L’IA, c’est pratique. Mais est-ce legal ?

Vous avez commence a utiliser l’IA dans votre entreprise — ou vous y pensez serieusement. Et puis quelqu’un pose la question qui refroidit tout le monde : “Et le RGPD ?”

C’est une bonne question. Et la reponse est rassurante : oui, on peut utiliser l’IA en respectant parfaitement le RGPD. Mais il faut comprendre ou sont les risques et comment les eviter.

Ce n’est pas l’IA elle-meme qui pose probleme. C’est la maniere dont les donnees sont traitees, stockees et transmises. Et sur ce point, toutes les solutions ne se valent pas.

Le vrai probleme : ou vont vos donnees ?

Quand vous utilisez un outil d’IA en ligne — ChatGPT, Gemini, ou n’importe quelle plateforme cloud —, vos donnees quittent votre entreprise. Elles sont envoyees sur des serveurs distants, souvent heberges aux Etats-Unis.

Concretement, ca veut dire que :

Les noms de vos clients transitent par des serveurs tiers
Les montants de vos factures sont traites a l’etranger
Les informations medicales, juridiques ou contractuelles que vous confiez a l’IA sont potentiellement accessibles a un prestataire exterieur

Le RGPD est tres clair la-dessus : vous etes responsable du traitement des donnees personnelles que vous manipulez. Si ces donnees se retrouvent sur un serveur non conforme, c’est votre responsabilite. Pas celle de l’editeur du logiciel.

IA locale vs IA cloud : la difference fondamentale

C’est la que la distinction entre IA locale et IA cloud change tout.

IA cloud (ChatGPT, Gemini, etc.)

Vos donnees sont envoyees a un serveur distant pour etre traitees. Vous n’avez aucun controle sur ce qui se passe ensuite — stockage, utilisation pour l’entrainement du modele, duree de conservation. Meme avec des garanties contractuelles, vous dependez de la politique de confidentialite d’un tiers.

IA locale (modeles open-source sur votre machine)

Les donnees ne quittent jamais votre bureau. Le modele d’IA tourne sur votre propre materiel, traite les informations en local, et rien ne transite par internet. Du point de vue du RGPD, c’est l’option la plus sure : il n’y a tout simplement pas de transfert de donnees a un tiers.

Ce que dit le RGPD (en clair)

Le RGPD repose sur quelques principes fondamentaux. Voici comment ils s’appliquent a l’utilisation de l’IA :

Minimisation des donnees

Vous ne devez traiter que les donnees strictement necessaires. Si votre IA n’a besoin que du nom et de l’adresse e-mail d’un client pour rediger une relance, ne lui envoyez pas toute la fiche client avec son historique d’achats et ses coordonnees bancaires.

En pratique : configurez vos prompts et vos agents pour qu’ils ne recoivent que les informations indispensables.

Finalite du traitement

Vous devez pouvoir justifier pourquoi vous traitez telle donnee. “Generer un brouillon de reponse client” est une finalite claire et legitime. “Envoyer toutes les donnees clients a un outil IA pour voir ce qu’il en fait” ne l’est pas.

En pratique : documentez chaque usage de l’IA et la raison pour laquelle il necessite des donnees personnelles.

Droit d’acces et de suppression

Vos clients ont le droit de savoir quelles donnees vous detenez sur eux et de demander leur suppression. Si vous utilisez une IA cloud, pouvez-vous garantir que les donnees transmises ont ete supprimees de leurs serveurs ? Avec une IA locale, la question ne se pose meme pas — les donnees sont chez vous, vous les supprimez quand vous voulez.

Transferts hors UE

Le RGPD encadre strictement les transferts de donnees en dehors de l’Union europeenne. La plupart des fournisseurs d’IA cloud sont americains. Meme avec le cadre EU-US Data Privacy Framework, la situation juridique reste fragile et peut evoluer.

En pratique : une IA qui tourne en local elimine completement cette problematique.

Avant / Apres : gerer la conformite RGPD avec l’IA

Avant : l’IA cloud sans precautions

Aspect	Situation
Donnees clients	Envoyees sur des serveurs tiers
Localisation du traitement	Etats-Unis ou inconnu
Controle des donnees	Aucun apres l’envoi
Temps passe sur la conformite	0 (le sujet est ignore)
Risque RGPD	Eleve — amende potentielle jusqu’a 4% du CA

Apres : une approche hybride maitrisee

Aspect	Situation
Donnees sensibles	Traitees en local, jamais transmises
Donnees non sensibles	Cloud possible avec cadre contractuel
Localisation du traitement	France / local
Controle des donnees	Total
Temps passe sur la conformite	1h de configuration initiale
Risque RGPD	Maitrise

L’approche hybride : le meilleur des deux mondes

La bonne strategie n’est pas de choisir entre local et cloud. C’est de combiner les deux selon la sensibilite des donnees.

Donnees personnelles, contrats, informations medicales ou juridiques : traitement en local uniquement. Un modele open-source comme Llama ou Mistral, qui tourne sur votre machine, peut rediger, analyser et synthetiser sans qu’aucune donnee ne quitte vos murs.
Taches generiques sans donnees sensibles : redaction de contenu marketing, recherche d’informations publiques, generation d’idees. La, un modele cloud via API est parfaitement adapte — et souvent plus performant sur les taches complexes.

La cle, c’est la separation. Vos donnees sensibles ne touchent jamais le cloud. Le cloud n’intervient que sur les taches ou il n’y a aucun risque.

Checklist RGPD pour utiliser l’IA en PME

Voici une liste concrete de points a verifier avant de deployer un outil d’IA dans votre entreprise :

Cartographiez vos donnees : quelles donnees personnelles allez-vous confier a l’IA ? Noms, adresses, informations financieres, donnees de sante ?
Choisissez le bon mode de traitement : local pour les donnees sensibles, cloud pour le reste. Jamais de donnees personnelles sur un outil cloud sans cadre contractuel solide.
Verifiez les CGU de votre fournisseur : est-ce que vos donnees sont utilisees pour entrainer le modele ? Ou sont-elles stockees ? Pendant combien de temps ?
Documentez vos traitements : ajoutez l’utilisation de l’IA a votre registre des traitements RGPD. Precisez la finalite, la nature des donnees et le mode de traitement.
Informez vos clients : si vous utilisez l’IA pour traiter des donnees clients, mentionnez-le dans votre politique de confidentialite. La transparence est une obligation legale.
Prevoyez un droit de suppression effectif : pouvez-vous supprimer toutes les donnees d’un client, y compris celles qui ont ete traitees par l’IA ? Avec une IA locale, la reponse est oui par defaut.
Formez vos equipes : vos collaborateurs doivent savoir quelles donnees ils peuvent et ne peuvent pas confier a un outil d’IA. Un rappel simple en reunion suffit souvent.

Les sanctions sont reelles

Ce n’est pas de la theorie. La CNIL a prononce des amendes significatives ces dernieres annees, y compris contre des PME. Les montants peuvent atteindre 20 millions d’euros ou 4% du chiffre d’affaires annuel — c’est le montant le plus eleve qui s’applique.

Mais au-dela des amendes, c’est la confiance de vos clients qui est en jeu. Une fuite de donnees ou un usage non conforme peut durablement affecter votre reputation.

Par ou commencer ?

Faites le tri : listez toutes les taches ou vous utilisez (ou comptez utiliser) l’IA. Classez-les en deux colonnes — “donnees sensibles” et “donnees generiques”.
Securisez le sensible : pour tout ce qui touche aux donnees personnelles, optez pour une solution locale. Un modele open-source sur une machine dediee elimine 90% des risques RGPD.
Cadrez le reste : pour les usages cloud, verifiez les conditions de votre fournisseur et documentez le traitement dans votre registre RGPD.
Communiquez en interne : informez vos equipes des regles a suivre. Pas besoin d’une formation de 3 jours — un memo clair de 10 lignes suffit pour commencer.

Le RGPD n’est pas un obstacle a l’IA. C’est un cadre qui vous pousse a faire les bons choix techniques. Et les bons choix techniques, en 2026, c’est souvent les plus simples : garder vos donnees sensibles chez vous, et utiliser le cloud uniquement quand c’est pertinent et sans risque.

IA et RGPD : comment rester conforme en tant que PME