Rédiger un courriel, résumer une réunion, reformuler une proposition commerciale : l’IA générative fait gagner un temps réel à vos équipes. Mais chaque texte collé dans un assistant conversationnel quitte votre système d’information pour être traité sur les serveurs d’un fournisseur. Si ce texte contient des données personnelles ou des informations confidentielles, votre entreprise reste responsable de ce qu’il en advient. Bonne nouvelle : quelques règles simples suffisent à réduire fortement les risques, sans renoncer aux usages de l’IA générative qui créent de la valeur en PME.
Important : cet article propose des repères généraux et ne constitue pas un conseil juridique. Pour une situation précise, rapprochez-vous de votre délégué à la protection des données (DPO) ou d’un avocat spécialisé.
Ce qui se passe réellement quand vous saisissez une donnée
Lorsque vous envoyez une requête (un « prompt ») à un outil d’IA générative, son contenu est transmis au fournisseur, traité, puis généralement conservé pendant une durée variable (historique, journaux techniques, contrôle des abus). Selon l’offre souscrite et les réglages choisis, ces échanges peuvent aussi servir à améliorer les modèles futurs.
Au regard du RGPD, dès qu’une donnée personnelle figure dans la requête (le nom d’un client, le courriel d’un candidat, la situation d’un salarié), vous réalisez un traitement de données personnelles. Votre entreprise doit alors pouvoir justifier d’une finalité, d’une base légale, d’une information des personnes concernées et de garanties suffisantes chez le prestataire. Un compte gratuit personnel ne coche aucune de ces cases.
Les données à ne jamais saisir sans cadre validé
Sans outil validé par l’entreprise, considérez que tout ce qui est saisi pourrait être lu, conservé ou réutilisé. Excluez donc systématiquement :
- les données personnelles identifiantes : noms, adresses, numéros de téléphone, courriels de clients, de prospects ou de salariés ;
- les données sensibles au sens du RGPD : santé, opinions politiques ou convictions religieuses, appartenance syndicale, orientation sexuelle, données biométriques, ainsi que les informations relatives aux condamnations et infractions ;
- les données RH : évaluations, salaires, arrêts maladie, CV de candidats ;
- les secrets d’affaires : stratégie, tarifs négociés, marges, projets de rachat, réponses à des appels d’offres en cours ;
- les documents confidentiels : contrats clients, pièces transmises sous accord de confidentialité ;
- les éléments techniques sensibles : mots de passe, clés d’API, configurations de serveurs, code source propriétaire non publié.
Pour la plupart des usages, il suffit de retirer les éléments identifiants : remplacez « Mme Martin, cliente à Alès, conteste sa dernière facture » par « une cliente conteste sa dernière facture ». La qualité de la réponse est souvent identique. Attention toutefois : remplacer un nom par une initiale ne rend pas une donnée anonyme si la personne reste identifiable par recoupement.
Offres grand public et offres entreprise : des garanties très différentes
Les principaux éditeurs proposent deux familles d’offres, dont la différence porte surtout sur le sort réservé à vos données. Pour comparer concrètement leurs tarifs et leurs garanties, consultez notre guide des offres et prix de ChatGPT pour les entreprises.
| Critère | Offres grand public (gratuites ou individuelles) | Offres entreprise ou professionnelles |
|---|---|---|
| Entraînement des modèles | Les conversations peuvent servir à améliorer les modèles, souvent avec une option de désactivation dans les réglages | En règle générale, engagement contractuel de ne pas utiliser vos données pour l’entraînement |
| Cadre contractuel | Conditions générales acceptées individuellement par l’utilisateur | Contrat d’entreprise et accord de traitement des données (article 28 du RGPD) |
| Hébergement | Localisation des serveurs rarement maîtrisée | Options d’hébergement des données dans l’Union européenne chez certains fournisseurs |
| Administration | Comptes individuels, aucune visibilité pour l’entreprise | Console d’administration, authentification unique, gestion des accès et des départs |
Ces tendances générales varient d’un éditeur à l’autre et évoluent fréquemment. Avant de déployer un outil, vérifiez dans la documentation en vigueur au moins quatre points :
- vos données servent-elles à entraîner les modèles, et ce réglage est-il verrouillé au niveau de l’organisation ?
- le fournisseur propose-t-il un accord de traitement des données conforme à l’article 28 du RGPD ?
- où les données sont-elles hébergées et traitées, et quel mécanisme juridique encadre d’éventuels transferts hors de l’Union européenne ?
- combien de temps les conversations et les fichiers sont-ils conservés, et peut-on les supprimer ?
Un salarié qui utilise son abonnement personnel pour des tâches professionnelles échappe à tout contrôle : fournir un outil validé est souvent le meilleur moyen de limiter cette « IA de l’ombre ».
Interdire l’IA ne protège pas vos données : cela déplace simplement les usages vers des comptes personnels que vous ne maîtrisez pas.
Rédiger une charte d’usage interne
Une charte d’usage de l’IA fixe un cadre clair, compréhensible par tous, qui protège autant l’entreprise que les collaborateurs. Deux ou trois pages bien construites valent mieux qu’un long texte que personne ne lit. Elle couvre généralement :
- les outils autorisés, avec les comptes à utiliser, et ceux qui sont proscrits pour un usage professionnel ;
- les données interdites, sous forme de liste concrète illustrée d’exemples propres à votre métier ;
- les usages encouragés et ceux qui exigent une validation préalable (décisions concernant des personnes, communication externe, documents contractuels) ;
- l’obligation de relecture humaine : l’IA peut se tromper avec aplomb, et la personne qui publie ou envoie le contenu en reste responsable ;
- le référent à contacter en cas de doute ou d’incident.
Une charte n’a de valeur que si elle est expliquée : une courte session nourrie de cas pratiques ancre mieux les bons réflexes qu’un envoi par courriel. C’est l’objet de nos formations à l’IA en entreprise, et notre article consacré à la manière de former vos équipes à l’IA détaille la démarche.
Astuce : intégrez à la charte trois ou quatre exemples de requêtes « avant / après » retrait des données sensibles, tirés de votre quotidien. Ce sont souvent les passages que les équipes retiennent le mieux.
Quand mener une analyse d’impact ?
L’analyse d’impact relative à la protection des données (AIPD) est exigée par l’article 35 du RGPD lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. L’usage ponctuel d’un assistant pour reformuler un texte sans donnée personnelle n’en relève pas. En revanche, elle mérite d’être sérieusement envisagée dès que l’IA s’intègre à un processus qui concerne des personnes, par exemple :
- le tri ou la présélection de candidatures ;
- l’analyse automatisée, à grande échelle, des courriels ou des appels de vos clients ;
- un assistant conversationnel public alimenté par vos bases clients ;
- toute évaluation ou notation de personnes, a fortiori lorsqu’elle conduit à des décisions à leur égard.
La CNIL publie une liste des types de traitements pour lesquels une AIPD est requise, ainsi qu’un outil gratuit pour la conduire. L’exercice consiste à décrire le traitement, évaluer sa nécessité, identifier les risques et documenter les mesures retenues.
Ce que recommande la CNIL
La CNIL publie des fiches pratiques et des recommandations sur l’intelligence artificielle, pour les organismes qui développent des systèmes d’IA comme pour ceux qui les utilisent. Plusieurs principes reviennent de façon constante :
- définir une finalité précise avant de traiter des données avec un outil d’IA ;
- minimiser les données en ne transmettant que ce qui est strictement nécessaire ;
- informer les personnes concernées et leur permettre d’exercer leurs droits, et encadrer les prestataires par contrat ;
- documenter les choix effectués, notamment dans votre registre des activités de traitement.
Ces recommandations étant régulièrement enrichies, consultez la rubrique consacrée à l’IA sur le site de la CNIL avant tout projet structurant.
AI Act : un calendrier d’application progressif
Le règlement européen sur l’intelligence artificielle, couramment appelé AI Act, est entré en vigueur le 1er août 2024. Il ne remplace pas le RGPD : les deux textes s’appliquent en parallèle. Son approche repose sur le niveau de risque des systèmes d’IA, et ses obligations entrent en application de manière échelonnée :
- février 2025 : interdiction de certaines pratiques jugées inacceptables, comme la notation sociale ou certaines formes de manipulation, et obligation pour les organisations de veiller à un niveau suffisant de maîtrise de l’IA chez les personnes qui utilisent ces systèmes ;
- août 2025 : obligations visant les fournisseurs de modèles d’IA à usage général, c’est-à-dire les grands modèles sur lesquels reposent les assistants du marché ;
- ensuite : la plupart des autres obligations, notamment celles qui concernent les systèmes à haut risque et la transparence, s’appliquent par étapes.
Ce calendrier peut faire l’objet d’ajustements : des propositions de report ou de simplification ont été discutées au niveau européen. Vérifiez donc les dates applicables auprès de sources officielles au moment où vous lisez ces lignes.
Pour une PME qui utilise des outils du marché, l’essentiel tient souvent en trois points : former les équipes, l’obligation de maîtrise de l’IA s’appliquant déjà ; informer les personnes qui interagissent avec un système d’IA ; vérifier qu’aucun usage ne relève d’une catégorie à haut risque, comme certains outils de recrutement.
En résumé
L’IA générative peut s’utiliser dans le respect du RGPD à condition de ne jamais y saisir de données personnelles ou confidentielles sans cadre adapté, de privilégier des offres entreprise assorties de garanties contractuelles, de fixer des règles claires dans une charte et de mener une analyse d’impact lorsque les enjeux le justifient. L’AI Act ajoute des obligations progressives, dont la formation des équipes. Ces repères ne remplacent pas l’avis d’un juriste.
Web Solutis accompagne les TPE, PME et collectivités dans une adoption de l’IA maîtrisée : choix des outils, paramétrage, charte d’usage et formation des équipes. Découvrez notre offre de conseil IA ou demandez un diagnostic pour faire le point sur vos usages.
