IA et données
IA et RGPD : où mettez-vous vraiment les données de votre entreprise ?
Copier un fichier client dans un assistant IA prend trois secondes. Savoir où ces données partent, qui peut les lire et si elles servent à entraîner un modèle prend un peu plus de temps. C'est pourtant votre responsabilité de dirigeant.
Le vrai sujet : vous restez responsable
Au sens du RGPD, l'entreprise qui décide d'utiliser un outil d'IA pour traiter des données personnelles (clients, prospects, salariés) est responsable du traitement. L'éditeur de l'outil est en général sous-traitant. Si une donnée fuit ou est réutilisée sans base légale, c'est d'abord vers vous que se tourneront vos clients et l'autorité de contrôle.
La question n'est donc pas « faut-il utiliser l'IA ? » mais « dans quelles conditions ? ».
Où vont vos données quand vous utilisez une IA ?
Trois points à vérifier pour chaque outil :
- Le lieu d'hébergement et de traitement. Un transfert de données personnelles hors de l'Union européenne n'est possible qu'avec des garanties prévues par le RGPD : décision d'adéquation, clauses contractuelles types, ou autre mécanisme reconnu.
- La réutilisation pour l'entraînement. Selon les offres et les paramètres, les échanges saisis dans certains assistants grand public peuvent servir à améliorer les modèles. Les offres professionnelles prévoient généralement le contraire par contrat. Vérifiez-le, ne le supposez pas.
- La durée de conservation. Combien de temps l'éditeur garde-t-il vos conversations et fichiers, et pouvez-vous les supprimer ?
Les règles à poser dans l'entreprise
- Choisir des offres professionnelles avec un contrat de sous-traitance conforme à l'article 28 du RGPD (souvent appelé DPA), qui précise la finalité, la sécurité, la localisation et le sort des données.
- Minimiser. Ne transmettre à l'outil que ce qui est nécessaire. Un agent qui rédige une relance n'a pas besoin du numéro de téléphone ni de l'historique complet du client.
- Pseudonymiser quand c'est possible. Remplacer les noms par des identifiants avant d'analyser un fichier.
- Écrire une charte d'usage. Quels outils sont autorisés, pour quelles tâches, avec quelles données interdites (santé, données bancaires, informations confidentielles de clients).
- Tenir à jour le registre des traitements et y ajouter les usages de l'IA qui touchent des données personnelles. Pour un traitement susceptible d'engendrer un risque élevé, une analyse d'impact (AIPD) peut être obligatoire.
- Garder un humain dans la boucle pour toute décision qui produit un effet important sur une personne.
Et le règlement européen sur l'IA ?
Le règlement européen sur l'intelligence artificielle (AI Act) s'applique progressivement depuis 2025. Il classe les usages selon leur niveau de risque et impose notamment des obligations de transparence. Pour la plupart des usages courants d'une PME (rédaction, synthèse, automatisation de tâches administratives), les exigences restent limitées, mais certains usages, comme le tri de candidatures, relèvent de catégories encadrées. Il s'ajoute au RGPD, il ne le remplace pas.
Le bon réflexe : concevoir l'outil autour de vos données
Le plus sûr n'est pas d'interdire l'IA, c'est de décider en amont où vivent vos données et ce que chaque outil a le droit d'en voir. Une source de données unique, des accès définis par rôle, des agents qui ne lisent que ce dont ils ont besoin : la conformité devient une conséquence de la conception, pas une contrainte ajoutée après coup.
À retenir
Vous restez responsable des données que vous confiez à une IA. Offre professionnelle, contrat de sous-traitance, minimisation, charte d'usage et registre à jour : avec ces cinq points, l'IA devient un levier, pas un risque.
Cet article est une information générale. Pour un traitement sensible, appuyez-vous sur les recommandations de la CNIL et, si nécessaire, sur un conseil juridique.
Questions fréquentes
Peut-on utiliser ChatGPT avec des données clients ?
Seulement dans un cadre maîtrisé : offre professionnelle avec contrat de sous-traitance, données minimisées ou pseudonymisées, et usage inscrit au registre des traitements. Copier un fichier client complet dans un assistant grand public est à proscrire.
Les données saisies dans une IA servent-elles à l'entraîner ?
Cela dépend de l'offre et des paramètres. Certaines offres grand public peuvent réutiliser les échanges pour améliorer les modèles, tandis que les offres professionnelles l'excluent généralement par contrat. Il faut le vérifier dans les conditions de chaque outil.
Le RGPD interdit-il les transferts de données hors de l'UE ?
Non, mais il les encadre. Un transfert hors UE doit reposer sur une garantie prévue par le RGPD, comme une décision d'adéquation ou des clauses contractuelles types.
