IA et RGPD : que vérifier avant d’adopter un outil

Adopter un outil d’IA revient souvent à confier des données à un prestataire : emails, documents, informations clients. Entre l’IA et le RGPD, en entreprise, la question n’est donc pas « a-t-on le droit ? » mais « a-t-on vérifié les bons points avant de commencer ? ». Voici la checklist que nous passons avec les PME avant tout déploiement, appuyée sur le texte du RGPD et les publications de la CNIL. Elle ne constitue pas un conseil juridique et ne remplace pas l’avis d’un juriste ou de votre délégué à la protection des données, mais elle évite les oublis les plus courants.

Le point de départ : quelles données, pour quoi faire#

La CNIL recommande de partir d’un besoin concret, de définir une liste d’usages autorisés et interdits, et de choisir un système robuste et un mode de déploiement sécurisé, dans sa publication « Comment déployer une IA générative ? » (publiée le 18/07/2024, consultée le 15/10/2026).

Avant de regarder l’outil, répondez à deux questions :

• À quoi va-t-il servir ? Rédiger des emails, résumer des documents internes, trier des demandes clients : chaque usage implique des données différentes.
• Quelles données personnelles vont y passer ? Des noms et adresses de clients, des échanges avec des candidats, des données de santé ? Plus les données sont sensibles, plus les vérifications doivent être poussées.

Le principe de minimisation s’applique : si l’usage peut se faire avec des données anonymisées ou sans données personnelles, c’est la meilleure option.

IA et RGPD en entreprise : la checklist#

1. Le contrat de sous-traitance#

Quand un prestataire traite des données personnelles pour votre compte, il agit généralement comme sous-traitant au sens du RGPD. L’article 28 prévoit que vous ne fassiez appel qu’à des sous-traitants présentant des garanties suffisantes, et que le contrat précise notamment (texte de l’article 28 publié par la CNIL, consulté le 15/10/2026) :

• que le prestataire ne traite les données que sur vos instructions documentées ;
• que les personnes autorisées sont tenues à la confidentialité ;
• les mesures de sécurité mises en œuvre ;
• les conditions de recours à d’autres sous-traitants ;
• l’aide apportée pour répondre aux demandes des personnes concernées ;
• la suppression ou la restitution des données en fin de contrat ;
• la mise à disposition des informations nécessaires aux audits.

La CNIL rappelle, dans ses questions-réponses sur l’utilisation d’un système d’IA générative (consultées le 15/10/2026), que le recours à un système hébergé chez un tiers doit être sécurisé par un contrat de sous-traitance, qui précise les responsabilités et les accès autorisés aux données. En pratique, les éditeurs d’outils professionnels proposent un accord de traitement des données (souvent appelé DPA). Vérifiez qu’il existe, qu’il s’applique à l’offre que vous souscrivez, et lisez-le.

2. La réutilisation de vos données pour l’entraînement#

Demandez clairement si les données saisies peuvent servir à entraîner les modèles de l’éditeur. La CNIL invite à déterminer dans quelle mesure le prestataire est susceptible de réutiliser les données fournies, et à adapter l’usage en conséquence. Les réponses diffèrent selon les éditeurs et surtout selon les offres : nous résumons ce que publient Microsoft, Anthropic et OpenAI dans notre comparaison de ChatGPT, Claude et Copilot. La règle à retenir : privilégiez une offre professionnelle dont les conditions excluent cette réutilisation par défaut.

3. L’hébergement et les transferts hors de l’Union européenne#

Où les données sont-elles traitées et stockées ? Si elles sortent de l’Union européenne, le transfert doit être encadré. La CNIL explique, dans sa page sur les transferts hors de l’UE (consultée le 15/10/2026), que c’est possible à condition d’assurer un niveau de protection suffisant et approprié, en utilisant des outils juridiques comme une décision d’adéquation ou les clauses contractuelles types de la Commission européenne. Elle mentionne la décision d’adéquation des États-Unis adoptée le 10 juillet 2023, qui permet des transferts sous certaines conditions.

Vérifiez dans la documentation de l’éditeur : les régions d’hébergement disponibles, la liste de ses propres sous-traitants et le mécanisme de transfert utilisé.

4. La durée de conservation#

Combien de temps l’outil conserve-t-il les conversations, les documents envoyés et les journaux ? Peut-on la paramétrer ? Peut-on supprimer l’historique ? Fixez une durée cohérente avec l’usage, et appliquez-la.

5. La sécurité et les accès#

• Les comptes sont-ils gérés de façon centralisée par l’entreprise ?
• La double authentification est-elle disponible et activée ?
• Les droits d’accès aux documents sont-ils respectés par l’outil ?
• Que se passe-t-il quand une personne quitte l’entreprise ?

Ces points rejoignent ceux que nous détaillons pour sécuriser ses automatisations.

6. L’information des personnes et le registre#

Si l’outil traite des données de clients, de candidats ou de salariés, ces personnes doivent en être informées, par exemple dans votre politique de confidentialité.

Le traitement doit aussi figurer dans votre registre des activités de traitement (article 30 du RGPD). D’après la page de la CNIL sur le registre (consultée le 15/10/2026), l’obligation concerne tous les organismes, quelle que soit leur taille. Les entreprises de moins de 250 salariés bénéficient d’une dérogation, mais elle ne couvre pas les traitements non occasionnels (comme la gestion des clients et prospects), ni ceux qui présentent un risque ou portent sur des données sensibles ; la CNIL précise qu’en pratique elle est limitée à des cas très particuliers. Elle propose un modèle de registre adapté aux TPE et PME. Une fiche par usage d’IA suffit : finalité, catégories de données et de personnes, destinataires (dont l’éditeur), transferts hors UE, durée de conservation, mesures de sécurité.

7. L’analyse d’impact, si le risque est élevé#

L’article 35 du RGPD prévoit une analyse d’impact lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes (texte publié par la CNIL, consulté le 15/10/2026). C’est notamment à examiner pour un usage de l’IA dans le recrutement ou sur des données sensibles. Pour un assistant de rédaction utilisé sans données personnelles, ce n’est en général pas le cas, mais faites le point avec votre DPO ou votre conseil.

La checklist à imprimer#

• L’usage est défini et les données personnelles concernées sont identifiées.
• Les données sont minimisées (anonymisation quand c’est possible).
• Un accord de traitement des données (DPA) couvre l’offre souscrite.
• Les conditions excluent la réutilisation des données pour l’entraînement, ou ce point est accepté en connaissance de cause.
• Les régions d’hébergement et le mécanisme de transfert hors UE sont connus.
• La durée de conservation est paramétrée.
• Les comptes sont centralisés, avec double authentification.
• L’information des personnes est à jour et l’usage figure au registre.
• La nécessité d’une analyse d’impact a été examinée.
• Les règles d’usage figurent dans une charte interne.

Et l’AI Act ?#

Le RGPD n’est pas le seul texte à connaître. L’AI Act ajoute ses propres obligations, différentes selon que vous développez ou utilisez l’IA. Pour une PME qui utilise des outils existants, retenez trois repères, tirés des pages de la Commission européenne consultées le 15/10/2026 :

• La maîtrise de l’IA (article 4) : les entreprises qui utilisent des systèmes d’IA prennent des mesures pour former leur personnel, sans niveau précis imposé depuis la modification entrée en vigueur à la mi-juillet 2026 (questions-réponses sur la maîtrise de l’IA).
• La transparence (article 50) : applicable à partir du 2 août 2026, elle impose notamment à l’entreprise utilisatrice de signaler les contenus truqués qu’elle diffuse (FAQ sur l’AI Act).
• Les systèmes à haut risque (par exemple certains usages dans l’emploi) : leurs règles s’appliqueront à partir du 2 décembre 2027, selon la même FAQ.

Nous revenons sur le contrôle humain exigé pour les systèmes à haut risque dans notre article sur l’humain dans la boucle.

Conclusion#

Vérifier un outil d’IA au regard du RGPD demande un peu de méthode, et ce temps est bien investi : contrat, entraînement, hébergement, conservation, accès, information des personnes et registre. Avec cette checklist, vous savez quelles questions poser à l’éditeur avant de signer.

Si vous voulez faire ces vérifications avec un regard extérieur, choisir les outils adaptés et poser les règles d’usage, c’est ce que nous proposons dans notre accompagnement en conseil.