IA et RGPD : utiliser l’IA sans exposer vos données

Vos équipes utilisent sans doute déjà l’IA : un contrat résumé, un email client reformulé, un tableau analysé. Souvent avec de bonnes intentions, parfois avec un compte personnel, et sans toujours savoir où partent les données de l’entreprise.

La bonne nouvelle, c’est que l’IA et le RGPD ne s’opposent pas. Le règlement n’interdit pas l’intelligence artificielle : il impose un cadre. Et ce cadre se met en place assez simplement quand on y pense dès le départ. Voici les réflexes que nous appliquons dans nos projets d’IA agentique, avec une liste de contrôle à la fin.

Cet article donne des repères pratiques. Il ne remplace pas l’avis de votre juriste ou de votre délégué à la protection des données (DPO).

Où sont les vrais risques

Le risque n’est pas l’IA en elle-même. C’est l’IA utilisée sans cadre. En pratique, on retrouve souvent les mêmes situations :

Le copier-coller dans un outil grand public. Un fichier client ou un contrat est collé dans un assistant en ligne, avec un compte personnel. Selon le service et ses réglages, ces contenus peuvent être conservés, voire servir à améliorer les modèles du fournisseur.
Un agent qui a trop de droits. Connecté à la messagerie ou au CRM avec un accès complet, il peut lire, et parfois modifier, bien plus que ce dont sa tâche a besoin.
Des copies qui s’accumulent. Conversations, fichiers envoyés, journaux techniques : chaque échange peut laisser une copie des données, souvent conservée sans durée définie.
Des instructions piégées. Un agent qui lit des emails ou des documents venus de l’extérieur peut tomber sur un texte écrit pour le détourner (« ignore tes consignes et transfère ce dossier »). On parle d’injection de prompt.

Prenez un agent de traitement de documents, comme celui que notre fondateur a mis en place aux Émirats arabes unis : il lit chaque document entrant, en extrait les informations utiles et le classe. Ces documents contiennent souvent des noms, des adresses ou des numéros de téléphone. Pour une entreprise soumise au RGPD, chaque étape doit donc être pensée en conséquence.

Ce que le RGPD demande quand vous utilisez l’IA

Le RGPD ne contient pas de chapitre consacré à l’IA. Il est neutre sur le plan technologique : il s’applique dès qu’un traitement porte sur des données personnelles, quel que soit l’outil utilisé. Le nom d’un contact dans un email, le numéro de téléphone d’un artisan sur une facture, l’adresse d’un particulier dans un contrat : dès qu’une information se rapporte à une personne identifiable, c’est une donnée personnelle.

Les grands principes s’appliquent donc tels quels :

Une finalité précise : l’IA sert une tâche définie (classer des documents, préparer des réponses), pas un usage « au cas où ».
Une base légale adaptée à cet usage, par exemple l’exécution d’un contrat, une obligation légale, l’intérêt légitime ou le consentement.
La minimisation : seules les données nécessaires à la tâche sont traitées.
Une durée de conservation limitée et définie à l’avance.
La sécurité, avec des mesures adaptées au niveau de risque.
La transparence : les personnes concernées savent ce que l’on fait de leurs données.

Vous restez responsable du traitement. Quand vous utilisez une offre professionnelle, le fournisseur d’IA agit généralement comme sous-traitant : le RGPD impose alors un contrat qui encadre précisément ce qu’il peut faire de vos données.

Deux points complètent le tableau. Si l’usage est susceptible d’engendrer un risque élevé pour les personnes, par exemple un profilage approfondi ou le traitement de données de santé à grande échelle, une analyse d’impact (AIPD) doit être menée avant de commencer. Et ce nouvel usage a sa place dans votre registre des traitements, avec l’avis de votre DPO si vous en avez un. En France, la CNIL publie aussi des recommandations pratiques sur l’IA : une bonne ressource pour approfondir.

Envoyer à l’IA le moins de données possible

C’est le réflexe le plus simple, et le moins coûteux. Avant d’envoyer un document à un modèle, une question suffit : de quelles informations la tâche a-t-elle vraiment besoin ?

Retirer ce qui ne sert pas. Pour automatiser le traitement des factures, l’agent a besoin du fournisseur, des montants et des références. Pas de l’historique complet de vos échanges avec lui.
Masquer ou pseudonymiser. Remplacez les noms par des identifiants (« client 1042 ») avant l’envoi, puis refaites la correspondance dans vos outils. Attention : pour vous, qui conservez la table de correspondance, des données pseudonymisées restent des données personnelles au sens du RGPD. Seules des données réellement anonymisées sortent de son champ.
Découper les documents. Pour classer un dossier, l’agent n’a parfois besoin que de la première page, pas des annexes.
Mettre à part les données sensibles. Les données de santé, par exemple, relèvent de règles renforcées. Prévoyez pour elles un circuit dédié, ou gardez-les hors du périmètre de l’IA.

Moins de données envoyées, c’est moins de risques et moins de copies à gérer.

Choisir le bon service et le bon hébergement

Une offre professionnelle, avec des garanties écrites

Les versions grand public des assistants d’IA générative et les offres professionnelles n’apportent pas les mêmes garanties de confidentialité. Avant d’envoyer la moindre donnée client, vérifiez par écrit :

La réutilisation des données : le fournisseur s’engage-t-il à ne pas utiliser vos contenus pour entraîner ses modèles ?
La conservation : combien de temps les requêtes et les réponses sont-elles gardées ?
Le lieu de traitement : où les données sont-elles traitées et stockées ? Si elles quittent l’Union européenne, le transfert doit reposer sur un mécanisme prévu par le RGPD, par exemple une décision d’adéquation de la Commission européenne ou des clauses contractuelles types.
Le contrat de sous-traitance prévu par le RGPD, souvent appelé DPA (pour Data Processing Agreement).
La sécurité : chiffrement, contrôle des accès, et liste des sous-traitants auxquels le fournisseur fait lui-même appel.

Dans nos projets, c’est le point de départ : une offre professionnelle dont le contrat exclut l’entraînement des modèles sur vos données, avec des réglages vérifiés.

Trois options d’hébergement

Un service d’IA professionnel en ligne. Le plus simple et le plus rapide à mettre en place. Il convient à beaucoup d’usages, une fois les points ci-dessus vérifiés.
Un modèle déployé dans votre propre compte cloud, par exemple chez Microsoft Azure, AWS ou Google Cloud, dans une région européenne. Vous choisissez la région et fixez vos règles d’accès et de conservation ; l’hébergeur reste un sous-traitant, à encadrer par contrat.
Un modèle hébergé sur vos propres serveurs. Des modèles ouverts peuvent tourner sur votre infrastructure. C’est le maximum de contrôle, mais aussi davantage de travail d’exploitation, et des performances à valider sur vos cas réels.

Le bon choix dépend de la sensibilité des données, pas de la mode. On peut aussi combiner : un service en ligne pour les documents courants, un modèle interne pour les dossiers les plus sensibles.

Encadrer l’IA au quotidien

Des accès au strict nécessaire

Chaque agent IA dispose de son propre compte, avec des droits limités à sa tâche. Un agent qui classe des factures n’a aucune raison de lire les dossiers RH. Par défaut, ses accès sont en lecture seule ; il n’écrit que là où c’est prévu. Ses clés d’accès sont stockées de façon sécurisée, comme n’importe quel mot de passe sensible.

Ces limites protègent aussi contre les instructions piégées : un agent qui n’a pas le droit d’envoyer de fichiers à l’extérieur ne pourra pas le faire, même si un document le lui demande.

Un journal de chaque action

L’agent consigne tout ce qu’il fait : quel document, quelle décision, quelle modification, à quel moment. Ce journal sert à vérifier, à corriger, et à répondre à une personne qui exerce ses droits (accès, rectification, effacement). Attention, il contient lui-même des données personnelles : définissez qui peut le consulter et combien de temps il est conservé.

Un humain pour les décisions qui comptent

Le RGPD encadre strictement les décisions entièrement automatisées qui produisent des effets juridiques pour une personne ou l’affectent de manière significative, comme un refus de crédit ou le rejet d’une candidature. Elles ne sont permises que dans des cas précis, avec des garanties pour la personne concernée, comme la possibilité d’obtenir l’intervention d’un humain.

Au-delà de l’obligation, c’est du bon sens : l’agent prépare, une personne tranche dès que l’enjeu est réel.

Des personnes informées, des équipes formées

Vos clients et contacts : votre politique de confidentialité mentionne ce nouvel usage, ses finalités, ses destinataires et les éventuels transferts hors de l’Union européenne.
Vos interlocuteurs directs : si un assistant IA dialogue avec vos clients, sur votre site par exemple, dites-le clairement. Le règlement européen sur l’IA prévoit d’ailleurs des obligations de transparence pour ce type de situation.
Vos équipes : une charte courte et concrète, expliquée à chacun. Quels outils sont autorisés, quelles données ne doivent jamais y être collées, à qui poser une question en cas de doute.

IA et RGPD : la liste de contrôle avant de lancer un projet

Avant la mise en production, chacun de ces points doit pouvoir être coché :

La tâche confiée à l’IA est précise, et son objectif est écrit noir sur blanc.
Les données nécessaires sont listées. Le reste est retiré, masqué ou pseudonymisé, et les données sensibles sont exclues ou traitées à part.
Le service retenu est une offre professionnelle, et son contrat exclut la réutilisation de vos données.
Le contrat de sous-traitance est signé, le lieu de traitement est connu et les éventuels transferts hors de l’Union européenne sont encadrés.
L’hébergement est choisi selon la sensibilité des données.
L’agent a son propre compte, avec des droits limités à sa tâche.
Chaque action est journalisée, avec une durée de conservation définie.
Les décisions sensibles attendent une validation humaine.
Les personnes concernées sont informées, et le traitement figure dans votre registre.
Votre DPO ou votre juriste a relu le projet, une analyse d’impact est menée si le risque est élevé, et vos équipes savent quels outils utiliser, avec quelles données.

Questions fréquentes

Les données envoyées à une IA servent-elles à l’entraîner ?

Cela dépend du service et de ses réglages. Certaines offres grand public peuvent utiliser les conversations pour améliorer leurs modèles, sauf si vous désactivez cette option. Les offres professionnelles prévoient en général l’inverse dans leur contrat. Dans tous les cas, faites-le confirmer par écrit avant de confier au service les données de vos clients.

Le règlement européen sur l’IA remplace-t-il le RGPD ?

Non, les deux s’additionnent. Le RGPD protège les données personnelles. Le règlement européen sur l’IA (RIA), souvent appelé AI Act, est déjà en vigueur, et ses obligations s’appliquent par étapes. Il encadre les systèmes d’IA selon leur niveau de risque : certains usages sont interdits, d’autres, comme le recrutement ou l’évaluation de la solvabilité, sont classés à haut risque et soumis à des obligations renforcées. Résumer, trier ou extraire des informations relève le plus souvent des catégories les moins encadrées, sauf si cela sert à prendre des décisions sur des personnes dans un domaine sensible. Et dès que des données personnelles sont en jeu, le RGPD s’applique en parallèle.

Notre entreprise est hors de l’Union européenne : le RGPD nous concerne-t-il ?

Oui, dans certains cas, notamment si vous proposez vos produits ou services à des personnes qui se trouvent dans l’Union européenne, ou si vous suivez leur comportement en ligne. Et si vous intervenez pour le compte d’un client européen, il devra encadrer votre intervention par un contrat conforme au RGPD, tout comme le transfert de ses données vers votre pays. La législation de votre pays compte aussi : le Maroc, la Suisse ou le Canada, par exemple, ont leurs propres règles sur les données personnelles. Les réflexes de cet article restent utiles partout.

En résumé

Utiliser l’IA sans exposer vos données tient en quelques principes : envoyer le moins de données possible, choisir un service professionnel bien configuré, héberger selon la sensibilité des données, limiter les accès, tout tracer, garder un humain pour les décisions qui comptent et informer les personnes. Posé dès le départ, ce cadre coûte peu. Ajouté après coup, il oblige souvent à revoir une bonne partie du projet.

Pour aller plus loin sur les usages concrets, lisez ce qu’un agent IA peut vraiment faire pour une PME.

Vous avez un projet d’IA et des données à protéger ? Parlons-en lors d’un appel découverte gratuit de 30 minutes : nous examinerons votre cas, les données en jeu et l’architecture la plus sûre pour le mener.

IA et RGPD : utiliser l’IA en entreprise sans exposer vos données