il à l’IA ? détaille ce raisonnement.
Cas 1 : vos équipes utilisent des outils d’IA du marché
C’est la situation de la quasi-totalité des PME : des collaborateurs utilisent ChatGPT, Copilot, Gemini, un outil de transcription de réunions ou un assistant intégré à leur messagerie. Le risque principal n’est pas l’outil, mais ce qu’on y met.
Quatre règles couvrent l’essentiel.
- Choisir une version professionnelle dont le contrat exclut l’utilisation de vos données pour entraîner le modèle, et signer un contrat de sous-traitance conforme à l’article 28.
- Définir ce que l’on peut saisir : pas de données de santé, de données bancaires, de données de salariés nominatives ni de secrets d’affaires dans un outil grand public. Les versions d’entreprise élargissent le périmètre selon le contrat.
- Garder un humain dans la boucle pour toute décision qui concerne une personne : recrutement, évaluation, relation client.
- Informer les salariés et, lorsque l’outil traite leurs données, les clients, dans la politique de confidentialité et le registre.
L’article ChatGPT et RGPD traite le cas le plus fréquent, et ces règles trouvent leur place naturelle dans une gouvernance IA adaptée à la taille de l’entreprise.
Cas 2 : vous développez ou entraînez votre propre système
Un éditeur, une startup ou un service innovation qui entraîne un modèle sur des données personnelles entre dans le champ des recommandations que la CNIL a publiées sur le développement de systèmes d’IA. Elles répondent aux questions que le RGPD pose à chaque étape.
| Question du RGPD | Ce que la CNIL recommande |
|---|---|
| Quelle finalité ? | Définir une finalité déterminée dès la phase de développement, même si tous les usages ne sont pas encore connus |
| Quelle base légale ? | L’intérêt légitime est possible pour l’entraînement, à condition de le documenter et de mettre en balance les droits des personnes |
| Quelles données ? | Minimiser et, quand c’est possible, pseudonymiser ou utiliser des données synthétiques |
| Quels risques ? | Réaliser une analyse d’impact lorsque le traitement est à risque élevé, ce qui est fréquent en IA |
| Quelle information ? | Informer les personnes dont les données servent à l’entraînement, y compris lorsqu’elles sont collectées sur le web |
| Quels droits ? | Organiser l’exercice des droits sur les données d’entraînement et, dans la mesure du possible, sur le modèle lui-même |
| Combien de temps ? | Fixer des durées distinctes pour les données d’entraînement, le modèle et les journaux |
Ces recommandations s’articulent avec le privacy by design : la protection des données se décide au moment de concevoir le système, pas après sa mise en production. Pour les usages d’algorithmes de décision, l’article 22 du RGPD ajoute des garanties spécifiques.
Ce que le règlement européen sur l’IA ajoute
Le règlement sur l’intelligence artificielle, ou IA Act, est entré en vigueur le 1er août 2024 et s’applique par paliers. Il classe les systèmes selon leur risque : pratiques interdites, systèmes à haut risque soumis à des obligations lourdes, systèmes à risque limité soumis à une obligation de transparence, et tout le reste, libre.
Pour une PME qui utilise des outils du marché, trois obligations comptent : former les collaborateurs qui utilisent l’IA (obligation de « maîtrise de l’IA », applicable depuis le 2 février 2025), signaler aux personnes qu’elles interagissent avec une IA ou que le contenu est généré, et, si l’entreprise déploie un système à haut risque (tri de candidatures, scoring de crédit, gestion du personnel), respecter les obligations du déployeur : surveillance humaine, information des salariés, journaux. Le détail et le calendrier sont dans notre guide IA Act : obligations et calendrier pour une PME.
Le RGPD et l’IA Act se cumulent : le premier protège les personnes dont les données sont traitées, le second encadre le produit et son usage. Une analyse d’impact RGPD et l’analyse d’impact sur les droits fondamentaux prévue par l’IA Act peuvent être menées ensemble.
Le plan en cinq actions pour une PME
- Inventorier les outils d’IA réellement utilisés, y compris ceux que les équipes ont adoptés sans le dire : c’est souvent la découverte la plus utile de la démarche.
- Choisir et contractualiser une ou deux solutions professionnelles, et fermer les comptes gratuits pour les usages métier.
- Rédiger une charte IA : usages autorisés, données interdites, validation humaine, transparence, et ce que l’entreprise fait des résultats.
- Former les collaborateurs, en deux heures pour un usage d’assistant, davantage pour les métiers qui prennent des décisions avec l’IA.
- Documenter : ajouter les outils au registre des traitements, mettre à jour la politique de confidentialité et conserver la preuve des formations.
Ce que je constate en mission. Quand j’interroge les équipes d’une PME sur leurs usages de l’IA, la direction en connaît en général le tiers. Le reste, ce sont des comptes gratuits ouverts avec une adresse professionnelle, dans lesquels passent des devis, des contrats et des échanges clients. Le premier livrable d’une mission IA n’est donc ni une charte ni une formation, mais la liste honnête de ce qui existe déjà ; la charte vient ensuite, et elle est acceptée parce qu’elle autorise plus qu’elle n’interdit.
Thomas Blanc, DPO externalisé et formateur IA
Questions fréquentes
Peut-on utiliser ChatGPT avec des données clients ?
Avec une version professionnelle sous contrat qui exclut l’entraînement sur vos données, oui, dans la limite de la finalité annoncée aux clients et en excluant les données sensibles. Avec un compte grand public, non.
Faut-il une analyse d’impact pour chaque outil d’IA ?
Non. Elle est nécessaire quand l’usage présente un risque élevé pour les personnes : décisions automatisées, données sensibles, surveillance des salariés, profilage. Un assistant de rédaction utilisé avec une charte ne l’exige pas.
Le DPO doit-il être impliqué ?
Oui, et le plus tôt possible : il valide les contrats avec les fournisseurs, relit la charte et décide des analyses d’impact. Dans une PME sans DPO, un DPO externalisé remplit ce rôle dans le cadre de son abonnement.
Mettre l’IA de votre entreprise en conformité
Nous accompagnons les PME et les cabinets sur les cinq actions ci-dessus, de l’inventaire à la charte IA et à la formation IA des équipes, notamment en cabinet comptable. Un appel de 30 minutes permet de cadrer votre situation.
Sources
- CNIL – IA : comment être en conformité avec le RGPD (recommandations)
- Règlement (UE) 2024/1689 sur l’intelligence artificielle
- Règlement (UE) 2016/679 (RGPD), article 22
