IA générative et RGPD : les règles simples à poser avant d'utiliser vos données
Le risque RGPD de l'IA générative ne vient pas seulement des grands projets. Il vient souvent des petits gestes : copier un email client, résumer un contrat, coller un CV, demander une reformulation sur un document interne. Pris isolément, chaque geste paraît banal. Ensemble, ils créent un usage non maîtrisé des données.
Notre opinion défendue : une PME doit poser des règles IA avant de déployer des outils. Pas une politique compliquée, mais une page claire : données autorisées, données interdites, outils validés, relecture humaine, responsable interne.
Pourquoi l'IA générative pose un sujet RGPD
L'IA générative peut traiter du texte contenant des données personnelles : nom, email, fonction, situation RH, information client, document contractuel. Dès qu'une personne est identifiable, le sujet devient plus sérieux. La CNIL traite l'intelligence artificielle sous l'angle de la maîtrise, de la transparence et des droits des personnes.
Le prompt peut contenir des données
Un prompt n'est pas neutre. Il peut contenir un CV, une réclamation client, une note RH ou un extrait de contrat. La PME doit donc décider ce qui peut être saisi dans un outil.
La sortie peut créer un risque
Une réponse générée peut contenir une erreur, une promesse, une interprétation ou une donnée reprise hors contexte. La relecture humaine est indispensable.
Les données à interdire dans les prompts libres
Une règle simple consiste à créer une liste rouge. Elle évite les débats au cas par cas et protège l'entreprise dans les usages quotidiens.
Données RH
CV, notes d'entretien, paie, absences, évaluation, situation personnelle : ces données ne doivent pas être copiées dans un outil non cadré.
Données clients sensibles
Contrats, litiges, informations financières, documents confidentiels, échanges commerciaux stratégiques : ces contenus demandent un cadre spécifique.
Données de santé ou assimilées
Toute information de santé ou liée à une situation médicale doit être traitée avec une prudence renforcée. Pour une PME, la règle pratique est de ne pas l'utiliser dans un outil libre.
Les règles internes à écrire
Une PME n'a pas besoin d'un document interminable. Elle a besoin de règles que l'équipe comprend et applique.
Outils autorisés
Lister les outils validés, leurs usages et leurs limites. Les outils non validés ne doivent pas recevoir de données internes sensibles.
Usages autorisés
Rédaction de brouillon, synthèse de documents non sensibles, reformulation, plan, checklist. Chaque usage doit inclure une relecture humaine.
Usages interdits
Décision RH, conseil juridique autonome, traitement de santé, validation financière, promesse commerciale non relue.
Registre, finalité et accès
Le registre des activités de traitement de la CNIL aide à documenter les données, les finalités, les accès et les durées. Pour l'IA générative, il sert à répondre à une question simple : pourquoi traitons-nous cette donnée avec cet outil ?
Définir la finalité
Résumer un document, répondre à un client, préparer une relance : la finalité doit être claire. Un traitement "pour tester l'IA" n'est pas un cadre suffisant.
Limiter les accès
Tout le monde n'a pas besoin des mêmes usages. Les outils connectés à des données clients, RH ou financières doivent être plus strictement contrôlés.
Méthode de cadrage
Étape 1 — Lister les usages existants. Ce que les équipes font déjà avec l'IA.
Étape 2 — Classer les données. Publiques, internes, confidentielles, sensibles.
Étape 3 — Écrire les règles. Autorisé, interdit, soumis à validation.
Étape 4 — Former l'équipe. Expliquer par cas concrets, pas seulement par principe.
Étape 5 — Revoir régulièrement. Les usages évoluent, les règles doivent suivre.
Questions fréquentes
Une PME peut-elle utiliser l'IA générative en respectant le RGPD ?
Oui, si elle cadre les usages, limite les données et garde une validation humaine. Le risque vient surtout des usages libres non documentés.
Peut-on mettre des données clients dans un outil IA ?
Pas sans vérifier le cadre. Certaines données peuvent être utilisées si l'outil, la finalité et les accès sont maîtrisés. Dans le doute, anonymiser ou éviter.
Faut-il un registre spécifique pour l'IA ?
Le registre des traitements doit permettre de comprendre les finalités, données et accès. Si l'IA traite des données personnelles, elle doit être intégrée au cadrage existant.
Qui doit valider les règles ?
Au minimum, la direction et la personne responsable des données ou des outils. Dans une petite structure, cela peut être simple, mais il faut un responsable identifié.
Notre article ChatGPT entreprise élargit le sujet. Voir aussi notre article IA générative PME, et notre page Agent IA pour PME pour la mise en œuvre.
Diagnostic gratuit
Vous voulez utiliser l'IA générative sans laisser vos données circuler au hasard ? Réservez votre diagnostic gratuit avec Chappygo. Nous cadrons les usages, la liste rouge et les workflows validés.