Déployer une IA en entreprise sans cadre juridique clair, c'est s'exposer à des risques concrets : amendes CNIL jusqu'à 20 M€ ou 4 % du chiffre d'affaires mondial, mise en demeure, et surtout perte de confiance de vos clients et partenaires. Pourtant, la majorité des entreprises qui adoptent des outils IA grand public ne se posent pas les bonnes questions.
Ce guide récapitule ce que le RGPD exige réellement pour un usage IA en entreprise, et comment évaluer la conformité d'un outil avant de le déployer.
Les 4 articles du RGPD directement concernés par l'IA
Article 25 — Privacy by Design
La protection des données doit être intégrée dès la conception du système, pas ajoutée après coup. Pour une IA, cela signifie que le traitement des données personnelles doit être minimal, limité à l'usage déclaré, et que les mesures de protection doivent être actives par défaut — sans que l'utilisateur n'ait à les activer.
Un outil qui demande des permissions larges « pour améliorer le service » ou qui stocke vos données dans un pool partagé ne respecte pas ce principe.
Article 28 — Sous-traitants et DPA
Tout prestataire qui traite des données personnelles pour votre compte est un sous-traitant au sens du RGPD. Vous devez obligatoirement conclure avec lui un DPA (Data Processing Agreement) précisant la nature du traitement, les mesures de sécurité, la localisation des données et les conditions de suppression.
Sans DPA signé, vous ne pouvez pas légalement confier des données personnelles à un outil tiers.
Article 17 — Droit à l'oubli
Tout individu peut demander la suppression de ses données. Pour une IA documentaire qui a indexé des documents contenant des données personnelles (noms de clients, RIB, informations salariés), cela implique que l'outil puisse supprimer un dossier complet — y compris les index et les sauvegardes — à la demande.
« Supprimer le fichier source » ne suffit pas si les données sont restées dans un index vectoriel.
Article 20 — Portabilité
Vos données doivent être exportables dans un format standard et réutilisable à tout moment. Un outil qui vous enferme dans son propre format, ou qui ne propose pas d'export, ne respecte pas cette obligation.
Le CLOUD Act américain : ce que la plupart des entreprises ignorent
Le CLOUD Act (2018) autorise les autorités américaines à exiger d'un prestataire soumis au droit américain l'accès à des données — même si ces données sont physiquement stockées sur des serveurs européens.
Concrètement : si vous utilisez AWS, Azure, Google Cloud ou OpenAI, vos données peuvent être demandées par les autorités américaines sans que vous en soyez informé, et sans recours possible de votre côté.
Pour les cabinets juridiques, les experts-comptables, les équipes RH et toute organisation traitant des données sensibles, c'est un risque souvent sous-estimé.
La seule façon de s'en prémunir : choisir un hébergeur de droit français, non soumis au CLOUD Act.
L'EU AI Act : les nouvelles obligations à anticiper
L'EU AI Act, entré en application progressive depuis 2024, introduit une classification des systèmes IA par niveau de risque. Les IA utilisées dans des contextes à risque élevé (RH, secteur bancaire, santé) sont soumises à des obligations spécifiques : documentation technique, évaluation de conformité, registre des systèmes IA, transparence envers les utilisateurs.
Les entreprises qui n'anticipent pas ces exigences maintenant devront les rattraper dans l'urgence d'ici 2026-2027.
Les questions à poser à votre fournisseur IA
Avant de déployer un outil, voici la liste de contrôle minimale :
- Où sont hébergées mes données ? (France, UE ou pays tiers)
- Un DPA est-il disponible et signable ? (obligatoire)
- Mes données servent-elles à entraîner ou à améliorer le modèle ? (réponse acceptable : non)
- Puis-je supprimer un dossier complet, y compris les index ? (droit à l'oubli)
- Puis-je exporter mes données à tout moment ? (portabilité)
- L'outil est-il soumis au CLOUD Act ? (hébergeur de droit américain ou non)
- Un journal d'audit des accès est-il disponible ? (traçabilité CNIL)
Un fournisseur sérieux répond à ces 7 questions sans hésitation. S'il esquive ou renvoie à ses CGV générales, c'est un signal d'alerte.
Ce que cela implique concrètement pour votre organisation
La conformité RGPD pour l'IA n'est pas un projet ponctuel : c'est une pratique continue. Trois actions prioritaires à mettre en place :
- Inventorier les outils IA déjà utilisés par vos équipes (y compris les usages informels de ChatGPT sur des données internes)
- Qualifier chaque outil sur les critères ci-dessus
- Documenter le traitement dans votre registre des activités de traitement (obligatoire pour toute organisation de plus de 250 personnes, fortement recommandé pour les autres)
Le RGPD ne crée pas d'obstacle à l'adoption de l'IA — il crée un cadre. Les organisations qui l'intègrent dès le début ont un avantage réel sur celles qui devront se mettre en conformité sous pression.