RGPD & IA : le guide PME
Utiliser l'intelligence artificielle sans enfreindre le RGPD : base légale, minimisation, transparence, AIPD, droits des personnes et sous-traitance. Le guide concret pour les PME, et son lien avec l'EU AI Act.
La checklist RGPD × IA pour une PME
7 points à vérifier avant de mettre une IA en production sur des données personnelles.
1. Identifier une base légale
Tout traitement de données personnelles par une IA doit reposer sur une base légale (art. 6) : consentement, contrat, obligation légale ou intérêt légitime. Documentez celle que vous retenez pour chaque usage.
2. Minimiser les données
Ne transmettez à l'IA que les données strictement nécessaires (art. 5.1.c). Évitez d'envoyer des données sensibles ou des fichiers entiers quand un extrait suffit.
3. Informer les personnes
Les personnes doivent savoir que leurs données sont traitées par une IA, à quelles fins et avec quels prestataires (art. 13-14). C'est aussi une exigence de l'article 50 de l'EU AI Act pour les agents conversationnels.
4. Réaliser une AIPD si nécessaire
Une analyse d'impact (AIPD, art. 35) est obligatoire pour les traitements susceptibles d'engendrer un risque élevé, ce qui concerne souvent les usages IA à grande échelle ou décisionnels.
5. Garantir les droits des personnes
Accès, rectification, effacement, opposition : prévoyez comment honorer ces droits, y compris sur les données passées à un modèle. Encadrez les décisions automatisées (art. 22).
6. Encadrer la sous-traitance
Vos fournisseurs d'IA sont des sous-traitants : un contrat conforme à l'article 28 est requis, avec des garanties sur la localisation des données et l'absence de réutilisation pour l'entraînement.
7. Tenir le registre à jour
Chaque traitement IA doit figurer au registre des activités de traitement (art. 30), avec finalité, base légale, durées de conservation et sous-traitants nommés.
Repères issus du RGPD (règlement UE 2016/679) et des recommandations de la CNIL sur l’IA. À adapter à vos traitements ; ce guide ne remplace pas l’avis de votre DPO.
Comment ça marche
Conformité IA = base légale + minimisation + transparence + AIPD + droits + sous-traitance + registre
Le RGPD s’applique pleinement dès qu’une IA traite des données personnelles — ce qui est presque toujours le cas en entreprise (emails, fiches clients, appels, candidatures). Il ne s’agit pas de renoncer à l’IA, mais de l’encadrer.
Le RGPD et l’EU AI Act sont complémentaires : le premier protège les données personnelles, le second encadre les systèmes d’IA selon leur niveau de risque. Un agent conversationnel, par exemple, relève à la fois de la transparence RGPD (art. 13-14) et de l’article 50 de l’AI Act (informer l’utilisateur qu’il parle à une IA).
Source officielle : CNIL — Intelligence artificielle et RGPD
Questions fréquentes
Le RGPD interdit-il d’utiliser l’IA ?
Non. Le RGPD n’interdit pas l’IA : il impose un cadre (base légale, information, minimisation, sécurité, droits des personnes). Une PME peut parfaitement utiliser l’IA sur des données personnelles en respectant ces principes et en documentant ses choix.
Faut-il une AIPD pour un agent IA ?
Une analyse d’impact (AIPD, art. 35) est obligatoire dès qu’un traitement est susceptible d’engendrer un risque élevé pour les personnes — ce qui est fréquent pour les usages IA à grande échelle, décisionnels ou portant sur des données sensibles. En cas de doute, la CNIL recommande de la réaliser.
Mon fournisseur d’IA peut-il réutiliser mes données ?
Cela dépend du contrat. Vos fournisseurs sont des sous-traitants (art. 28) : exigez par contrat l’interdiction de réutiliser vos données pour entraîner leurs modèles, la localisation des données (idéalement UE), et des garanties de sécurité. PilotCrew héberge en UE et ne réutilise pas vos données pour l’entraînement.
Quel lien entre RGPD et EU AI Act ?
Ils se cumulent. Le RGPD protège les données personnelles ; l’EU AI Act encadre les systèmes d’IA selon leur risque (dont l’obligation de transparence de l’article 50 pour les chatbots et agents). Une mise en conformité IA sérieuse couvre les deux.
La conformité comme avantage, pas comme frein
Pour une PME, la conformité RGPD × IA n’est pas qu’une contrainte : c’est un argument de confiance vis-à-vis des clients et un filtre qui élimine les fournisseurs IA opaques. Documenter ses usages, choisir des outils hébergés en UE et transparents sur leurs modèles transforme une obligation en différenciateur.
Une IA conçue conforme dès le départ
Les agents IA PilotCrew sont hébergés en UE, transparents sur les modèles utilisés, avec supervision humaine avant les actions à impact et une documentation de conformité prête pour l’échéance de l’EU AI Act. La conformité n’est pas un module en option, elle est dans l’architecture.
Une IA conforme RGPD & EU AI Act
Hébergement UE, transparence des modèles, supervision humaine : déployez des agents IA conçus conformes. 14 jours d’essai, sans carte.
Voir notre conformité EU AI Act