IA et RGPD : ce qu'une petite entreprise doit savoir

Le RGPD s’applique à l’intelligence artificielle comme à tout autre outil dès que des données personnelles sont traitées : noms, e-mails, numéros de téléphone, contenu des demandes clients. Une petite entreprise qui utilise l’IA doit donc savoir quelles données passent par l’outil, sur quelle base légale, où elles sont stockées et combien de temps. Ce guide présente les points essentiels, de façon générale ; pour une situation précise, les ressources de la CNIL et un professionnel du droit font référence.

Le RGPD s’applique-t-il à l’IA dans une petite entreprise ?

Oui. Le règlement général sur la protection des données ne dépend ni de la taille de l’entreprise ni de la technologie utilisée. Il s’applique dès qu’une donnée permet d’identifier une personne, directement ou indirectement, et qu’elle est collectée, stockée, analysée ou transmise.

Avec l’IA, la question se pose dans des situations très concrètes :

• un e-mail de client copié dans un assistant conversationnel pour préparer une réponse ;
• un agent IA qui lit les demandes reçues via le formulaire du site ;
• une automatisation qui recopie des coordonnées dans un tableau de suivi ;
• un outil qui résume des comptes rendus de rendez-vous contenant des noms.

Dans chacun de ces cas, l’entreprise reste responsable du traitement, même si c’est un outil tiers qui effectue le travail.

Quelles données personnelles sont concernées par l’IA ?

Il est utile de distinguer plusieurs niveaux de sensibilité.

Type de données	Exemples	Niveau de précaution
Données d’identification et de contact	Nom, e-mail, téléphone, adresse	Précautions classiques du RGPD
Contenu des échanges	Description d’un projet, demande de devis, historique client	Minimiser, ne transmettre que l’utile
Données financières	Coordonnées bancaires, montants de factures nominatives	Éviter de les confier à un outil d’IA sans garanties solides
Données sensibles au sens du RGPD	Santé, opinions, appartenance syndicale, origine, vie sexuelle	Régime renforcé ; à exclure par défaut des usages courants de l’IA
Données anonymisées	Statistiques sans possibilité de réidentification	Hors du champ du RGPD si l’anonymisation est réelle

Attention : une donnée simplement débarrassée du nom n’est pas forcément anonyme. Si l’on peut retrouver la personne par recoupement, on parle de pseudonymisation, et le RGPD continue de s’appliquer.

Quelles obligations respecter quand on utilise l’IA ?

Une base légale pour chaque usage

Tout traitement de données personnelles doit reposer sur une base légale : exécution d’un contrat, obligation légale, intérêt légitime, consentement, notamment. Traiter une demande de devis avec l’aide d’un agent IA peut, selon les cas, se rattacher aux mesures précontractuelles demandées par la personne. Le choix de la base légale dépend du contexte et mérite d’être documenté.

L’information des personnes

Les personnes doivent savoir comment leurs données sont utilisées : finalité, destinataires, durée de conservation, droits. Cette information figure généralement dans la politique de confidentialité et à proximité des formulaires. La page qu’est-ce qu’un formulaire de contact conforme détaille les mentions attendues.

La minimisation et la durée de conservation

Ne transmettre à l’outil que les données nécessaires à la tâche, et ne pas les garder plus longtemps que nécessaire. Un agent qui trie des demandes n’a pas besoin d’accéder à tout l’historique de la messagerie.

Les droits des personnes

Accès, rectification, effacement, opposition : l’entreprise doit pouvoir y répondre, y compris pour les données traitées par un outil d’IA. Le RGPD encadre aussi les décisions entièrement automatisées produisant des effets importants pour une personne ; une validation humaine sur les décisions qui comptent est une précaution utile.

Comment choisir un outil d’IA compatible avec le RGPD ?

Le fournisseur d’un outil d’IA qui traite des données pour votre compte agit en principe comme sous-traitant au sens du RGPD. Plusieurs points sont à vérifier avant de l’utiliser :

1. Un contrat ou des conditions de sous-traitance précisant les obligations du fournisseur.
2. Le lieu de traitement et de stockage des données, et l’encadrement des éventuels transferts hors de l’Union européenne.
3. La réutilisation des données : sont-elles utilisées pour entraîner ou améliorer les modèles, et peut-on le refuser ?
4. Les mesures de sécurité : chiffrement, gestion des accès, journalisation.
5. La durée de conservation des conversations et des fichiers transmis.

Ces informations figurent en général dans la documentation juridique du fournisseur. Pour aller plus loin sur la sécurité, voir mes données sont-elles en sécurité avec un agent IA.

Quelles bonnes pratiques adopter au quotidien ?

• Tenir à jour le registre des traitements en y ajoutant les usages de l’IA.
• Fixer des règles écrites : quelles données peuvent être saisies dans quel outil, et lesquelles sont exclues.
• Limiter les accès de chaque outil au strict nécessaire.
• Pseudonymiser quand c’est possible, par exemple en remplaçant les noms avant de demander un résumé.
• Garder une trace de ce qui a été mis en place, des réglages choisis et des tests réalisés.
• Évaluer les usages à risque : pour certains traitements susceptibles d’engendrer un risque élevé, une analyse d’impact peut être requise. La CNIL publie des listes et des méthodes à ce sujet.

Les mêmes principes valent pour les automatisations sans IA : la page automatisation et RGPD : quelles précautions les reprend.

Quel lien entre le RGPD et le règlement européen sur l’IA ?

Le règlement européen sur l’intelligence artificielle (AI Act) ne remplace pas le RGPD : il s’y ajoute. Il classe les systèmes d’IA selon leur niveau de risque et impose des obligations proportionnées, dont des règles de transparence, par exemple lorsqu’une personne échange avec un système d’IA. Son entrée en application est progressive. La page qu’est-ce que le règlement européen sur l’IA en présente les grandes lignes.

Pour la plupart des usages courants d’une petite entreprise (rédaction, tri de demandes, prise de rendez-vous), l’essentiel consiste à respecter le RGPD et à être transparent. Les textes officiels et les publications de la CNIL restent la référence, car les modalités d’application évoluent.

Comment Guillot Studio intègre-t-il ces précautions ?

Pour un agent IA (dès 1 400 € puis 250 €/mois) ou une automatisation (dès 400 € puis 150 €/mois), je propose de limiter les accès au nécessaire et je teste avant la mise en service. Les abonnements aux outils, l’hébergement et les coûts d’usage de l’IA sont à la charge du client, estimés avant. Ce cadrage technique ne remplace pas un conseil juridique.

Questions fréquentes

Peut-on coller l’e-mail d’un client dans un assistant IA ?

C’est un traitement de données personnelles. Par prudence, retirez les éléments identifiants ou utilisez un outil offrant des garanties contractuelles adaptées.

Faut-il le consentement des clients pour utiliser l’IA ?

Pas systématiquement : le consentement n’est qu’une des bases légales possibles. L’information des personnes, elle, est toujours requise.

Une petite entreprise doit-elle nommer un délégué à la protection des données ?

Ce n’est obligatoire que dans certains cas définis par le RGPD. La CNIL propose des outils pour savoir si vous êtes concerné.

Que faire en cas de fuite de données liée à un outil d’IA ?

Certaines violations de données doivent être notifiées à la CNIL dans des délais courts, et parfois aux personnes concernées. Le site de la CNIL décrit la procédure.

En résumé

IA et RGPD vont de pair : dès que des données personnelles passent par un outil d’intelligence artificielle, les règles habituelles s’appliquent. Base légale, information des personnes, minimisation, durée de conservation, choix d’un sous-traitant offrant des garanties et sécurité des accès forment le socle. Le règlement européen sur l’IA ajoute des obligations, notamment de transparence. Les ressources de la CNIL et un professionnel du droit restent les références pour toute situation précise.