Utiliser l'intelligence artificielle dans une entreprise ne se résume pas à choisir un bon outil. Dès que des données personnelles circulent, le RGPD s'applique. Et depuis l'adoption du règlement européen sur l'IA, de nouvelles obligations s'ajoutent, notamment en matière de transparence.
Pas de panique : pour la plupart des usages d'une PME, les règles sont raisonnables et se respectent avec un peu de méthode. Voici les points à vérifier avant de vous lancer.
Cet article donne des repères généraux et ne constitue pas un conseil juridique. Pour une situation particulière, rapprochez-vous d'un juriste ou consultez les ressources de la CNIL.
Le RGPD s'applique dès qu'une donnée personnelle est traitée
Un nom, une adresse mail, un numéro de téléphone, un historique d'achat, un CV : ce sont des données personnelles. Dès qu'un outil d'IA les traite, que ce soit pour trier des mails, analyser des candidatures ou répondre à des clients, le règlement général sur la protection des données s'applique.
Les grands principes restent les mêmes que pour tout traitement :
- finalité : les données sont utilisées pour un objectif précis et légitime ;
- minimisation : on ne traite que les données nécessaires ;
- durée de conservation limitée ;
- sécurité adaptée au niveau de risque ;
- information des personnes concernées.
Point 1 : identifier les flux de données
Avant tout projet, posez-vous une question simple : quelles données vont être envoyées à quel outil, et où vont-elles ensuite ?
Un schéma des flux, même sommaire, permet de répondre à cette question. Il fait apparaître les outils concernés (messagerie, CRM, outil d'automatisation, API d'IA), les données qui circulent et les pays où elles sont traitées. C'est aussi un document précieux pour tenir à jour votre registre des traitements.
Point 2 : vérifier les sous-traitants
Le fournisseur de l'outil d'IA qui traite des données pour votre compte est généralement un sous-traitant au sens du RGPD. L'article 28 du règlement impose qu'un contrat encadre cette relation : objet du traitement, durée, mesures de sécurité, sort des données à la fin du contrat.
En pratique, les grands fournisseurs proposent un accord de traitement des données (souvent appelé DPA). Vérifiez qu'il existe et lisez les points clés, notamment ceux qui concernent la réutilisation des données.
Et dans votre entreprise ?
Diagnostic IA offert : 30 minutes, 3 tâches automatisables repérées.
Point 3 : la réutilisation des données pour l'entraînement
C'est une question essentielle avec l'IA générative : les données que vous envoyez peuvent-elles servir à entraîner ou améliorer les modèles du fournisseur ?
Les réponses varient selon les fournisseurs et surtout selon les offres : les versions professionnelles ou les accès par API prévoient souvent des conditions différentes des versions grand public gratuites. Vérifiez les conditions de l'offre que vous utilisez réellement, et activez les options d'exclusion quand elles existent.
Point 4 : le lieu d'hébergement
Si les données sont traitées hors de l'Union européenne, des règles spécifiques encadrent ces transferts. Lorsque c'est possible, privilégier un hébergement dans l'Union européenne simplifie la conformité, en particulier pour les données sensibles ou les documents internes.
C'est l'une des options que nous proposons systématiquement pour les assistants IA sur documents, qui indexent souvent des informations confidentielles.
Point 5 : l'analyse d'impact pour les traitements à risque
Certains traitements présentent un risque élevé pour les personnes : évaluation de salariés, profilage, traitement de données de santé à grande échelle, surveillance. Dans ces cas, l'article 35 du RGPD peut imposer une analyse d'impact relative à la protection des données (AIPD) avant la mise en œuvre.
Pour les usages courants d'une PME (tri de mails, rédaction assistée, chatbot d'information), ce n'est généralement pas le cas, mais la question doit être posée.
Ce que change le règlement européen sur l'IA
Le règlement (UE) 2024/1689, dit « AI Act », est entré en vigueur le 1er août 2024, avec une application progressive. Il classe les systèmes d'IA selon leur niveau de risque :
- les pratiques interdites (par exemple certaines formes de manipulation ou de notation sociale), dont l'interdiction s'applique depuis le 2 février 2025 ;
- les systèmes à haut risque (par exemple certains usages en recrutement, en éducation ou pour l'accès à des services essentiels), soumis à des exigences strictes ;
- les systèmes soumis à des obligations de transparence, comme les chatbots ou les contenus générés ;
- les autres usages, sans obligation spécifique au-delà du droit commun.
Le calendrier d'application de certaines obligations a fait l'objet de propositions d'ajustement par la Commission européenne : vérifiez les dates en vigueur au moment de votre projet.
La transparence des chatbots
Un système d'IA destiné à interagir avec des personnes doit être conçu pour que celles-ci sachent qu'elles échangent avec une IA, sauf si c'est évident. Pour un chatbot sur votre site, la solution la plus simple est un message clair dès l'ouverture de la conversation.
La maîtrise de l'IA par les équipes
Le règlement prévoit aussi, depuis le 2 février 2025, que les entreprises qui déploient des systèmes d'IA prennent des mesures pour assurer un niveau suffisant de maîtrise de l'IA (« AI literacy ») chez les personnes qui les utilisent. Une formation adaptée et une charte d'usage sont de bonnes réponses.
Attention aux usages RH
Utiliser l'IA pour trier des candidatures ou évaluer des salariés peut faire entrer le système dans la catégorie à haut risque. Ces usages demandent une analyse approfondie avant toute mise en place.
La liste de vérification
Avant de lancer un projet d'IA, vérifiez au minimum :
- Quelles données personnelles seront traitées, et sont-elles toutes nécessaires ?
- Quels outils et quels fournisseurs interviennent, et un accord de traitement existe-t-il ?
- Les données peuvent-elles être réutilisées pour l'entraînement, et l'option d'exclusion est-elle activée ?
- Où sont hébergées les données ?
- Les personnes concernées sont-elles informées (politique de confidentialité à jour) ?
- Le projet concerne-t-il un usage sensible (RH, santé, décision sur une personne) ?
- Les utilisateurs d'un chatbot sont-ils informés qu'ils échangent avec une IA ?
- Les équipes sont-elles formées aux bons usages ?
Gardez enfin une trace écrite de vos choix : outils retenus, paramètres activés, données exclues, personnes informées. En cas de question d'un client, d'un salarié ou de la CNIL, ce dossier simple montre que la conformité a été pensée dès le départ, et il facilite les mises à jour lorsque vous changez d'outil ou ajoutez un nouvel usage.
En résumé
Pour une PME, la conformité d'un projet d'IA repose sur quelques réflexes : savoir quelles données circulent et où, choisir des fournisseurs qui offrent des garanties claires, informer les personnes concernées et former les équipes. Ces vérifications font partie de chaque diagnostic que nous réalisons : le niveau de risque sur vos données est l'un des quatre points examinés lors des 30 minutes offertes.
Julien Moreau
Consultant en intelligence artificielle
Julien conseille les TPE et PME du Choletais sur leurs projets d'IA : repérage des tâches automatisables, choix des outils, mise en place et formation des équipes. Il rédige les guides pratiques du blog, avec un objectif simple : des explications claires, sans jargon ni promesse exagérée.
