Une infraction au RGPD expose une entreprise à une amende pouvant atteindre 20 millions d’euros ou 4 % de son chiffre d’affaires annuel mondial. Pour utiliser l’intelligence artificielle sans transformer chaque requête en risque juridique, une PME doit savoir quelles données transmettre, sur quelle base et avec quelles garanties.
IA et RGPD en entreprise : le cadre à appliquer
Le RGPD ne bloque pas l’usage de l’intelligence artificielle. Il encadre le traitement des données à caractère personnel, c’est-à-dire toute information permettant d’identifier directement ou indirectement une personne physique. Un nom, une adresse e-mail, un numéro client, une voix, une photographie, une adresse IP ou un historique d’achat entrent dans ce périmètre.
Une entreprise reste responsable des données qu’elle introduit dans un assistant d’IA, même lorsque le service est fourni par un prestataire. Copier un fichier client dans une interface externe constitue un traitement de données. L’opération doit donc avoir une finalité définie, une base légale et des mesures de sécurité adaptées.
Les données purement techniques, statistiques ou anonymisées échappent au RGPD si aucune réidentification n’est raisonnablement possible. La simple suppression du nom ne suffit pas toujours. Un poste, une ville, un âge et un historique professionnel peuvent permettre de reconnaître une personne.
À retenir : utiliser une IA n’est pas interdit par le RGPD. En revanche, l’entreprise doit maîtriser les données transmises, leur usage par le fournisseur, leur lieu d’hébergement et leur durée de conservation.
Définir la base légale et la finalité avant tout traitement
Chaque usage associant IA et données personnelles doit reposer sur une base légale. Le choix dépend du contexte et ne doit pas être ajouté après le lancement du projet.
- L’exécution d’un contrat convient lorsque le traitement est nécessaire pour fournir le service demandé par le client.
- L’intérêt légitime couvre certains usages internes, sous réserve de vérifier que les droits des personnes ne sont pas excessivement affectés.
- Le consentement doit être libre, précis, éclairé et révocable. Il ne convient pas lorsque la personne n’a pas de véritable choix.
- L’obligation légale s’applique lorsque le traitement répond à une exigence réglementaire.
La finalité doit être claire. « Améliorer les performances grâce à l’IA » reste trop vague. « Résumer les comptes rendus de réunions commerciales afin de préparer les actions de suivi » décrit un objectif exploitable. Toute réutilisation pour entraîner un modèle, évaluer des salariés ou enrichir un profil commercial exige une nouvelle analyse.
Appliquer la minimisation des données dans les outils d’IA
Le principe de minimisation impose de transmettre uniquement les informations nécessaires. Un assistant chargé de reformuler un e-mail n’a pas besoin du nom complet du client, de son numéro de contrat ou de son adresse. Des termes neutres comme « le client », « le fournisseur » ou « le salarié » suffisent souvent.
Intelligence artificielleExemples d’intelligence artificielle en entreprise : 8 cas de PME françaises, anonymisésL’anonymisation supprime durablement le lien avec une personne. La pseudonymisation remplace les identifiants par des codes, mais une table de correspondance existe encore. Les données pseudonymisées restent donc soumises au RGPD.
Ce qu’une PME ne doit pas saisir dans un assistant grand public
Une règle interne simple consiste à interdire par défaut les contenus suivants dans les services d’IA grand public ou non validés :
- les fichiers clients nominatifs et les coordonnées personnelles ;
- les données de santé, de handicap, d’origine, de religion ou d’appartenance syndicale ;
- les CV complets, dossiers disciplinaires et évaluations individuelles ;
- les mots de passe, clés d’accès, données bancaires et pièces d’identité ;
- les contrats confidentiels, secrets de fabrication, marges et projets stratégiques ;
- les échanges couverts par une obligation de confidentialité.
Les secrets commerciaux sans donnée personnelle ne relèvent pas directement du RGPD. Leur transmission crée néanmoins un risque contractuel, économique et cyber. Une politique IA doit donc protéger à la fois les personnes et le patrimoine informationnel de l’entreprise.
Choisir un outil d’IA compatible avec le RGPD
Le choix d’un outil ne doit pas reposer uniquement sur ses performances. Une version gratuite destinée au grand public offre rarement le même niveau d’engagement qu’une offre professionnelle. Le contrat, les paramètres et l’architecture technique déterminent le niveau réel de protection.
| Option | Usage conseillé | Points à vérifier |
|---|---|---|
| Assistant grand public | Contenus publics, fictifs ou réellement anonymes | Réutilisation des requêtes, historique, conservation, localisation |
| Version entreprise | Usages professionnels encadrés | Absence d’entraînement sur les données, contrat de sous-traitance, gestion des accès |
| Solution hébergée dans l’UE | Données personnelles maîtrisées | Localisation de l’hébergement et des sauvegardes, accès du support |
| Modèle déployé dans un environnement privé | Données sensibles ou métiers stratégiques | Sécurité, maintenance, journalisation, maîtrise des administrateurs |
La mention « hébergé en Europe » ne règle pas tout. Le fournisseur, sa société mère ou ses équipes de support peuvent être établis hors de l’Espace économique européen. Il faut aussi vérifier les sauvegardes, les journaux techniques et les sous-traitants secondaires.
Encadrer la sous-traitance et les transferts hors Union européenne
Lorsqu’un fournisseur traite les données pour le compte de la PME, il agit généralement comme sous-traitant. Un accord conforme à l’article 28 du RGPD doit préciser les instructions, la confidentialité, la sécurité, la durée de conservation, la suppression des données et les conditions de recours à d’autres prestataires.
Un transfert hors de l’Espace économique européen nécessite un mécanisme juridique adapté : décision d’adéquation, clauses contractuelles types ou autre garantie prévue par le RGPD. Les clauses seules ne suffisent pas toujours. L’entreprise doit examiner les lois du pays destinataire et les mesures complémentaires, comme le chiffrement avec des clés conservées en Europe.
Les vérifications à adresser au fournisseur
- Les requêtes servent-elles à entraîner ou améliorer les modèles ?
- Où sont stockés les contenus, métadonnées et sauvegardes ?
- Combien de temps les données sont-elles conservées ?
- Quels sous-traitants interviennent dans le service ?
- Comment exercer un droit d’accès, de rectification ou d’effacement ?
- Quel délai de notification s’applique en cas de violation de données ?
Informer les personnes et maintenir un contrôle humain
Les clients, prospects et salariés doivent recevoir une information compréhensible sur l’usage de leurs données. La notice de confidentialité doit indiquer la finalité, la base légale, les destinataires, la durée de conservation, les transferts éventuels et les droits applicables.
Si une IA classe des candidatures, attribue un score de risque ou recommande une décision commerciale, l’entreprise doit expliquer la logique générale du traitement et ses conséquences. Une décision produisant un effet juridique ou un impact significatif ne doit pas reposer exclusivement sur un traitement automatisé, sauf exception prévue par le RGPD.
Le contrôle humain ne se résume pas à valider mécaniquement une réponse. La personne chargée de la revue doit disposer de la compétence, du temps et de l’autorité nécessaires pour corriger ou refuser la recommandation de l’IA.
Inscrire l’IA au registre et réaliser une analyse d’impact
Le registre des traitements décrit qui utilise les données, pourquoi, pendant combien de temps et avec quelles protections. Une petite entreprise de moins de 250 salariés n’est pas automatiquement dispensée. L’exception est limitée, notamment lorsque le traitement est régulier, présente un risque ou porte sur des données sensibles.
Intelligence artificielleQuelle est la meilleure agence IA pour le marketing en France ?Chaque usage structuré de l’IA impliquant des personnes doit apparaître dans le registre : transcription de réunions, assistance au recrutement, analyse des demandes clients, notation commerciale ou détection de fraude. La fiche doit identifier le fournisseur, les catégories de données, les destinataires, les transferts et les mesures de sécurité.
Une analyse d’impact relative à la protection des données, ou AIPD, s’impose lorsqu’un traitement présente un risque élevé pour les droits et libertés. Les signaux d’alerte incluent le profilage, la surveillance systématique, l’évaluation de salariés, le traitement massif de données sensibles, le croisement de fichiers et l’usage innovant à grande échelle.
Point de vigilance : une AIPD ne sert pas à justifier une solution déjà achetée. Elle doit intervenir assez tôt pour modifier le projet, réduire les données traitées ou renoncer à une fonction trop risquée.
Dix règles pratiques pour encadrer l’IA dans une entreprise
1. Cartographier les usages réels
Interrogez les équipes sur les outils employés, y compris les comptes gratuits ouverts sans validation. Listez les données saisies, les objectifs, les utilisateurs et les fournisseurs.
2. Classer les données
Créez trois niveaux simples : public, interne et confidentiel. Ajoutez une catégorie renforcée pour les données sensibles, financières, médicales ou relatives aux salariés.
3. Interdire les données à haut risque par défaut
Bloquez la saisie de données nominatives, secrets, identifiants et documents sensibles dans les assistants non approuvés. Formalisez cette règle dans une charte courte.
4. Privilégier l’anonymisation
Retirez les noms, coordonnées, références uniques et détails permettant une réidentification. Utilisez des exemples fictifs pour tester un prompt ou préparer un modèle de document.
5. Valider chaque fournisseur
Examinez le contrat, l’hébergement, la réutilisation des données, les sous-traitants, les mécanismes de transfert et les modalités de suppression avant d’autoriser l’outil.
6. Régler les paramètres de confidentialité
Désactivez l’entraînement sur les requêtes lorsqu’une option existe. Limitez l’historique, définissez une durée de conservation et imposez une authentification renforcée.
7. Contrôler les accès
Attribuez des comptes nominatifs selon les fonctions. Supprimez les accès lors d’un départ et révisez régulièrement les droits des administrateurs et utilisateurs.
8. Documenter le traitement
Ajoutez l’usage au registre. Conservez l’analyse de la base légale, la fiche fournisseur, les consignes internes et, si nécessaire, l’AIPD.
9. Former les collaborateurs
Montrez des cas concrets : résumé d’un contrat, réponse à un client, analyse d’un CV ou compte rendu de réunion. Expliquez quelles données retirer avant toute transmission.
10. Prévoir les incidents et les contrôles
Définissez qui contacter lorsqu’une donnée confidentielle est envoyée par erreur. L’équipe doit pouvoir interrompre le partage, demander l’effacement, évaluer la violation et notifier l’autorité compétente sous 72 heures lorsque le risque le justifie.
