IA, données et RGPD : ce qu’un dirigeant de PME doit vérifier

Table des matières

C’est le frein numéro un à l’adoption de l’IA dans les PME, et il est parfaitement légitime : que deviennent les données que l’on y confie ?

La bonne nouvelle, c’est que cette question se traite avec quelques vérifications simples, sans jargon juridique ni paralysie.

Voici l’essentiel de ce qu’un dirigeant doit connaître et vérifier.

Précision importante : cet article a une vocation informative. Il ne remplace pas un conseil juridique adapté à votre situation. En France, la référence publique sur ces sujets reste la CNIL.

La question que tout le monde se pose : puis-je y mettre des données clients ?

Réponse courte : pas dans un outil grand public non cadré ; oui, possiblement, dans un cadre vérifié. La différence ne tient pas à l’IA elle-même mais aux conditions d’utilisation, au paramétrage et au contrat qui l’entourent. Le même modèle d’IA peut être un risque via une version gratuite grand public, et un outil de travail acceptable via une offre professionnelle correctement configurée.

Le réflexe à installer dans l’équipe est donc simple : avant de saisir quoi que ce soit d’identifiant ou de confidentiel, savoir dans quel cadre on se trouve. Dans le doute, on anonymise ou on s’abstient.

Ce que deviennent les données dans les IA grand publicérences

Dans les versions gratuites ou grand public, selon les paramètres et les conditions d’utilisation, les données saisies peuvent être conservées et utilisées pour améliorer les services, voire entraîner les modèles. Concrètement, ce que vos équipes y saisissent peut sortir durablement du contrôle de l’entreprise.

Les offres professionnelles et entreprise proposent en général des engagements différents : non-utilisation des données pour l’entraînement, durées de conservation encadrées et paramètres d’administration. « En général » ne signifie pas « toujours » : ces engagements se vérifient dans les conditions contractuelles, pas dans la plaquette commerciale.

Deux gestes concrets sont à retenir : lire ce que l’on accepte, au moins les sections concernant les données, et paramétrer les options de confidentialité lorsqu’elles existent, plutôt que de conserver les réglages par défaut.

Les questions à poser à un fournisseur d'IA

 

Six questions permettent de faire le tour du sujet, et un fournisseur sérieux y répond sans détour.

  • Où les données sont-elles hébergées, et notamment sont-elles traitées dans l’Union européenne ?
  • Sont-elles utilisées pour entraîner ou améliorer les modèles, et peut-on s’y opposer ?
  • Quels sous-traitants interviennent dans la chaîne ?
  • Quelle est la durée de conservation, et comment obtient-on leur suppression ?
  • Un accord de traitement des données (le contrat qui encadre la sous-traitance au sens du RGPD) est-il fourni ?
  • Quelles certifications ou garanties de sécurité l’éditeur présente-t-il ?

Les réponses évasives à ces questions constituent déjà une information en soi, exactement comme avec n’importe quel prestataire : ce qu’on ne veut pas vous dire aujourd’hui, vous risquez de le découvrir à vos frais demain.

Les obligations RGPD en pratique

Le point important, souvent mal compris, est que l’IA ne crée pas un droit à part : elle s’inscrit dans les principes déjà applicables. Quatre obligations structurent son usage en entreprise.

Une base légale : traiter des données personnelles via une IA exige la même justification que pour tout autre traitement.

La minimisation des données : n’envoyer à l’outil que les informations nécessaires à la tâche. Dans bien des cas, décrire une situation suffit, sans communiquer les identités.

L’information des personnes : clients et salariés doivent être informés, dans les conditions prévues par le RGPD, de la manière dont leurs données sont traitées.

Enfin, la mise à jour du registre des traitements, dans lequel les usages significatifs de l’IA ont toute leur place, accompagnés de l’accord de sous-traitance signé avec le fournisseur.

Rien de tout cela n’est nouveau. Il s’agit simplement de considérer l’IA pour ce qu’elle est : un traitement de données parmi les autres, ni au-dessus ni en dessous des règles.

L'AI Act en deux mots pour une PME utilisatrice

Le règlement européen sur l’IA s’applique progressivement depuis 2025, et l’essentiel des obligations les plus importantes concerne les fournisseurs de systèmes d’IA, davantage que les PME qui utilisent des outils du marché. Trois points concernent toutefois directement un utilisateur professionnel.

La maîtrise de l’IA : les entreprises qui déploient des systèmes d’IA doivent veiller à ce que leurs équipes soient suffisamment formées à leur utilisation. C’est une obligation de bon sens, autant que réglementaire.

La transparence : dans certaines situations, les personnes doivent être informées qu’elles interagissent avec une IA ou qu’un contenu a été généré par une IA.

La vigilance sur les usages sensibles : certains cas, comme le tri de candidatures ou l’évaluation de personnes, relèvent de catégories soumises à des exigences renforcées. Avant de déployer une IA dans ces domaines, un examen approfondi est indispensable.

Le calendrier d’application étant progressif, il est important de vérifier les obligations en vigueur au moment de votre projet. Les ressources de la CNIL et de la Commission européenne constituent les références à consulter.

Utiliser l'IA sans s'exposer : les pratiques

Qui est responsable en cas de problème ?

Le principe à retenir est simple : votre entreprise reste responsable des données qu’elle traite, y compris lorsqu’elle utilise un outil d’IA.

Le fournisseur est, dans la plupart des cas, un sous-traitant au sens du RGPD. Il possède ses propres obligations, définies par le contrat, mais son intervention ne transfère pas votre responsabilité en tant que responsable de traitement.

D’où l’importance de deux verrous essentiels : le contrat avec le fournisseur (notamment l’accord de traitement des données et les engagements vérifiés) et l’organisation interne (qui valide les nouveaux usages de l’IA et qui tient le registre des traitements à jour).

La question de la responsabilité des décisions prises avec l’IA mérite d’ailleurs une réflexion spécifique, au-delà du seul traitement des données.

Prudence n'est pas paralysie

Le RGPD et l’AI Act n’interdisent pas l’IA aux PME : ils exigent de savoir ce que l’on fait, avec quels outils et dans quel cadre contractuel.

Quelques vérifications lors du choix de l’outil, une charte interne d’une page et des équipes correctement informées suffisent souvent à mettre en place un cadre de confiance en quelques jours. Une fois en place, ce cadre facilite l’usage de l’IA plutôt qu’il ne le freine.

Rappel important : cet article fournit des repères généraux, mais ne constitue pas un avis juridique adapté à votre situation.

Pour les cas particuliers (notamment les données de santé, les mineurs ou les traitements de volumes importants de données), il est recommandé de solliciter un professionnel du droit. La CNIL met également à disposition des ressources de référence accessibles pour accompagner les entreprises.

Questions fréquentes

Peut-on mettre des données clients dans une IA ?
Pas dans un outil grand public non cadré : les données peuvent y être conservées et réutilisées selon les conditions d’utilisation. C’est envisageable dans un cadre vérifié : offre professionnelle avec engagement contractuel de non-entraînement, hébergement identifié, accord de traitement des données signé, et paramétrage adapté.

Que deviennent les données saisies dans une IA grand public ?
Selon les paramètres et conditions d’utilisation, elles peuvent être conservées et servir à améliorer ou entraîner les modèles : elles sortent alors du contrôle de l’entreprise. Deux réflexes : lire les sections données des conditions acceptées, et paramétrer les options de confidentialité plutôt que garder les réglages par défaut.

Que demande le RGPD pour utiliser l’IA en entreprise ?
Les mêmes principes que pour tout traitement de données : une base légale, la minimisation (n’envoyer que le nécessaire, souvent sans identités), l’information des personnes concernées, le registre des traitements à jour et un accord de sous-traitance avec le fournisseur. L’IA ne crée pas de droit à part.

Qu’impose l’AI Act à une PME qui utilise des outils d’IA ?
L’essentiel des obligations pèse sur les fournisseurs. Côté utilisateur : veiller à la formation des équipes à un usage maîtrisé, respecter la transparence quand des personnes interagissent avec une IA, et redoubler de vigilance sur les usages sensibles comme le tri de candidatures. Calendrier progressif : vérifier l’état au moment du projet.