IA & RGPD
IA et RGPD : déployer une IA conforme en entreprise.
L’IA générative traite beaucoup de texte — et ce texte contient presque toujours des données personnelles. Le RGPD s’applique dès la première requête. Cette page résume ce que cela implique pour une entreprise qui déploie une IA : les principes à tenir, qui porte la responsabilité, quand une analyse d’impact s’impose, et pourquoi une IA locale règle une grande partie du problème par construction.
Cette page présente des principes généraux, à titre d’information ; elle ne constitue pas un conseil juridique. Faites valider votre cadre par votre DPO ou votre conseil juridique. La référence reste la CNIL (cnil.fr).
Le problème
Pourquoi l’IA pose un problème RGPD.
Un outil d’IA ingère des documents entiers, conserve parfois ce qu’on lui confie, et fonctionne souvent à travers une chaîne de prestataires que l’entreprise ne voit pas. Quatre points de friction reviennent dans presque tous les projets.
Des données personnelles dans les prompts
Un e-mail client collé dans un assistant, un devis résumé, un CV analysé : chaque requête peut contenir des données personnelles. C’est alors un traitement au sens du RGPD, avec ses obligations — même si l’usage paraît anodin.
Des documents et des corpus d’entraînement
Le RAG indexe vos documents ; le fine-tuning apprend à partir de vos historiques. Si ces corpus contiennent des données personnelles, leur collecte, leur tri et leur conservation doivent être justifiés et encadrés.
Des transferts hors Union européenne
La plupart des assistants grand public sont opérés par des fournisseurs américains. Envoyer des données personnelles vers leurs serveurs constitue un transfert hors UE, qui exige un cadre juridique spécifique — et expose aux lois extraterritoriales du pays d’accueil.
Des sous-traitants et une conservation floue
Derrière une API se cachent souvent un hébergeur, un fournisseur de modèle, des outils tiers. Qui voit quoi, pendant combien de temps ? Sans réponse claire, impossible de tenir vos engagements de conservation et d’information.
Le « shadow AI » : quand vos équipes utilisent l’IA sans cadre →
Les principes
Ce que le RGPD demande à un projet IA.
L’article 5 du RGPD fixe les principes applicables à tout traitement de données personnelles. Rien de spécifique à l’IA : ce sont les mêmes règles, appliquées à un outil qui les met à l’épreuve plus que d’autres. Concrètement, pour un projet IA :
Licéité : une base légale
Chaque traitement repose sur une base légale — exécution d’un contrat, obligation légale, intérêt légitime, consentement… Pour un projet IA, cela se décide finalité par finalité : répondre à un client ne relève pas de la même base que profiler des prospects.
Finalité déterminée
On déploie l’IA pour un objectif précis et explicite : trier les demandes entrantes, extraire les lignes d’une commande. Réutiliser les mêmes données pour un tout autre usage demande une nouvelle analyse.
Minimisation
L’IA ne reçoit que les données nécessaires. En pratique : filtrer les champs superflus avant l’appel au modèle, pseudonymiser quand c’est possible, ne pas indexer des dossiers entiers « au cas où ».
Limitation de la conservation
Prompts, réponses, journaux, index vectoriels : chaque copie a une durée de vie définie. Il faut savoir où les données sont stockées et pouvoir les purger à l’échéance.
Sécurité
Accès maîtrisés, chiffrement, cloisonnement, traçabilité. Le modèle et les documents qu’il consulte sont protégés au même niveau que le système d’information qui les contient.
Transparence et information
Les personnes concernées sont informées de l’usage de l’IA sur leurs données : mention dans la politique de confidentialité, information des salariés si leurs données sont traitées.
Droits des personnes
Accès, rectification, effacement, opposition : le dispositif doit permettre de retrouver et de supprimer les données d’une personne — y compris dans les index et les journaux de l’IA.
Responsabilités
Qui est responsable ?
Le RGPD distingue deux rôles. Le responsable de traitement décide pourquoi et comment les données sont traitées : dans un projet IA, c’est votre entreprise. Le sous-traitant traite les données pour son compte et sur ses instructions : le fournisseur de modèle, l’hébergeur, ou le prestataire qui installe et maintient votre IA. Le responsable reste comptable du traitement même quand il le délègue — il choisit donc ses sous-traitants avec soin et encadre la relation.
Ce qu’un contrat de sous-traitance (DPA) doit couvrir
L’article 28 du RGPD impose un contrat écrit entre responsable et sous-traitant. Il prévoit au minimum :
- l’objet, la durée et la finalité du traitement, ainsi que les catégories de données et de personnes concernées ;
- l’obligation de ne traiter les données que sur instruction documentée du responsable ;
- l’engagement de confidentialité des personnes autorisées à accéder aux données ;
- les mesures de sécurité mises en œuvre ;
- le recours à des sous-traitants ultérieurs, soumis à votre autorisation ;
- l’assistance pour répondre aux demandes d’exercice des droits et aux violations de données ;
- la suppression ou la restitution des données à la fin de la prestation ;
- la possibilité de vérifier, y compris par audit, le respect de ces engagements.
Avec une IA cloud, cette chaîne est longue : fournisseur d’API, hébergeur de celui-ci, outils tiers, parfois hors UE — chacun avec ses propres conditions, que vous ne négociez pas. Avec un déploiement sur site, la chaîne se réduit à un maillon : GTEK intervient comme prestataire pour installer, adapter et maintenir l’IA sur votre serveur ; les données ne quittent pas votre infrastructure, il n’y a ni transfert ni sous-traitant ultérieur à documenter. Le contrat est simple parce que l’architecture l’est.
Analyse d’impact
Quand faire une AIPD ?
L’analyse d’impact relative à la protection des données (AIPD, ou DPIA en anglais) est prévue à l’article 35 du RGPD. Elle est obligatoire lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Elle n’est pas requise pour chaque projet IA — mais un projet IA remplit plus facilement les critères qu’un logiciel classique. Quelques signes qui doivent alerter :
Évaluation ou notation de personnes
Le système note, classe ou profile des individus : scoring de clients, tri de candidatures, prédiction de comportement.
Décisions automatisées à effet significatif
L’IA prend ou prépare des décisions qui touchent une personne — accès à un service, tarification, sanction — sans validation humaine réelle.
Données sensibles ou grande échelle
Santé, opinions, données biométriques, ou volumes importants de données personnelles concernant beaucoup de personnes.
Croisement de sources, technologie nouvelle
Combinaison de bases distinctes, usage d’une technologie innovante sur des données personnelles, personnes vulnérables (patients, mineurs, salariés).
Plusieurs critères réunis rendent l’AIPD quasi certaine ; un seul mérite déjà la question. La CNIL publie une liste de traitements pour lesquels elle est obligatoire, et une méthode pour la mener. Notre recommandation : impliquez votre DPO ou un expert dès le cadrage, avant de choisir l’outil. Menée en amont, une AIPD coûte quelques jours ; après coup, elle peut remettre en cause l’architecture.
IA locale
La conformité par construction.
La plupart des difficultés listées plus haut ont une cause commune : les données sortent de l’entreprise pour rejoindre un service qu’elle ne contrôle pas. Une IA locale — un serveur dans vos locaux, un modèle à poids ouverts, vos données sur vos disques — supprime cette cause au lieu d’en gérer les conséquences par contrat.
Localisation
Les données, le modèle, les index et les journaux résident sur votre serveur, dans vos locaux, en France. La question « où sont mes données ? » a une réponse physique.
Aucun transfert
Pas d’API externe, pas de serveurs hors UE, pas de droit étranger applicable. L’IA fonctionne même sans connexion Internet.
Contrôle des accès
Vous décidez qui peut interroger l’IA, sur quels documents, avec quels droits — en cohérence avec votre annuaire et vos habilitations existantes.
Journal d’audit
Chaque traitement est tracé : quelle demande, quelle source consultée, quelle réponse. Ce journal alimente le registre, les demandes d’accès et l’analyse d’un incident. Il trace l’activité du système, pas celle des personnes.
Conservation sous votre contrôle
Vous fixez la durée de vie des prompts, des réponses et des index, et vous pouvez purger un index ou en retirer une personne sur demande.
Cela ne dispense pas d’une gouvernance : base légale, finalité, information des personnes restent de votre ressort. Mais la moitié la plus difficile — transferts, sous-traitants, localisation — devient un non-sujet.
L’IA locale en entreprise → IA souveraine : le guide complet →
Entraînement
Entraîner une IA sur des données personnelles.
Adapter un modèle à votre métier (fine-tuning) à partir de vos historiques — e-mails, devis, tickets — n’est pas interdit par le RGPD. C’est un traitement à part entière, avec sa finalité, sa base légale et son exigence de minimisation : on trie, on pseudonymise, on écarte l’inutile avant d’entraîner. Le point sensible est la mémorisation : un modèle mal entraîné peut restituer des fragments de ses données d’entraînement. D’où deux règles chez GTEK : entraîner sur votre serveur, jamais dans un cloud tiers, et réserver aux données sensibles le RAG, qui consulte des sources maîtrisées sans les apprendre.
AI Act
L’AI Act en deux mots.
Le règlement européen sur l’intelligence artificielle (AI Act) complète le RGPD. Il ne réglemente pas les données mais les usages, selon une logique de risque : certaines pratiques sont interdites, les systèmes « à haut risque » (recrutement, accès au crédit, infrastructures critiques, par exemple) sont soumis à des obligations lourdes, et le reste relève d’obligations légères ou de simple transparence. La grande majorité des automatisations de back-office d’une PME — extraction de commandes, tri de demandes, préparation de réponses, rapprochement de documents — se situe dans les catégories à risque limité ou minimal.
Deux réflexes suffisent alors le plus souvent : documenter ce que fait le système, et garder une supervision humaine réelle. C’est le principe que GTEK applique à chaque automatisation : l’IA propose, une personne valide.
Checklist
Dix points pour une IA conforme.
- 01 Cartographier : quelles données personnelles entrent dans l’IA, d’où elles viennent, où elles vont.
- 02 Définir une finalité par cas d’usage, et la base légale correspondante.
- 03 Minimiser : filtrer, pseudonymiser, n’indexer que le nécessaire.
- 04 Choisir l’hébergement : en local ou dans l’UE de préférence ; en cas de transfert hors UE, un cadre juridique valide.
- 05 Encadrer chaque sous-traitant par contrat, et connaître ses propres sous-traitants.
- 06 Fixer les durées de conservation des prompts, réponses, journaux et index — et les appliquer.
- 07 Sécuriser : habilitations, chiffrement, journal d’audit, sauvegardes.
- 08 Informer les personnes concernées et mettre à jour le registre des traitements.
- 09 Prévoir l’exercice des droits (accès, effacement) jusque dans les index de l’IA.
- 10 Vérifier si une AIPD est nécessaire, et garder une validation humaine sur les décisions qui comptent.
Comparatif
IA cloud grand public vs IA locale GTEK.
| IA locale (GTEK) | IA cloud grand public | |
|---|---|---|
| Localisation des données | Sur votre serveur, dans vos locaux | Sur les serveurs du fournisseur, lieu rarement choisi par vous |
| Transfert hors UE | Aucun | Fréquent — nécessite un cadre juridique spécifique |
| Sous-traitants | Un seul : GTEK, prestataire d’installation et de maintenance | Chaîne de sous-traitants (fournisseur, hébergeur, outils tiers) aux conditions non négociables |
| Conservation | Durées que vous fixez, purge sous votre contrôle | Selon les conditions du fournisseur ; les offres grand public peuvent réutiliser les échanges |
| Journal d’audit | Complet, chez vous, exploitable pour le registre et les demandes d’accès | Partiel ou inexistant côté client |
| Droits des personnes | Effacement possible dans les index et les journaux | Dépend du fournisseur ; difficile à garantir de bout en bout |
Questions fréquentes
IA et RGPD : vos questions.
Peut-on utiliser ChatGPT avec des données clients ?
Pas sans cadre. Une version grand public envoie les données vers un fournisseur hors UE, sans contrat de sous-traitance adapté, et peut conserver les échanges. Les offres professionnelles apportent des garanties contractuelles, mais ne suppriment ni le transfert ni la dépendance. Pour des données clients, la voie la plus simple est une IA qui reste dans vos murs.
Une IA locale est-elle automatiquement conforme ?
Non. Elle règle par construction la localisation, les transferts et la chaîne de sous-traitants — la partie la plus lourde. Restent la base légale, la finalité, l’information des personnes, les durées de conservation et l’exercice des droits, qui relèvent de votre gouvernance. L’IA locale rend la conformité atteignable ; elle ne l’écrit pas à votre place.
Faut-il une AIPD pour automatiser la facturation ?
Rarement, si l’automatisation se limite à extraire et rapprocher des données de facturation, sans évaluation des personnes ni décision automatisée à leur encontre. La question se pose dès que l’outil note, classe ou décide pour des individus. Dans le doute, faites trancher votre DPO : c’est l’affaire de quelques heures.
Qui est responsable en cas de fuite ?
Le responsable de traitement — votre entreprise — reste comptable vis-à-vis des personnes et de la CNIL, avec notamment l’obligation de notifier une violation de données à la CNIL dans les 72 heures lorsqu’elle présente un risque. Le sous-traitant répond de ses propres manquements et doit vous alerter sans délai. D’où l’intérêt d’une chaîne courte : moins d’intermédiaires, moins de zones grises.
Combien coûte une IA conforme ?
Deux postes : le serveur, 200 à 600 €/mois en leasing, et l’adaptation à votre métier, de 2 000 à 5 000 € jusqu’à 15 000 à 30 000 € selon la complexité. Le chiffrage précis est établi après une découverte gratuite de 30 minutes.
Le RGPD s’applique-t-il si l’IA ne traite que des données d’entreprises ?
Le RGPD protège les personnes physiques. Des données purement techniques ou financières d’une société n’en relèvent pas — mais un nom de contact, une adresse e-mail nominative ou la signature d’un commercial en sont. En pratique, presque tous les flux B2B contiennent des données personnelles.
Cette page vaut-elle avis juridique ?
Non. Elle présente des principes généraux, à titre d’information, pour vous aider à poser les bonnes questions. Chaque situation est particulière : faites valider votre cadre par votre DPO ou votre conseil juridique, et appuyez-vous sur les ressources de la CNIL (cnil.fr), qui fait référence.
Ces réponses présentent des principes généraux et ne constituent pas un conseil juridique. Pour votre situation, faites valider le cadre par votre DPO ou votre conseil juridique ; la CNIL fait référence.
Déployer une IA conforme, sans renoncer à l’IA.
30 minutes pour cadrer vos cas d’usage, identifier les données en jeu et voir ce qu’une IA locale changerait à votre conformité.