RGPD et IA.
Ce qui s'applique
à votre entreprise.

Ce que dit le RGPD sur l'IA

Le RGPD s'applique à toute organisation établie dans l'Union qui traite des données personnelles. Il vise aussi les organisations situées hors de l'Union qui ciblent ou suivent des personnes se trouvant dans l'Union (article 3). Saisir dans un outil d'IA le nom d'un client, son adresse email ou un numéro de dossier est un traitement au sens du règlement. Votre entreprise en reste responsable, quel que soit l'outil.

Cinq règles du RGPD comptent particulièrement dès que l'IA entre dans le travail quotidien :

• Finalité : les données sont collectées pour une finalité déterminée et ne peuvent pas être réutilisées d'une manière incompatible avec elle (article 5). Un fichier client constitué pour la facturation ne devient pas, de lui-même, une matière première pour un outil d'IA.
• Minimisation : seules les données nécessaires à la tâche sont transmises (article 5). Pour reformuler un courrier, l'outil n'a pas besoin du nom du destinataire.
• Sous-traitance : sur une offre professionnelle, l'éditeur traite les données pour votre compte. Il est sous-traitant, et un contrat conforme à l'article 28 est obligatoire. Les éditeurs le proposent sous le nom de DPA (Data Processing Agreement). Sur un abonnement grand public, ce contrat n'existe en général pas : ce sont les conditions de l'éditeur qui s'appliquent.
• Transfert hors UE : si les données sont traitées hors de l'Union, notamment aux États-Unis, le transfert doit reposer sur un mécanisme prévu par le règlement. Ce peut être la décision d'adéquation de juillet 2023 (Data Privacy Framework) pour les entreprises américaines certifiées, ou des clauses contractuelles types (articles 45 et 46).
• Décision automatisée : une personne a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé lorsque cette décision produit des effets juridiques à son égard ou des effets comparables (article 22). Les exceptions sont limitées : nécessité pour un contrat, autorisation par la loi, consentement explicite. Refuser un crédit ou écarter une candidature sur la seule foi d'un score d'IA tombe sous cette règle.

Choisir une IA conforme au RGPD : ce qu'il faut vérifier

Nous ne publions pas de classement des outils. Les offres, les noms d'abonnement et les conditions des éditeurs changent plusieurs fois par an, et un tableau vieux de quelques mois induit en erreur. Nous vous donnons plutôt les quatre points à vérifier vous-même, dans les documents de l'éditeur, avant d'autoriser un outil sur des données clients.

Sur un abonnement individuel, même payant, qu'il s'agisse de ChatGPT ou d'un autre assistant, les conversations peuvent servir à entraîner le modèle selon le réglage du compte. Aucun contrat de sous-traitance ne lie en général l'éditeur à votre entreprise. Ces abonnements restent réservés aux usages sans donnée personnelle. Les données clients ne vont que sur une offre professionnelle qui répond aux quatre lignes du tableau. Nous recommandons de conserver la version du contrat en vigueur le jour où vous autorisez l'outil.

L'AI Act européen en bref

Le règlement européen sur l'intelligence artificielle (règlement 2024/1689) est entré en vigueur le 1^er août 2024 et s'applique par étapes. Il a été modifié par le règlement (UE) 2026/1744 du 8 juillet 2026, en vigueur depuis le 27 juillet 2026, qui a notamment reporté les obligations sur les systèmes à haut risque. Une entreprise qui utilise l'IA sans la développer est un « déployeur » au sens du texte. Voici ce qui la concerne :

• Maîtrise de l'IA, depuis le 2 février 2025 : l'article 4 demande de prendre des mesures pour favoriser le développement de la maîtrise de l'IA par le personnel. Depuis sa réécriture du 27 juillet 2026, le texte précise qu'il n'impose pas de garantir un niveau donné pour chaque personne. Nous détaillons ce que l'article 4 demande vraiment.
• Pratiques interdites, depuis le 2 février 2025 : notation sociale, techniques de manipulation, ou encore reconnaissance des émotions sur le lieu de travail, sauf raisons médicales ou de sécurité (article 5). Ce dernier point vise directement les employeurs.
• Transparence, depuis le 2 août 2026 : le fournisseur d'un système d'IA qui échange avec des personnes doit le concevoir pour qu'elles sachent qu'elles parlent à une IA, sauf si c'est évident, et l'entreprise qui se sert d'un outil d'IA pour produire un hypertrucage (deepfake) doit indiquer qu'il a été généré ou modifié par IA (article 50). Le règlement de juillet 2026 laisse aux fournisseurs d'outils génératifs mis sur le marché avant le 2 août 2026 jusqu'au 2 décembre 2026 pour marquer les contenus qu'ils produisent (article 50, paragraphe 2).
• Systèmes à haut risque, à partir du 2 décembre 2027, date fixée par le règlement de juillet 2026 (le 2 août 2028 pour l'IA intégrée aux produits de l'annexe I) : l'annexe III vise notamment le recrutement et la sélection des candidats, l'évaluation de la solvabilité des personnes physiques et la tarification en assurance vie et santé. Les banques, les assureurs et les services RH qui utilisent un outil de ce type auront des obligations de déployeur : supervision humaine, conservation des journaux, information des personnes concernées (article 26). La rédaction de courriers, la synthèse ou le tri d'emails n'en relèvent pas.

Anonymisation : plus difficile qu'il n'y paraît

Des données réellement anonymisées sortent du champ du RGPD : la personne ne peut plus être identifiée par aucun moyen raisonnablement susceptible d'être utilisé (considérant 26). Retirer un nom ne suffit presque jamais. Tant qu'un montant, une date ou un enchaînement de faits permet de retrouver la personne, la donnée est seulement pseudonymisée. Le RGPD continue alors de s'appliquer.

Nous traitons l'anonymisation en séance, sur vos propres types de documents : ce qu'il faut retirer, ce qu'il faut généraliser, et les documents pour lesquels on ne s'y fie pas. Dans plusieurs métiers, notre grille dit « jamais » et non « après anonymisation ». Une pièce de dossier d'avocat, un relevé bancaire ou un compte rendu patient restent identifiables même caviardés, parce que les faits suffisent à reconnaître la personne. Ces documents n'entrent pas dans un outil d'IA, anonymisés ou non.

Mise en conformité : par où commencer ?

Voici l'ordre que nous recommandons pour mettre l'usage de l'IA en conformité avec le RGPD :

• 1. Cartographier les usages actuels : qui utilise quel outil, sur quelles données. Posez la question sans sanction, sinon les usages restent cachés.
• 2. Choisir les outils autorisés selon les quatre points du tableau, et réserver les données clients aux offres professionnelles sous contrat.
• 3. Rédiger une charte IA selon la méthode des feux tricolores : vert pour l'usage libre, orange pour une validation avant usage, rouge pour ce qui n'entre jamais dans l'outil.
• 4. Former l'équipe au classement des documents, à l'anonymisation et au cadrage des demandes.
• 5. Documenter les traitements dans votre registre des activités de traitement (article 30), et vérifier si une analyse d'impact est nécessaire (article 35), par exemple pour des données de santé ou des décisions qui touchent des personnes.

Les étapes 2, 3 et 4 sont traitées dans nos formations par métier, d'une ou deux journées selon le métier, dans vos locaux. La première journée pose le cadre : la grille de classification appliquée à vos propres documents, l'anonymisation et le cadrage des demandes. Les participants repartent avec cette grille et une charte d'usage interne. Sur le choix des outils, nous vous donnons les limites de chacun sans prescrire d'achat. Le registre et l'analyse d'impact restent de votre ressort, ou de celui de votre délégué à la protection des données. L'effectif, le programme et le tarif figurent sur chaque page métier. Nous concevons et animons ces formations ; le volet administratif et le financement OPCO passent par FORM'RH, organisme de formation certifié Qualiopi (n° QUA24120006) au titre des actions de formation.