« Est-ce qu’on a le droit de mettre ça dans ChatGPT ? » Cette question revient dans toutes les équipes, et elle est saine. La bonne nouvelle, c’est que la conformité au RGPD ne repose pas sur une expertise juridique pointue : elle tient à une poignée de réflexes simples, que chacun peut appliquer au quotidien. Voici les sept que je transmets systématiquement en mission.
IA et RGPD en entreprise : interdiction ou cadre à poser ?
Le RGPD n’interdit pas d’utiliser l’IA. Il impose, dès que vous traitez des données personnelles (clients, salariés, prospects), de savoir qui les traite, où elles vont et sur quelle base. Autrement dit, le sujet n’est pas « l’IA est-elle légale ? », mais « comment l’utiliser proprement ? ». La différence est de taille : elle fait passer d’une interdiction floue, que les équipes contournent en douce sur leurs comptes personnels, à un cadre clair que tout le monde peut suivre. C’est ce cadre qui protège réellement vos données.
Les 7 réflexes RGPD à ancrer dans le quotidien
-
Savoir où vont vos données selon l’outil. Une version grand public gratuite peut réutiliser vos conversations pour améliorer son modèle ; une offre professionnelle s’engage contractuellement à ne pas le faire. C’est la distinction qui change tout, et je la détaille dans mon article sur la confidentialité des données en entreprise. Le premier réflexe : équiper officiellement les équipes d’une offre entreprise, plutôt que de laisser prospérer un usage clandestin.
-
Définir les données à ne jamais saisir en clair. Dressez la liste des informations à proscrire : données personnelles nominatives de clients ou de salariés, données de santé, éléments contractuels ou financiers identifiants. Le réflexe le plus efficace reste d’anonymiser avant de saisir : « un client du secteur bancaire » au lieu du nom. Dans la plupart des cas d’usage, l’IA n’a pas besoin de l’identité des personnes pour produire un résultat utile.
-
Clarifier la base légale et informer les personnes concernées. Dès que vous traitez des données personnelles via un outil d’IA, vous devez pouvoir justifier pourquoi (consentement, intérêt légitime, exécution d’un contrat) et en informer les personnes concernées. Concrètement, cela passe souvent par une ligne ajoutée à votre politique de confidentialité et à l’information des salariés. Rien d’insurmontable, à condition de ne pas l’oublier.
-
Encadrer la sous-traitance et l’hébergement. Saisir des données personnelles dans un outil d’IA fait de l’éditeur un sous-traitant. Il vous faut donc un accord de traitement des données (DPA), que les offres entreprise incluent, et une attention à la localisation de l’hébergement : des options européennes existent chez la plupart des éditeurs. Vérifiez aussi la durée de conservation des conversations. C’est une décision à prendre une fois, proprement.
-
Tenir un registre des usages d’IA. Notez, dans un tableau simple, quels outils sont utilisés, pour quelles finalités et avec quelles catégories de données. Ce registre n’est pas une contrainte administrative de plus : c’est votre mémoire collective le jour où une personne exerce son droit d’accès, ou lors d’un contrôle. Il tient sur une page et se met à jour en quelques minutes par trimestre.
-
Relier chaque usage à votre charte IA. Les réflexes précédents ne tiennent dans le temps que s’ils sont écrits et connus de tous. Une charte d’une page suffit : outils autorisés, données saisissables, réflexe d’anonymisation, obligation de relire toute production avant diffusion, et vers qui se tourner en cas de doute. J’en donne un modèle prêt à adapter dans mon article sur la charte IA en entreprise.
-
Articuler RGPD et AI Act. Le RGPD protège les données personnelles ; l’AI Act, lui, encadre les usages de l’IA selon leur niveau de risque. Les deux se complètent et partagent la même logique : transparence, traçabilité, intervention humaine. Traiter la conformité RGPD proprement vous met déjà en bonne posture pour le reste. Pour comprendre ce que la réglementation change concrètement, voyez mon article dédié à l’AI Act en entreprise.
La conformité RGPD n’est pas un frein à l’adoption de l’IA : c’est ce qui la rend durable. Ces sept réflexes se mettent en place en quelques semaines, et j’accompagne régulièrement des dirigeants pour poser ce cadre dans le cadre de mes missions de conseil, choix des outils et rédaction de la charte compris. Un volet conformité est aussi intégré à mes formations en entreprise, pour que chaque équipe reparte avec les bons automatismes. Pour faire le point sur votre situation, réservez un appel découverte : 30 minutes, gratuit et sans engagement.