En bref
Avant d’utiliser l’IA avec des données de l’entreprise, posez trois questions : quelles données l’outil va-t-il traiter, que fait le fournisseur de ces données, et qui contrôle le résultat. Dès qu’il s’agit de données personnelles, le RGPD s’applique : finalité définie, données limitées au nécessaire, information des personnes, contrat avec le fournisseur. Le règlement européen sur l’IA ajoute des obligations, notamment de transparence. Ce guide donne les repères ; un cas particulier se vérifie avec un conseil juridique.
Pourquoi la question des données se pose-t-elle ?
Un outil d’IA travaille sur ce qu’on lui donne : des emails, des documents, des fiches clients, des comptes rendus. Ces contenus contiennent souvent des informations personnelles, commerciales ou confidentielles.
La question n’est donc pas seulement technique. Elle engage la responsabilité de l’entreprise envers ses clients, ses salariés et ses partenaires. La bonne nouvelle : les points à vérifier sont connus, et la plupart se règlent avant de démarrer.
Les trois questions à se poser d’abord
- 01
Quelles données l’outil va-t-il traiter ? Des données personnelles (noms, emails, informations sur des salariés), des données sensibles, des secrets d’affaires, ou seulement des contenus publics.
- 02
Que fait le fournisseur de ces données ? Où elles sont hébergées, combien de temps elles sont conservées, et si elles peuvent servir à entraîner ses modèles.
- 03
Qui contrôle le résultat ? Une personne relit-elle avant qu’une décision soit prise ou qu’un message parte ?
Ce que le RGPD demande
Dès qu’un traitement porte sur des données personnelles, le RGPD s’applique, avec ou sans IA. La CNIL en rappelle les principes ; pour un projet d’IA, les plus concrets sont :
- Une finalité définie : savoir à quoi sert le traitement, et ne pas utiliser les données à autre chose.
- La minimisation : ne transmettre à l’outil que les données nécessaires.
- L’information des personnes : les clients ou salariés concernés doivent savoir comment leurs données sont utilisées.
- Une durée de conservation limitée et connue.
- La sécurité : des accès réservés aux personnes qui en ont besoin.
La CNIL publie aussi des recommandations consacrées à l’intelligence artificielle, utiles pour les projets plus ambitieux.
Les conditions du fournisseur
Les offres d’IA ne se valent pas sur la question des données. Avant tout usage professionnel, vérifiez dans les conditions d’utilisation :
| Point à vérifier | Pourquoi |
|---|---|
| La réutilisation pour l’entraînement | Certaines offres peuvent réutiliser les contenus saisis ; d’autres l’excluent, ou permettent de le désactiver. |
| Le lieu d’hébergement | Un transfert de données personnelles hors de l’Union européenne doit être encadré. |
| La durée de conservation | Savoir combien de temps les contenus restent chez le fournisseur. |
| Le contrat de sous-traitance | Quand le fournisseur traite des données personnelles pour vous, ce traitement doit être encadré par un contrat. |
La CNIL rappelle ce dernier point sur sa page consacrée aux sous-traitants. Les offres destinées aux entreprises le prévoient en général ; les versions gratuites, grand public, beaucoup moins souvent.
Ce que change le règlement européen sur l’IA
Le règlement européen sur l’intelligence artificielle est entré en vigueur le 1er août 2024 et s’applique par étapes. Pour une PME qui utilise des outils d’IA, deux points méritent l’attention :
- La transparence : selon la Commission européenne, les obligations de transparence s’appliquent depuis août 2026. Elles prévoient notamment d’informer les personnes lorsqu’elles échangent avec un système d’IA.
- Les usages à haut risque : certains domaines, comme l’emploi ou l’éducation, relèvent d’obligations renforcées, applicables à partir du 2 décembre 2027 selon le calendrier publié par la Commission.
La plupart des usages courants en PME (trier des emails, résumer des documents, préparer des brouillons) ne relèvent pas du haut risque. Un outil qui aide à recruter ou à évaluer des personnes demande en revanche une analyse attentive.
Fixer des règles simples en interne
Une partie des risques vient d’usages spontanés : un salarié qui colle un contrat dans un outil gratuit pour le résumer. Quelques règles écrites suffisent souvent à les éviter :
- la liste des outils autorisés, et pour quelles données ;
- ce qui ne doit jamais être saisi dans un outil non validé ;
- qui valide les résultats avant qu’ils ne soient utilisés ;
- à qui signaler un doute ou une erreur.
Un exemple illustratif
Avant de lancer un projet : la liste de contrôle
- 01
Identifier les données concernées, et dire si elles sont personnelles.
- 02
Définir la finalité du traitement, par écrit.
- 03
Choisir l’outil sur ses conditions, pas seulement sur ses fonctions.
- 04
Encadrer le fournisseur par le contrat adapté.
- 05
Informer les personnes concernées.
- 06
Prévoir le contrôle humain et la façon de corriger une erreur.
Les erreurs les plus fréquentes
- utiliser une version gratuite grand public avec des données de clients ;
- ne pas lire les conditions d’utilisation de l’outil ;
- transmettre des fichiers entiers quand quelques champs suffisent ;
- oublier d’informer les clients ou les salariés concernés ;
- laisser l’IA prendre seule des décisions qui touchent des personnes.
À retenir
- Savoir quelles données l’outil traite, et ce que le fournisseur en fait.
- Le RGPD s’applique dès qu’il y a des données personnelles.
- Choisir une offre qui exclut l’entraînement sur vos contenus.
- Informer les personnes, y compris quand elles échangent avec une IA.
- Garder un contrôle humain, et des règles écrites en interne.
Mis à jour le .