IA et RGPD : ce qu'une entreprise doit faire avant d'utiliser l'IA avec des données personnelles

À retenir

• Le RGPD s’applique dès que votre outil d’IA traite des données personnelles : noms de clients, emails, adresses de chantier, CV, notes de réunion. La taille de l’entreprise n’y change rien.
• Quand vous utilisez une IA dans votre activité, vous êtes le plus souvent responsable du traitement, et le fournisseur de l’outil est en général votre sous-traitant : il faut un contrat conforme à l’article 28 du RGPD.
• Chaque usage a besoin d’une finalité écrite et d’une base légale, s’ajoute au registre des traitements, et les personnes doivent en être informées.
• Si le fournisseur traite les données hors de l’Union européenne, le transfert doit être encadré.
• L’AI Act ne remplace pas le RGPD : selon la CNIL, il le complète, et les deux s’appliquent souvent ensemble.

Cette page s’appuie sur le texte du RGPD et sur les publications de la CNIL. Elle ne vaut pas avis juridique : z.ax conçoit et intègre des outils d’IA, nous ne faisons pas de conseil juridique. Si vous avez un délégué à la protection des données (DPO), associez-le dès le départ.

Pourquoi l’IA pose une question de données personnelles

Une donnée personnelle, c’est toute information qui permet d’identifier une personne, directement ou non. Un email de réclamation, une photo de chantier avec l’adresse, un devis au nom de M. Martin, un CV : tout cela en contient.

Quand ce contenu passe par un outil d’IA générative, trois choses se produisent :

1. les données quittent votre ordinateur pour les serveurs du fournisseur, parfois hors de l’Union européenne ;
2. selon les conditions d’utilisation, le fournisseur peut conserver l’historique, voire réutiliser les données pour améliorer ses modèles ;
3. la réponse produite peut être fausse tout en ayant l’air juste. La CNIL rappelle que ces systèmes ne sont pas des bases de connaissance : ils produisent la réponse la plus probable, d’où les « hallucinations ». Une information fausse sur une personne reste une donnée personnelle inexacte.

Le RGPD ne vous interdit pas d’utiliser l’IA. Il vous demande de savoir ce que deviennent les données et de l’avoir organisé avant.

Les six obligations, appliquées à un outil d’IA

1. Une finalité précise et une base légale

Chaque usage doit avoir un objectif écrit à l’avance : « trier les demandes reçues par le formulaire de contact », pas « tester l’IA ». Il lui faut aussi l’une des six bases légales de l’article 6 du RGPD. Pour une entreprise, trois reviennent presque toujours :

L’intérêt légitime n’est pas un passe-partout : plus l’usage est intrusif (analyser le comportement d’un client, évaluer un salarié), plus la mise en balance devient difficile.

2. La minimisation

Seules les données nécessaires. Pour rédiger une relance, l’IA n’a pas besoin du nom, de l’adresse et du téléphone du client : un modèle de relance peut être rédigé une fois, puis complété par votre logiciel. Pour analyser des réclamations, on peut remplacer les noms par des codes (c’est la pseudonymisation) avant l’envoi. Une intégration de l’IA bien construite fait ce tri automatiquement avant chaque appel au modèle.

3. Le contrat avec le fournisseur (article 28)

Quand un fournisseur traite des données pour votre compte, l’article 28 du RGPD impose un contrat qui précise notamment : l’objet et la durée du traitement, les types de données, les instructions que vous donnez, la confidentialité, les mesures de sécurité, le recours à d’autres sous-traitants, l’aide en cas de demande d’une personne et la suppression ou le retour des données à la fin.

En pratique, chez les grands fournisseurs, ce contrat est un document standard (souvent appelé « Data Processing Addendum ») attaché à l’offre professionnelle ou à l’API, rarement à l’offre gratuite grand public. C’est une raison de plus pour ne pas utiliser des comptes personnels. Vérifiez trois points : la réutilisation des données pour entraîner les modèles (désactivée ou non), la durée de conservation de l’historique, et la liste des sous-traitants ultérieurs.

4. Les transferts hors de l’Union européenne

Si les données sont traitées hors de l’UE, le transfert doit reposer sur l’un des outils prévus par le RGPD, comme le rappelle la CNIL : une décision d’adéquation de la Commission européenne pour le pays concerné, des clauses contractuelles types, ou une autre garantie appropriée. Pour les États-Unis, une décision d’adéquation couvre les entreprises certifiées dans le cadre du « Data Privacy Framework » ; elle fait l’objet de recours devant la justice européenne, d’où l’intérêt de suivre son statut. Choisir un fournisseur ou un hébergement situé dans l’UE évite la question.

5. L’information des personnes

Les articles 13 et 14 du RGPD imposent de dire aux personnes qui traite leurs données, pourquoi, sur quelle base, avec qui elles sont partagées (dont le fournisseur d’IA), s’il y a transfert hors UE, combien de temps elles sont gardées et comment exercer leurs droits. Concrètement : mettez à jour votre politique de confidentialité, et, pour un chatbot ou un formulaire, affichez l’information au moment de la collecte.

6. Le registre et la durée de conservation

L’usage « assistant IA » s’ajoute au registre des traitements, au même titre que le fichier clients ou la paie : quelles données, pour quel usage, quel fournisseur, quelle durée. N’oubliez pas l’historique des conversations, qui est lui aussi une conservation de données.

Quand faut-il une analyse d’impact (AIPD) ?

Une analyse d’impact relative à la protection des données est obligatoire pour les traitements susceptibles d’engendrer un risque élevé. La CNIL retient neuf critères issus des lignes directrices européennes : évaluation ou scoring (y compris le profilage), décision automatique avec effet légal ou similaire, surveillance systématique, données sensibles ou hautement personnelles, collecte à large échelle, croisement de données, personnes vulnérables, usage innovant (utilisation d’une nouvelle technologie), exclusion du bénéfice d’un droit ou d’un contrat. Un traitement qui remplit au moins deux critères doit en principe faire l’objet d’une AIPD.

Comme l’IA générative peut être considérée comme un usage innovant, un seul critère de plus suffit souvent. Exemples : une IA qui classe des candidatures (usage innovant + évaluation, et possible exclusion d’un droit) appelle une AIPD ; une IA qui résume vos procédures internes sans données de personnes, non.

Les recommandations de la CNIL pour déployer une IA générative

Partir d’un besoin concret. La CNIL déconseille de déployer un outil « sans but précis ». Mettre un assistant de rédaction à disposition des salariés présente moins de risques que d’utiliser l’IA pour aider à décider à l’égard de clients ou de candidats.

Choisir le mode de déploiement selon les données. La CNIL distingue le service grand public (envisageable pour des usages non confidentiels, avec des comptes professionnels dédiés et la réutilisation désactivée), l’hébergement distant ou cloud (avec un contrat de sous-traitance ; rien n’interdit aux petites entreprises une infrastructure mutualisée si les transferts et la sécurité sont encadrés), et le déploiement sur site, jugé généralement plus sûr pour des données de clients, de salariés ou des documents sensibles. Pour un accès par API, la CNIL souligne que la maîtrise du système est presque entièrement chez le fournisseur.

Encadrer par une charte. Une page qui liste les usages autorisés et interdits, par exemple : interdiction de saisir des données de santé, des coordonnées bancaires ou des informations couvertes par le secret des affaires dans un outil grand public.

Former les utilisateurs. Dans le cas général, l’entreprise répond des erreurs de ses salariés. Expliquer le fonctionnement et les limites du système rejoint l’obligation de favoriser la maîtrise de l’IA prévue par l’article 4 de l’AI Act.

Désigner un responsable. Le DPO s’il existe, sinon une personne clairement chargée du sujet. Dans une TPE, c’est souvent le chef d’entreprise.

Les agents IA qui agissent seuls

Un agent IA ne se contente pas de répondre : il lit, classe, envoie, met à jour un logiciel. En juillet 2026, la CNIL et le Conseil de l’IA et du numérique (CIANum) ont publié une note exploratoire sur l’IA agentique et les données personnelles. Elle pointe trois risques : la perte de maîtrise des personnes sur leurs données, la difficulté à retracer ce que l’agent a fait, et les déductions qu’il peut tirer des informations auxquelles il a accès. Conséquence pratique : des droits d’accès limités à ce dont l’agent a besoin, et un journal de chaque action.

Le RGPD et l’AI Act : deux textes qui s’ajoutent

Le RGPD protège les données personnelles, quel que soit l’outil. Le règlement européen sur l’IA (AI Act) encadre les systèmes d’IA selon leur niveau de risque. Selon les questions-réponses de la CNIL mises à jour le 17 août 2026, l’AI Act « ne remplace pas les exigences du RGPD » ; un même projet peut relever de l’un, de l’autre, des deux ou d’aucun.

Le calendrier, tel qu’il ressort de la version modifiée par le règlement « omnibus » entré en vigueur le 27 juillet 2026 :

Pour les systèmes à haut risque, la CNIL indique qu’une AIPD est présumée nécessaire. Le détail est sur notre page AI Act pour les entreprises.

Cas pratiques

Un artisan qui fait trier ses emails par l’IA. Base légale : intérêt légitime ou mesures précontractuelles pour les demandes de devis. À faire : contrat du fournisseur accepté, réutilisation désactivée, durée de conservation fixée, mention dans la politique de confidentialité. Plus d’exemples dans la rubrique artisans.

Un commerçant qui installe un chatbot sur son site. Information RGPD affichée dès la conversation, et mention que l’interlocuteur est une IA (AI Act). Ne pas demander plus que nécessaire pour rappeler le client. Voir chatbot pour site internet et la rubrique commerçants.

Une PME qui veut un assistant interne sur ses dossiers. Données clients ou RH : hébergement maîtrisé, droits d’accès par profil, pseudonymisation quand c’est possible, contrat précis. Voir assistant IA interne et assistant documentaire IA.

Une PME qui trie des candidatures avec l’IA. AIPD à prévoir, information des candidats, décision gardée par une personne, et anticipation de l’échéance du 2 décembre 2027.

Erreurs fréquentes

• Créer les comptes avec des adresses personnelles. La CNIL le déconseille : l’entreprise perd la main sur les données et les réglages.
• Utiliser l’offre gratuite pour des données clients. Le contrat de sous-traitance est rarement disponible sur ces offres.
• Coller un fichier client entier pour une tâche qui n’en demande qu’une ligne.
• Oublier les transferts hors UE dans le registre et la politique de confidentialité.
• Croire qu’un outil est « certifié RGPD ». La conformité dépend de votre usage.
• Laisser l’IA décider seule pour des personnes. L’article 22 du RGPD encadre les décisions entièrement automatisées produisant des effets juridiques ou similaires.

Par où commencer

1. Listez les outils d’IA utilisés dans l’entreprise, y compris ceux que les salariés ont installés eux-mêmes, et les données qu’on y met réellement.
2. Pour chaque usage : finalité, base légale, durée de conservation, puis inscription au registre.
3. Vérifiez contrats et réglages : réutilisation, historique, lieu de traitement, sous-traitants.
4. Comptez les critères d’AIPD pour les usages qui touchent des clients, des candidats ou des salariés.
5. Mettez à jour la politique de confidentialité et rédigez une charte d’une page.

Un audit IA permet de faire ce point en partant de vos usages réels. Si vous avez un projet précis, décrivez-nous les données concernées : nous vous dirons comment nous le construirions et quelles questions poser à votre conseil.