IA et RGPD : ce qu'une PME française doit vraiment respecter

C'est l'objection numéro un en réunion de direction, et elle est légitime. Elle est aussi souvent mal posée : l'IA ne crée pas un régime juridique à part. Ce sont les mêmes obligations que pour n'importe quel traitement de données personnelles.

Première question : y a-t-il des données personnelles ?

Le RGPD ne s'applique qu'aux données permettant d'identifier une personne physique, directement ou indirectement. Un nom, un email professionnel nominatif, un numéro de téléphone, un enregistrement de réunion : oui. Un chiffre d'affaires agrégé, une référence produit, un modèle de devis vierge : non.

Beaucoup de chantiers d'automatisation ne touchent aucune donnée personnelle. Vérifiez-le avant de déclencher un chantier de conformité inutile.

Les cinq obligations qui s'appliquent

1. Inscrire le traitement au registre

Toute PME doit tenir un registre des traitements. Ajouter une automatisation, c'est ajouter une ligne : finalité, catégories de données, destinataires, durée de conservation, mesures de sécurité. Un tableur suffit.

2. Identifier une base légale

Pour la plupart des usages internes : l'intérêt légitime (gérer sa relation client, traiter ses demandes entrantes) ou l'exécution d'un contrat. Le consentement n'est nécessaire que dans des cas précis — prospection, cookies non essentiels.

3. Déclarer le fournisseur d'IA comme sous-traitant

Si vous envoyez des données personnelles à une API d'IA, ce fournisseur est votre sous-traitant au sens de l'article 28. Il faut un accord de sous-traitance (DPA) — les fournisseurs sérieux en proposent un en libre accès.

4. Vérifier l'usage fait de vos données

C'est le point le plus important en pratique. Les offres grand public et les offres professionnelles n'ont pas les mêmes conditions.

Les conditions évoluent régulièrement. Vérifiez la politique en vigueur du fournisseur au moment de la mise en place, et refaites le point une fois par an.

5. Encadrer les transferts hors UE

La plupart des grands fournisseurs d'IA sont américains. Le transfert reste possible s'il est encadré : clauses contractuelles types, ou adhésion du fournisseur au cadre de protection des données UE–États-Unis. Vérifiez lequel s'applique et gardez-en la trace.

Certains fournisseurs proposent un hébergement en zone européenne. C'est le choix le plus simple à défendre quand le sujet est sensible — voir héberger ses données en France.

Les trois réflexes qui règlent 80 % du sujet

1. Minimiser. N'envoyez à l'IA que ce dont elle a besoin. Un compte rendu peut être résumé sans les noms de famille ; un devis peut être généré sans le numéro de téléphone du client.
2. Pseudonymiser quand c'est possible. Remplacer les noms par des identifiants avant l'envoi, les réinjecter après, se fait très bien dans une automatisation.
3. Interdire les offres grand public sur les données clients. C'est la règle la plus simple à faire respecter et celle qui évite le plus d'incidents.

Analyse d'impact : dans quels cas ?

Une analyse d'impact (AIPD) est requise pour les traitements susceptibles d'engendrer un risque élevé : profilage à grande échelle, décision automatisée avec effet juridique, données sensibles, surveillance systématique.

Résumer des comptes rendus internes ou générer des devis n'entre pas dans ces catégories. Scorer automatiquement des candidatures ou des dossiers de crédit, si. La CNIL publie une liste des traitements concernés.

Ce qu'il faut dire à vos clients

Votre politique de confidentialité doit mentionner les catégories de destinataires. Si un fournisseur d'IA traite des données de vos clients, il doit y figurer, avec le pays et la garantie encadrant le transfert. Une ligne suffit, mais elle doit être exacte.

Questions fréquentes