IA et RGPD dans une PME : sept règles à poser avant de commencer

Dès qu'un outil d'IA manipule des noms, des adresses e-mail, des factures ou des échanges avec des clients, il traite des données personnelles. Le règlement général sur la protection des données (RGPD) s'applique donc, comme pour n'importe quel logiciel. Bonne nouvelle : pour une PME, il ne s'agit pas de tout réinventer, mais d'appliquer quelques règles de bon sens dès le départ.

Cet article est une information générale ; il ne remplace pas le conseil d'un professionnel du droit pour votre situation.

1. Écrire à quoi sert chaque usage

Le RGPD repose sur la notion de finalité : on traite des données pour un objectif précis. « Ranger les factures fournisseurs », « préparer les relances de devis » : chaque usage de l'IA a sa finalité, et elle s'inscrit dans le registre des traitements de l'entreprise, à côté de la gestion des clients ou de la paie.

2. Ne donner que ce qui est nécessaire

C'est le principe de minimisation. Un agent qui prépare des relances a besoin du nom du client, du montant et de la date du devis ; il n'a pas besoin de tout l'historique de vos échanges ni des données de vos salariés. Plus le périmètre d'un agent est étroit, plus il est facile à maîtriser.

3. Choisir des fournisseurs qui ne s'entraînent pas sur vos données

Vérifiez dans les conditions du fournisseur que vos contenus ne servent pas à entraîner ses modèles, ce qui est généralement le cas des offres professionnelles et des accès par API. Méfiez-vous des usages « gratuits » d'outils grand public par vos collaborateurs, avec des documents de l'entreprise : c'est souvent là que se trouve le vrai risque.

4. Encadrer la sous-traitance par contrat

Les fournisseurs d'IA, d'hébergement ou de logiciels qui traitent des données pour votre compte sont des sous-traitants au sens de l'article 28 du RGPD. Il faut un contrat (souvent appelé DPA, Data Processing Agreement) qui précise leurs obligations. Si des données quittent l'Union européenne, le contrat doit prévoir des garanties adaptées, comme les clauses contractuelles types.

5. Garder les données chez vous autant que possible

Chaque copie de vos données dans un outil supplémentaire est une copie de plus à protéger, à lister dans le registre et à supprimer un jour. Privilégiez les solutions qui travaillent dans vos propres comptes (votre drive, votre logiciel de comptabilité) plutôt que celles qui aspirent tout dans leur plateforme. C'est aussi plus simple si vous changez d'outil.

6. Garder un humain dans la boucle pour les décisions importantes

L'article 22 du RGPD encadre les décisions entièrement automatisées qui produisent des effets juridiques ou significatifs sur une personne. Concrètement : ne laissez pas une IA décider seule d'un refus de crédit client, d'une sanction ou d'un recrutement. Une validation humaine explicite, tracée, règle la question et c'est de toute façon une bonne pratique.

7. Informer et former l'équipe

Vos collaborateurs doivent savoir quels outils sont autorisés, pour quels usages, et ce qu'on n'y met jamais (mots de passe, données de santé, documents confidentiels d'un client sans son accord). Une page de règles internes et une courte présentation suffisent souvent. C'est aussi ce qu'attend désormais le règlement européen sur l'IA en matière de maîtrise de l'IA par les équipes.

En résumé

Pour aller plus loin, la CNIL publie des recommandations pratiques sur l'intelligence artificielle, régulièrement mises à jour, sur cnil.fr.