RGPD et IA générative : 9 vérifications avant de signer en 2026
Brancher un modèle de langage sur les documents, les e-mails ou les données clients d'une entreprise, c'est traiter des données personnelles, souvent sans y penser : un nom dans un contrat, une adresse dans un ticket, un historique d'achat dans une base. Le règlement général sur la protection des données (RGPD) s'applique, et la CNIL, l'autorité française, a publié des fiches pratiques dédiées à l'IA. Voici neuf vérifications à faire avant de signer, rédigées pour un dirigeant ou un responsable de projet, pas pour un juriste. Elles ne remplacent pas un avis juridique pour votre cas précis, mais elles vous évitent les erreurs les plus coûteuses.
1. Savoir quelles données personnelles entrent dans le système
Commencez par l'inventaire : quelles sources alimenteront l'IA (documents, messagerie, CRM, tickets) et quelles données personnelles y figurent ? Distinguez les données ordinaires (noms, e-mails, historique de commande) des données sensibles au sens du RGPD (santé, opinions, origine, orientation, appartenance syndicale, données biométriques), qui appellent des précautions renforcées. Cet inventaire, que vous avez de toute façon intérêt à faire pour votre cahier des charges, détermine tout le reste. L'une des questions les plus utiles : peut-on exclure d'emblée les sources qui contiennent beaucoup de données personnelles pour un gain faible ?
2. Définir une finalité précise
Le RGPD exige que les données soient collectées pour un objectif déterminé. « Utiliser l'IA » n'est pas une finalité ; « répondre aux questions de suivi de livraison des clients » en est une. Écrire la finalité tôt oblige à écarter les usages annexes séduisants (réutiliser les conversations pour autre chose, par exemple) qui nécessiteraient une base juridique et une information distinctes. La CNIL consacre sa fiche pratique sur la définition d'une finalité à ce point.
3. Clarifier qui est responsable et qui est sous-traitant
Dans la plupart des projets, votre entreprise est responsable du traitement, et le prestataire ou l'éditeur du modèle est sous-traitant : il traite les données pour votre compte et sur vos instructions. Cette qualification emporte un contrat écrit (sur ce que le sous-traitant peut faire, la sécurité, la sous-traitance en chaîne, la restitution ou la destruction des données). Elle n'est pas toujours évidente quand plusieurs acteurs interviennent (agence, hébergeur, éditeur du modèle) ; la CNIL propose une fiche sur la qualification juridique des fournisseurs de systèmes d'IA. Posez la question explicitement à chaque intervenant : agit-il sur mes instructions, ou pour son propre compte ?
4. Trouver la base légale du traitement
Tout traitement doit reposer sur l'une des bases légales du RGPD : consentement, contrat, obligation légale, intérêt légitime, entre autres. Pour un assistant interne ou un outil de relation client, c'est souvent l'exécution du contrat ou l'intérêt légitime, ce dernier supposant de mettre en balance votre intérêt et les droits des personnes. La CNIL détaille ce raisonnement dans sa fiche sur la licéité du traitement et dans celle sur l'intérêt légitime pour développer un système d'IA. Le point à retenir : la base légale se choisit et se documente avant le déploiement, pas après.
5. Savoir si une analyse d'impact est nécessaire
L'analyse d'impact relative à la protection des données (AIPD) est obligatoire quand un traitement présente un risque élevé pour les personnes, par exemple lorsqu'il combine données sensibles, grande échelle, surveillance ou décisions automatisées. Elle se prépare avant la mise en service. La CNIL explique comment l'aborder dans sa fiche dédiée. Si votre projet traite des données de santé, des données de salariés ou une grande quantité de données clients, demandez-vous dès le cadrage si une AIPD s'impose, et sinon pourquoi.
6. Vérifier où partent les données et ce que devient chaque message
Quatre questions à poser, par écrit, au prestataire et à l'éditeur du modèle :
- Où les données sont-elles traitées et stockées ? Un traitement hors de l'Union européenne suppose des garanties de transfert prévues par le RGPD.
- Les messages envoyés au modèle sont-ils conservés, pendant combien de temps, et par qui ?
- Sont-ils utilisés pour améliorer ou entraîner un modèle ? La réponse doit être non par défaut pour vos données professionnelles, ou être explicitement encadrée par le contrat.
- Qui, chez le fournisseur, peut y accéder, et dans quelles conditions ?
Le choix entre un modèle accessible par service en ligne, un hébergement européen ou un modèle exécuté chez vous est traité dans notre guide sur l'hébergement et la souveraineté. La réponse dépend de vos données, pas d'une doctrine.
7. Informer les personnes et leur permettre d'exercer leurs droits
Les personnes dont les données sont traitées doivent savoir qu'elles le sont, par qui et pourquoi : clients, salariés, candidats. Cela suppose de mettre à jour vos mentions d'information et, pour un assistant conversationnel, de signaler clairement que l'on parle à un système automatisé. Elles disposent aussi de droits : accès, rectification, effacement, opposition. Dans un système d'IA, l'effacement pose une vraie question technique : si une donnée a été intégrée à un index de recherche, savez-vous l'en retirer ? Posez-la avant, pas lorsqu'une demande arrive. La CNIL a publié des fiches sur l'information des personnes et sur l'exercice de leurs droits.
8. Encadrer l'usage par vos équipes
Le risque le plus fréquent ne vient pas du projet officiel, mais des usages informels : un salarié colle un contrat client dans un outil en ligne grand public pour le résumer. Une politique d'usage d'une page suffit souvent à réduire fortement ce risque : quels outils sont autorisés, quelles données ne doivent jamais y être saisies, qui contacter en cas de doute. Formez les équipes à quelques règles concrètes, avec des exemples tirés de votre métier ; c'est aussi, pour partie, une obligation de montée en compétence prévue par l'AI Act, décrite dans notre guide pour les PME.
9. Sécuriser, journaliser, garder un humain dans la boucle
Un système d'IA relié à vos données est une nouvelle porte d'entrée. Vérifiez la gestion des accès (qui peut interroger quoi), le chiffrement, la journalisation des échanges (pour pouvoir enquêter, avec une durée de conservation justifiée) et la séparation entre vos données et celles des autres clients du prestataire. Le RGPD limite aussi les décisions entièrement automatisées produisant des effets significatifs sur une personne : refuser un crédit, écarter une candidature. Une intervention humaine réelle, pas de pure forme, reste la règle. La fiche de la CNIL sur la sécurité du développement et sa liste de vérification offrent un cadre complet.
Un exemple d'application, sur une situation fictive
Une société de courtage veut un assistant qui aide ses gestionnaires à retrouver des clauses dans les contrats de ses clients. Appliquons les neuf vérifications. Inventaire : les contrats contiennent des noms, des adresses, parfois des informations de santé liées à des garanties : des données sensibles, donc vigilance maximale. Finalité : aider un gestionnaire à retrouver une clause dans le dossier d'un client dont il a la charge, rien d'autre. Rôles : la société est responsable, le prestataire est sous-traitant, l'éditeur du modèle sous-traitant ultérieur : contrats à vérifier à chaque niveau. Base légale : exécution des contrats avec les clients, à documenter. Analyse d'impact : probablement nécessaire à cause des données de santé ; à décider avant tout déploiement. Flux : traitement dans l'Union européenne exigé, aucune réutilisation pour l'entraînement, journaux de durée limitée. Droits : procédure pour retirer un client de l'index sur demande d'effacement. Équipes : consigne interdisant de coller des contrats dans des outils non autorisés. Sécurité : accès limité aux dossiers du gestionnaire concerné, journalisation, validation humaine pour toute réponse transmise à un client.
La conclusion de cet exercice est utile : le projet est faisable, mais deux contraintes (l'analyse d'impact et le cloisonnement par dossier) pèseront sur le calendrier et le budget, et mieux vaut le savoir avant de signer.
Un tableau de synthèse à imprimer
| Vérification | Question à poser | Pièce à obtenir |
|---|---|---|
| Inventaire | Quelles données personnelles, lesquelles sensibles ? | Cartographie des sources |
| Finalité | Quel objectif précis ? | Phrase de finalité validée |
| Rôles | Responsable ou sous-traitant ? | Contrat de sous-traitance |
| Base légale | Laquelle et pourquoi ? | Note de justification |
| Analyse d'impact | Nécessaire ou non ? | AIPD ou justification de son absence |
| Flux de données | Où, combien de temps, entraînement ? | Réponses écrites du fournisseur |
| Information et droits | Comment les personnes sont-elles informées et entendues ? | Mentions mises à jour, procédure |
| Usages internes | Quelles règles pour les équipes ? | Politique d'usage diffusée |
| Sécurité et humain | Accès, journaux, validation humaine ? | Description technique, procédure |
Comment en tenir compte dans le choix d'un prestataire
Un prestataire sérieux a déjà ces réponses, ou sait comment les produire. Méfiez-vous de ceux qui balaient le sujet (« on est conformes ») sans pouvoir le détailler, comme de ceux qui en font un argument de peur. Demandez les engagements par écrit, et faites relire les clauses de données par un juriste. Pour comparer les propositions sur ce point comme sur les autres, voyez notre guide pour lire un devis de projet d'IA. Vous pouvez ensuite consulter le classement des agences IA ou décrire votre projet en précisant vos contraintes de données dès le départ.
Cet article propose une grille de lecture générale et ne constitue pas un conseil juridique. Pour une situation particulière, consultez un juriste ou votre délégué à la protection des données.