RGPD et IA générative : le guide de conformité pour les entreprises

Oui, dès qu’une donnée personnelle est traitée. Elle peut se trouver à trois endroits :

• Dans la requête : un nom de client collé dans un assistant, un e-mail à résumer, un compte rendu de réunion.
• Dans les documents auxquels l’IA a accès : CRM, dossiers clients, contrats, bases documentaires.
• Dans le résultat : une synthèse, un brouillon de réponse ou une fiche qui mentionne des personnes.

Dans la plupart des cas, l’entreprise qui utilise l’outil est responsable du traitement : c’est elle qui décide de la finalité et des moyens. Le fournisseur de l’outil agit le plus souvent comme sous-traitant, au sens de l’article 28 du RGPD, et doit être encadré par un contrat.

Le risque n’est pas théorique. Selon KPMG et l’Université de Melbourne, 48 % des salariés qui utilisent l’IA au travail y ont déjà versé des informations de leur entreprise via des outils publics. Une partie de ces informations concerne des personnes : clients, fournisseurs, partenaires.

Attention aussi à une idée reçue : remplacer un nom par un code ne suffit pas à sortir du RGPD. Des données pseudonymisées restent des données personnelles tant qu’il est possible de retrouver la personne. Seules des données réellement anonymisées échappent au règlement, et l’anonymisation d’un texte libre est difficile à garantir.

Pour chaque usage de l’IA qui implique des données personnelles, voici les points à vérifier, avec les articles du RGPD correspondants.

Ces questions ne sont pas propres à l’IA. Mais l’IA les rend plus pressantes, parce que les usages se multiplient vite et souvent hors de tout cadre.

Le choix de l’outil conditionne une grande partie de la conformité. Avec votre DSI et votre DPO, vérifiez au minimum :

• L’usage de vos données par le fournisseur : le contrat doit exclure l’entraînement des modèles sur vos données.
• L’hébergement : où les données sont traitées et stockées, et par quel prestataire. Pour les données les plus sensibles, un hébergement en France ou chez vous.
• La durée de conservation des requêtes et des résultats, et la possibilité de la régler.
• Les droits d’accès : chaque équipe ne voit que les documents qui la concernent, y compris au travers de l’IA.
• La traçabilité : les actions de l’IA et les validations humaines sont journalisées.
• La sécurité : authentification centralisée, chiffrement, cloisonnement. L’ANSSI a publié des recommandations de sécurité pour les systèmes d’IA générative, utiles pour cadrer ces choix.

Un outil choisi et configuré de cette façon est aussi la meilleure réponse au shadow AI : quand une solution sûre existe, les usages personnels reculent.

• Recenser les usages actuels, y compris les usages non déclarés : quels outils, pour quelles tâches, avec quelles données. Un questionnaire anonyme facilite des réponses sincères.
• Classer les données : publiques, internes, confidentielles, personnelles, sensibles. Chaque catégorie reçoit une règle d’usage claire.
• Retenir les outils autorisés avec la DSI et le DPO, et signer les contrats de sous-traitance adaptés.
• Écrire une charte d’usage courte : données autorisées, usages exclus, relecture obligatoire, qui contacter en cas de doute. Notre guide de la charte IA en donne la structure.
• Mettre à jour le registre des traitements et les mentions d’information.
• Mener une analyse d’impact pour les usages qui le demandent : traitement à grande échelle, données sensibles, personnes vulnérables, croisement de sources.
• Former les équipes sur leurs propres cas : ce qui peut être confié à l’IA, ce qui ne le peut pas, et pourquoi.
• Revoir le dispositif régulièrement, à chaque nouvel outil ou nouvel usage.

La CNIL a publié des premières précisions sur le déploiement de l’IA générative : partir d’un besoin identifié, encadrer les usages, choisir un système sécurisé, former, et mettre en place une gouvernance. C’est la même logique.

L’exactitude. Une IA peut produire une information fausse sur une personne. Le RGPD exige des données exactes : toute information générée doit être vérifiée avant d’être enregistrée dans un dossier ou un CRM.

Les droits des personnes. Accès, rectification, effacement, opposition : vous devez pouvoir y répondre aussi pour les données traitées au travers de l’IA. Cela suppose de savoir où elles se trouvent, d’où l’importance de la traçabilité.

Les décisions. L’IA prépare, une personne décide. Ce principe vous protège : une décision qui produit des effets juridiques ou significatifs pour une personne ne doit pas reposer uniquement sur un traitement automatisé.

Les données sensibles. Santé, opinions, données relatives aux infractions : elles relèvent d’un régime plus strict. Excluez-les par défaut des usages de l’IA, sauf cadre spécifique validé par le DPO.

Les résultats conservés. Une synthèse ou une fiche produite par l’IA qui mentionne des personnes devient elle-même une donnée personnelle. Elle suit les mêmes règles de conservation et d’accès que le dossier dont elle est issue.

Les connecteurs. Un agent relié au CRM ou à l’ERP élargit l’accès aux données. Les droits de l’agent doivent être limités à ce dont l’usage a besoin, et validés par la DSI.

Les deux règlements s’appliquent ensemble. Le RGPD dès qu’une donnée personnelle est traitée ; l’AI Act selon le niveau de risque de l’usage.

Depuis le 2 février 2025, l’article 4 de l’AI Act demande aux entreprises qui utilisent l’IA de veiller à un niveau suffisant de maîtrise de l’IA chez leur personnel. Depuis le 2 août 2026, les obligations de transparence s’appliquent : une personne qui échange directement avec une IA doit en être informée. Les usages listés à haut risque entraînent des obligations renforcées. Votre DPO reste votre premier interlocuteur ; notre guide sur l’AI Act en entreprise détaille le calendrier.

Nous intégrons la conformité dès la cartographie des opérations : pour chaque cas d’usage, les données en jeu, l’outil adapté, le besoin éventuel d’analyse d’impact, avec votre DSI et votre DPO. Nous aidons à rédiger la charte et formons vos équipes sur leurs cas réels. Nos outils sont conçus pour la sécurité : SOC 2 Type II, hébergement en France ou chez vous, aucun entraînement de modèles sur vos données, actions tracées.