RGPD et IA en Entreprise : le Guide pour Utiliser l'IA en Conformité
Le RGPD ne mentionne pas l'intelligence artificielle. Pourtant, il s'applique à chaque fois qu'un collaborateur colle un contrat, un fichier client ou un CV dans un assistant IA. Et ces usages se sont généralisés : 40 % des TPE et PME utilisent désormais l'IA, et plus d'une PME sur deux.
Ce guide s'adresse aux entreprises qui utilisent l'IA, pas à celles qui la développent. Il détaille vos obligations RGPD, ce que recommande la CNIL, l'articulation avec l'IA Act, les sanctions réellement prononcées, et les questions à poser avant de choisir un outil.
Le RGPD s'applique-t-il à l'IA ?
Oui, dès qu'une donnée personnelle entre en jeu. Le RGPD encadre tout traitement de données permettant d'identifier une personne, directement ou indirectement. Or, avec une IA, ces données sont partout : dans les questions posées, dans les documents transmis, dans les réponses générées, et parfois dans les journaux conservés par le fournisseur.
Quand votre entreprise décide d'utiliser une IA pour traiter ces données, elle est responsable de traitement. Le fournisseur de l'outil agit le plus souvent comme sous-traitant, à condition qu'il traite les données uniquement pour votre compte. S'il les réutilise pour ses propres besoins, par exemple pour entraîner ses modèles, il devient responsable de ce traitement-là, et la situation se complique nettement.
Les obligations RGPD quand votre entreprise utilise l'IA
Inscrire les usages IA au registre des traitements
Chaque usage qui touche des données personnelles (tri de candidatures, synthèse de dossiers clients, chatbot) doit figurer au registre, avec sa finalité, les données concernées et les destinataires. En pratique, la quasi-totalité des entreprises doivent tenir ce registre, même en dessous de 250 salariés.
Définir une finalité et une base légale
Pourquoi utilisez-vous l'IA sur ces données, et sur quel fondement : contrat, obligation légale, intérêt légitime ou consentement ? Un usage « pour voir ce que ça donne » n'est pas une finalité.
Minimiser les données et protéger les données sensibles
Ne transmettez que ce qui est nécessaire. Les données de santé, d'opinion, d'origine ou les données biométriques sont en principe interdites de traitement, sauf exceptions encadrées. Elles n'ont rien à faire dans un assistant IA grand public.
Informer les personnes concernées
Clients, candidats, salariés : ils doivent savoir que leurs données peuvent être traitées par une IA, dans quel but et avec quels destinataires. Mettez à jour vos mentions d'information et votre politique de confidentialité.
Encadrer le fournisseur et les transferts
Un contrat de sous-traitance (article 28) doit préciser ce que le fournisseur peut faire des données. Si elles quittent l'Union européenne, le transfert doit être encadré. Et si le fournisseur est soumis au droit américain, le Cloud Act reste un risque, même avec des serveurs en Europe.
Réaliser une analyse d'impact quand le risque est élevé
L'analyse d'impact (AIPD) s'impose quand le traitement présente un risque élevé pour les personnes. C'est souvent le cas pour l'IA appliquée aux personnes : recrutement, évaluation des salariés, surveillance, profilage de clients.
Garder un humain dans la boucle pour les décisions importantes
L'article 22 du RGPD encadre les décisions fondées exclusivement sur un traitement automatisé et produisant des effets importants pour une personne, comme le rejet d'une candidature. Une validation humaine réelle, pas de pure forme, reste la règle.
Ce que recommande la CNIL pour l'IA générative
La CNIL a publié en juillet 2024 des questions-réponses destinées aux organismes qui utilisent un système d'IA générative. C'est la ressource la plus utile pour une entreprise, bien plus que ses recommandations de février 2025, qui s'adressent surtout aux concepteurs de modèles. Voici les points clés.
- Encadrer par une charte : la CNIL recommande d'« encadrer l'utilisation d'un système d'IA générative par des politiques ou chartes internes », qui listent les usages autorisés et interdits. Notre modèle de charte IA part de ce principe.
- Interdire certaines données : elle recommande d'interdire la fourniture de données confidentielles, notamment celles couvertes par le secret des affaires, ou de données personnelles, selon le contexte et le mode de déploiement.
- Vérifier la réutilisation par le fournisseur : la possibilité que les données saisies servent au fournisseur, par exemple pour entraîner ses modèles, doit être un critère de choix de l'outil.
- Former les utilisateurs : connaître le fonctionnement et les limites de l'outil, et garder un regard critique sur ses réponses.
- Choisir le bon mode de déploiement : la CNIL distingue trois cas, résumés ci-dessous.
| Mode de déploiement | Lecture de la CNIL | Pour quelles données |
|---|---|---|
| Sur site (on premise) | Adapté aux données confidentielles, mais plus coûteux | ✅ Données sensibles, secret des affaires, données clients |
| Cloud hébergé | Accessible aux petites structures, à condition d'un niveau de sécurité approprié | Données courantes, avec contrat et garanties |
| API d'un fournisseur | Vigilance maximale : éviter autant que possible d'y faire transiter des données personnelles | Données non personnelles ou anonymisées |
Sur le plan européen, le Comité européen de la protection des données (CEPD) a précisé fin 2024, dans son avis 28/2024, dans quelles conditions un modèle d'IA peut être considéré comme anonyme et comment s'apprécie l'intérêt légitime. Et la CNIL s'intéresse désormais aux agents : elle a publié en juillet 2026, avec le Conseil de l'IA et du numérique, une note exploratoire sur l'IA agentique et les données personnelles. Si vous envisagez des agents IA, c'est un sujet à suivre.
Deux textes, un seul usageRGPD et IA Act : comment les deux textes s'articulent
L'IA Act ne remplace pas le RGPD : il s'y ajoute. Le RGPD protège les données personnelles, quel que soit l'outil. L'IA Act encadre les systèmes d'IA eux-mêmes, selon leur niveau de risque, même quand aucune donnée personnelle n'est en jeu.
| Critère | RGPD | IA Act |
|---|---|---|
| Ce qui est encadré | Les traitements de données personnelles | Les systèmes d'IA, selon leur niveau de risque |
| En vigueur depuis | Mai 2018 | Par étapes depuis février 2025 |
| Pour une entreprise utilisatrice | Registre, base légale, information, sécurité, encadrement des fournisseurs | Formation des équipes, pratiques interdites, transparence, obligations renforcées pour les usages à haut risque |
| Autorité de contrôle en France | La CNIL | Plusieurs autorités prévues selon les usages (DGCCRF en coordination, CNIL pour plusieurs domaines) |
Côté calendrier, les pratiques interdites et l'obligation de former les équipes à l'IA s'appliquent depuis le 2 février 2025, et les règles de transparence depuis le 2 août 2026. Les obligations sur les systèmes à haut risque, comme le tri de candidatures, ont été reportées par l'omnibus numérique adopté en juin 2026 : au 2 décembre 2027 pour la plupart des cas. Le schéma des autorités françaises chargées de l'IA Act doit encore être fixé par la loi, mais la CNIL reste compétente pour tout ce qui touche aux données personnelles. Le détail des échéances figure dans notre guide de l'IA Act.
Les risquesSanctions RGPD et IA : ce que vous risquez vraiment
Les plafonds légaux
- RGPD : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.
- IA Act : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires pour les pratiques interdites, et jusqu'à 15 millions ou 3 % pour les autres manquements. Pour les PME, c'est le montant le plus faible des deux qui s'applique.
Ce que la CNIL sanctionne réellement
| Année | Sanctions | Dont procédure simplifiée | Montant total des amendes |
|---|---|---|---|
| 2024 | 87 | 69 | 55,2 millions d'euros |
| 2025 | 83 | 67 | 486,8 millions d'euros |
Le total de 2025 s'explique surtout par deux amendes record liées aux cookies, de 325 et 150 millions d'euros. Pour une PME, le chiffre le plus parlant est ailleurs : la grande majorité des sanctions passe désormais par la procédure simplifiée, plafonnée à 20 000 euros, plus rapide et pensée pour les manquements courants. Parmi les manquements les plus sanctionnés en 2025 : la sécurité insuffisante des données, l'absence de réponse aux demandes de la CNIL et la non-prise en compte des demandes d'accès ou d'effacement. Trois manquements qu'un usage non encadré de l'IA peut facilement provoquer.
Au-delà des amendes, le risque le plus immédiat est souvent commercial : de plus en plus de clients interrogent leurs fournisseurs sur l'usage de l'IA et le traitement des données qu'ils leur confient. Une fuite liée à un outil IA peut coûter un contrat bien avant une sanction.
Choisir un outilChoisir une IA conforme au RGPD : les questions à poser
Une IA conforme RGPD, c'est d'abord un fournisseur capable de répondre clairement sur le sort de vos données. Avant de déployer un outil, posez-lui ces six questions et exigez des réponses écrites.
| Question | Pourquoi c'est important |
|---|---|
| Où sont traitées les données, et par qui ? | Les transferts hors Union européenne doivent être encadrés, et un fournisseur soumis au droit américain reste exposé au Cloud Act. |
| Les données servent-elles à entraîner les modèles ? | Si oui, vos informations peuvent ressortir ailleurs et le fournisseur cesse d'être un simple sous-traitant. |
| Un contrat de sous-traitance est-il fourni ? | Il est obligatoire (article 28) et doit préciser finalités, sécurité et sous-traitants ultérieurs. |
| Combien de temps les données sont-elles conservées ? | Questions, documents et journaux doivent pouvoir être supprimés. |
| Peut-on gérer les accès par utilisateur ? | Indispensable pour limiter qui voit quoi et tracer les usages. |
| Les échanges sont-ils journalisés chez vous ? | La traçabilité facilite les contrôles et la réponse aux demandes des personnes. |
Les versions grand public des assistants IA échouent souvent à plusieurs de ces questions. Nous détaillons les erreurs les plus fréquentes dans notre article sur ChatGPT et les données confidentielles, et la méthode complète dans notre guide pour choisir un éditeur d'IA souverain.
Notre audit gratuit fait le point sur vos outils, vos données et vos priorités.
L'IA locale : supprimer le risque à la source
Une IA installée sur vos propres serveurs ne vous dispense pas du RGPD : registre, information des personnes et sécurité restent nécessaires. En revanche, elle supprime d'un coup les points les plus délicats, ceux sur lesquels vous avez le moins de prise avec un service en ligne. C'est d'ailleurs le mode de déploiement que la CNIL présente comme adapté aux données confidentielles.
Aucun transfert hors UE
Les données restent dans vos locaux. Pas de transfert à encadrer, pas d'exposition au Cloud Act.
Aucune réutilisation par un tiers
Vos données ne servent à entraîner aucun modèle extérieur. Vous savez exactement qui y accède.
Un registre plus simple
Pas de chaîne de sous-traitants à documenter : le traitement se fait dans votre périmètre.
Une traçabilité complète
Les journaux restent chez vous, ce qui facilite les contrôles et les demandes d'accès ou d'effacement.
Pour comprendre le principe, consultez notre article qu'est-ce qu'une IA locale. Pour un assistant qui répond aux questions de vos équipes ou de vos clients sans faire sortir vos données, voyez notre chatbot IA local.
Passer à l'actionChecklist : mettre vos usages IA en conformité RGPD
- Recensez les outils IA utilisés, y compris ceux adoptés sans validation par les équipes (le Shadow AI).
- Identifiez les données concernées pour chaque usage : clients, salariés, candidats, données sensibles.
- Mettez à jour le registre avec chaque usage qui touche des données personnelles.
- Vérifiez les contrats de vos fournisseurs : sous-traitance, transferts, réutilisation pour l'entraînement.
- Désactivez l'entraînement sur vos données quand l'outil le permet, et privilégiez les offres professionnelles.
- Réalisez une AIPD pour les usages à risque élevé : recrutement, évaluation, surveillance.
- Rédigez une charte d'usage qui précise les outils autorisés et les données interdites.
- Formez vos équipes, ce qui est aussi une obligation de l'IA Act depuis février 2025.
- Mettez à jour vos mentions d'information à destination des clients, candidats et salariés.
- Pour les données sensibles, basculez vers une IA qui tourne dans votre propre infrastructure.
Questions fréquentes sur le RGPD et l'IA
Non, l'outil n'est pas interdit en soi. C'est l'usage qui peut poser problème : y saisir des données personnelles ou confidentielles sans contrat adapté, sans information des personnes ou avec une version qui réutilise les données pour l'entraînement. Les offres professionnelles réduisent certains risques, mais le fournisseur reste soumis au droit américain.
Non. Les deux textes s'appliquent en même temps. Le RGPD protège les données personnelles, l'IA Act encadre les systèmes d'IA selon leur niveau de risque. Un même usage, comme un outil de tri de candidatures, peut relever des deux.
Pas forcément. La désignation d'un DPO est obligatoire pour les organismes publics et pour les entreprises dont l'activité principale implique un suivi régulier et systématique de personnes à grande échelle, ou le traitement à grande échelle de données sensibles. Utiliser un assistant IA ne rend pas, à lui seul, un DPO obligatoire. Désigner un référent interne reste une bonne pratique.
Oui si le traitement présente un risque élevé pour les personnes, ce qui est fréquent quand l'IA sert à évaluer, trier ou surveiller des personnes. Pour un assistant de rédaction qui ne traite pas de données personnelles, elle n'est généralement pas nécessaire.
Non. L'hébergement en France est un atout, mais la conformité dépend aussi de l'usage, du contrat et de l'opérateur. Si l'éditeur est soumis au droit américain, ses serveurs français ne le protègent pas du Cloud Act. Pour aller plus loin, consultez notre guide de l'IA souveraine.
Commencez par identifier les données et l'outil concernés, et vérifiez les conditions du fournisseur (conservation, réutilisation, possibilité de suppression). Évaluez ensuite s'il s'agit d'une violation de données au sens du RGPD : si elle présente un risque pour les personnes, elle doit être notifiée à la CNIL dans les 72 heures. Enfin, mettez en place une charte et un outil adapté pour éviter que cela se reproduise.
La CNIL traite désormais la plupart des dossiers par une procédure simplifiée, avec des amendes plafonnées à 20 000 euros. Les plafonds généraux du RGPD (20 millions d'euros ou 4 % du chiffre d'affaires mondial) s'appliquent aux cas graves. Pour une PME, le préjudice commercial d'une fuite peut toutefois dépasser l'amende.
Utilisez l'IA sans exposer vos données
Nous faisons le point sur vos usages, formons vos équipes et installons une IA qui garde vos données chez vous.
