RGPD IA PME : ce que dit vraiment la loi
Le RGPD ne s'oppose pas à l'usage de l'IA, mais il impose un cadre précis dès que des données personnelles sont traitées : base légale, minimisation des données, contrat avec le fournisseur d'IA, et surtout un droit à un contrôle humain lorsque l'IA prend une décision qui vous concerne. Ignorer ce cadre expose l'entreprise, pas seulement son prestataire IA.
- Le RGPD s'applique dès qu'une IA traite des données identifiant une personne — nom, email, numéro client, etc.
- Utiliser un outil d'IA externe (ChatGPT, Claude, Gemini...) fait de son éditeur un sous-traitant : un contrat encadrant cet usage est obligatoire.
- Si les données transitent par des serveurs hors Union européenne, des garanties supplémentaires sont requises.
- Une décision automatisée qui vous affecte significativement doit pouvoir être révisée par un humain (article 22 du RGPD).
- La responsabilité légale reste celle de l'entreprise qui utilise l'IA, pas seulement celle de l'éditeur du modèle.
L’arrivée de l’IA générative dans les entreprises soulève une question qui revient systématiquement : a-t-on le droit de faire lire nos données par une IA ? La réponse courte est oui — mais sous conditions précises. Le RGPD (Règlement Général sur la Protection des Données, en vigueur depuis 2018) ne fait aucune exception pour l’intelligence artificielle : dès qu’une donnée personnelle est traitée, ses règles s’appliquent, quel que soit l’outil utilisé.
1. Les principes de base ne changent pas avec l’IA
Le RGPD repose sur quelques principes simples, et l’IA ne les contourne pas :
– Une base légale : il faut un motif valable pour traiter la donnée (contrat, obligation légale, intérêt légitime, ou consentement selon les cas).
– La minimisation : on ne transmet à l’IA que les données strictement nécessaires à la tâche. Envoyer l’intégralité d’un dossier client à un outil d’IA pour une simple reformulation de texte n’est généralement pas justifiable.
– La finalité : une donnée collectée pour une raison précise ne peut pas être réutilisée pour l’entraînement d’un modèle tiers sans base légale distincte.
Concrètement, avant de brancher un agent IA sur un flux de données, la première question à se poser n’est pas « quel outil choisir », mais « ai-je le droit de traiter cette donnée de cette façon, et l’ai-je documenté ? »
2. Qui est responsable quand l’IA fait appel à un tiers ?
C’est le point le plus souvent négligé. Lorsqu’une entreprise utilise un outil d’IA — que ce soit directement (ChatGPT, Gemini) ou via un agent qui appelle une API de modèle de langage en arrière-plan — l’éditeur de ce modèle devient un sous-traitant au sens du RGPD (article 28). Cela impose :
– Un contrat de sous-traitance encadrant l’usage qui sera fait des données (durée de conservation, finalité, sécurité, interdiction de réutiliser les données pour entraîner le modèle sans accord explicite).
– Une vigilance particulière si les données transitent vers un pays hors Union européenne, ce qui est fréquent avec les principaux fournisseurs de modèles. Des garanties spécifiques (clauses contractuelles types, mécanismes d’adéquation reconnus par la Commission européenne) sont alors nécessaires — leur cadre exact évolue régulièrement, un point à vérifier avec un conseil juridique ou son DPO plutôt que de considérer un mécanisme comme définitivement acquis.
Important à retenir : la responsabilité légale reste celle de l’entreprise cliente, pas seulement celle de l’éditeur de l’IA ni de son intégrateur. Un contrat mal négocié ou une absence de vérification n’exonère personne en cas de contrôle.
3. RGPD IA PME : le droit à un contrôle humain sur les décisions automatisées
L’article 22 du RGPD donne à toute personne le droit de ne pas être soumise à une décision entièrement automatisée produisant des effets juridiques ou l’affectant de manière significative — refus de crédit, non-sélection à une offre d’emploi, résiliation automatique, etc. Dès qu’un agent IA peut avoir ce type d’impact, une intervention humaine réelle doit rester possible, pas symbolique.
C’est précisément la raison pour laquelle un agent IA bien conçu ne doit jamais être totalement autonome sur les décisions à fort enjeu : il doit pouvoir signaler les cas ambigus ou sensibles à une personne, qui valide ou corrige avant toute action définitive. Ce n’est pas seulement une bonne pratique technique — c’est une exigence légale dès que les effets sur la personne concernée sont significatifs.
Lexique
Responsable de traitement
L'entité qui détermine pourquoi et comment une donnée personnelle est traitée. C'est généralement l'entreprise qui utilise l'IA, pas son fournisseur.
Sous-traitant (au sens RGPD)
Toute entité qui traite des données personnelles pour le compte du responsable de traitement. L'éditeur d'un modèle d'IA externe entre dans cette catégorie dès qu'il traite des données personnelles transmises par l'entreprise.
Minimisation des données
Principe imposant de ne collecter et transmettre que les données strictement nécessaires à l'objectif poursuivi.
Clauses contractuelles types (CCT
Modèles de clauses validés par la Commission européenne, utilisés pour encadrer juridiquement un transfert de données personnelles hors de l'Union européenne.
Analyse d'impact relative à la protection des données (AIPD)
Étude obligatoire avant la mise en œuvre d'un traitement de données présentant un risque élevé pour les personnes concernées, souvent nécessaire pour les traitements par IA à grande échelle.
Décision automatisée (article 22 RGPD)
Décision prise sans intervention humaine significative, produisant des effets juridiques ou similaires importants sur une personne. Encadrée strictement par la loi.
Questions fréquentes
Q : Puis-je utiliser ChatGPT ou un autre outil d'IA grand public avec des données clients ?
Techniquement oui, mais avec prudence : il faut vérifier les conditions d'utilisation du service (certaines offres grand public autorisent la réutilisation des données pour l'entraînement, ce qui pose problème), s'assurer qu'un contrat adapté existe côté professionnel, et ne transmettre que le strict nécessaire. Beaucoup d'incidents viennent de collaborateurs qui collent des données sensibles dans un outil grand public sans cadre défini.
Q : Ai-je besoin d'un DPO (délégué à la protection des données) pour utiliser un agent IA ?
Cela dépend de la taille de votre structure et du volume/type de données traitées, pas de la seule présence d'IA. La désignation d'un DPO est obligatoire dans certains cas définis par le RGPD (organismes publics, traitement à grande échelle de données sensibles ou de suivi). En dessous de ces seuils, ce n'est pas une obligation, mais désigner un référent interne reste une bonne pratique dès qu'un agent IA touche des données personnelles.
Q : Que se passe-t-il si les données de mon agent IA transitent par un serveur situé hors de l'Union européenne ?
C'est autorisé, à condition que des garanties adaptées encadrent ce transfert (clauses contractuelles types ou autre mécanisme reconnu). C'est un point à vérifier précisément avec chaque fournisseur d'IA utilisé, car les règles et les mécanismes disponibles évoluent avec le temps.
Q : Un agent IA peut-il prendre seul une décision qui affecte un client ou un salarié ?
Pas s'il s'agit d'une décision à effet juridique ou significatif pour la personne concernée (article 22 du RGPD) : un contrôle humain réel doit alors rester possible. C'est pourquoi un agent bien conçu escalade les cas sensibles vers une personne plutôt que d'agir seul jusqu'au bout.