RGPD et IA générative : ce qu'une PME doit vérifier avant de confier des données à un outil

Un collaborateur colle le courrier d'un client dans un assistant d'IA pour préparer une réponse. Si le texte contient un nom, une adresse ou un numéro de dossier, c'est un traitement de données personnelles au sens du RGPD. Le règlement n'interdit pas l'IA générative. Il oblige l'entreprise à savoir ce que l'outil fait des données qu'on lui confie. La CNIL a publié en juillet 2024 des questions-réponses sur l'utilisation d'un système d'IA générative qui servent ici de fil conducteur. Voici les vérifications à faire, dans l'ordre.

1. Définir l'usage et limiter les données

La CNIL recommande de partir d'un besoin concret avant de choisir un outil. C'est aussi une règle du RGPD : les données doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées » (article 5). Pour reformuler une réponse à un fournisseur, l'outil n'a pas besoin du numéro de téléphone du client. Retirer ce qui ne sert pas est la première protection, et la moins coûteuse.

2. Vérifier la base légale

Tout traitement repose sur l'une des six bases prévues par l'article 6 du RGPD : consentement, exécution d'un contrat, obligation légale, sauvegarde des intérêts vitaux, mission d'intérêt public ou intérêt légitime.

Utiliser des données clients dans un outil d'IA pour un usage nouveau oblige à vérifier que cet usage reste compatible avec la finalité de la collecte. L'article 6, paragraphe 4, donne les critères de cette analyse : le lien entre les finalités, le contexte de la collecte, la nature des données, les conséquences pour les personnes et les garanties prévues, comme le chiffrement ou la pseudonymisation.

3. Qualifier le fournisseur et signer le bon contrat

La CNIL invite l'utilisateur à s'interroger sur son rôle et sur celui du fournisseur : sous-traitant, ou responsable conjoint du traitement. Dans le premier cas, l'article 28 du RGPD impose de ne choisir que des prestataires qui présentent des « garanties suffisantes », et de signer un contrat écrit qui prévoit notamment :

• un traitement uniquement sur instruction documentée, y compris pour les transferts hors de l'Union
• un engagement de confidentialité des personnes qui accèdent aux données
• les mesures de sécurité de l'article 32
• l'autorisation écrite préalable avant tout recours à un autre sous-traitant
• la suppression ou la restitution des données en fin de prestation
• la possibilité d'audits

Point d'attention : un prestataire qui détermine lui-même les finalités du traitement, par exemple en réutilisant les données pour ses propres besoins, est considéré comme responsable du traitement pour cette partie (article 28, paragraphe 10). La CNIL recommande d'ailleurs de s'opposer à la réutilisation des données d'usage par le fournisseur, voire à l'enregistrement de l'historique.

Pour les offres grand public, la CNIL limite l'usage aux cas non confidentiels, avec des adresses électroniques professionnelles dédiées et, le cas échéant, la réutilisation des données désactivée.

4. Savoir où partent les données

Un transfert de données hors de l'Union européenne n'est possible que dans les conditions du chapitre V du RGPD (articles 44 à 46) : une décision d'adéquation de la Commission européenne, ou des garanties appropriées comme les clauses contractuelles types. La CNIL rappelle qu'une petite entreprise peut recourir à une infrastructure mutualisée, « dès lors que les transferts de données sont encadrés et leur sécurité assurée ». Lorsque l'outil est utilisé via une API, elle souligne que la maîtrise du système est « quasi exclusivement dans les mains du fournisseur » et appelle à surveiller les clauses de transfert.

Pour les États-Unis, la Commission a adopté le 10 juillet 2023 une décision d'adéquation qui ne couvre que les entreprises américaines adhérant au cadre de protection des données UE-États-Unis. Le Tribunal de l'Union européenne a rejeté le 3 septembre 2025 un recours en annulation contre cette décision. Il reste à vérifier, fournisseur par fournisseur, qu'il figure bien parmi les entreprises adhérentes.

5. Mener une analyse d'impact quand le risque est élevé

L'article 35 du RGPD impose une analyse d'impact (AIPD) avant tout traitement « susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques », « en particulier par le recours à de nouvelles technologies ». La CNIL publie la liste des traitements pour lesquels elle est obligatoire. Dans ses questions-réponses, elle recommande d'associer le délégué à la protection des données et, le cas échéant, de réaliser une AIPD. Elle précise aussi que l'entreprise qui connecte un outil à sa propre base documentaire contenant des données personnelles est responsable de ce traitement.

6. Fixer les règles en interne

La CNIL rappelle que, dans le cas général, c'est l'organisme qui engage sa responsabilité en cas de mauvaise utilisation de l'IA par son personnel. Elle recommande :

• une charte qui liste les usages autorisés et les usages interdits
• une formation des utilisateurs au fonctionnement et aux limites de l'outil
• l'interdiction de saisir dans un service grand public des informations couvertes par un secret, comme le secret des affaires
• la vérification des sorties, pour leur exactitude, l'absence de plagiat et de biais, avec une règle simple : « ne jamais reproduire telles quelles les sorties de ces systèmes »

La fiche pratique publiée avec France Num le résume en une phrase : « L'humain doit rester le dernier maillon de la chaîne. »

La grille, en résumé

Question	Où regarder
Quelles données, pour quel usage ?	Articles 5 et 6 du RGPD
Le fournisseur est-il sous-traitant ?	Contrat conforme à l'article 28
Les données servent-elles à autre chose ?	Paramètres de l'outil et contrat
Où sont-elles traitées ?	Articles 44 à 46, décision d'adéquation
Le risque est-il élevé ?	Article 35, liste de la CNIL
Qui utilise l'outil, et comment ?	Charte interne et formation

Ce qu'EchoBrain prend en charge

Les agents EchoBrain fonctionnent dans un espace isolé pour chaque client, hébergé dans des centres de données européens certifiés ISO 27001, conformes au RGPD. Les actions engageantes passent par une validation humaine. L'agent Documents et la recherche documentaire travaillent sur les seuls documents que vous autorisez. Le modèle d'IA est choisi avec vous : ses conditions de traitement et, le cas échéant, de transfert font partie des points vérifiés ensemble avant la mise en service. EchoBrain ne remplace ni votre registre des traitements ni votre analyse d'impact.

Cet article est une information générale et ne constitue pas un conseil juridique.

Sources

• Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des données (RGPD), EUR-Lex
• Les questions-réponses de la CNIL sur l'utilisation d'un système d'IA générative (18 juillet 2024), CNIL
• Choisir parmi les solutions d'IA générative et comment les utiliser, fiche TPE et PME, CNIL et France Num
• EU-US data transfers, Commission européenne
• Communiqué de presse n° 106/25, arrêt T-553/23 Latombe contre Commission, Cour de justice de l'Union européenne