IA RGPD entreprise : le guide pratique de mise en conformité

Utiliser l'IA sans enfreindre le RGPD

Dès qu'un outil d'IA traite des données personnelles, le RGPD s'applique intégralement. Vous devez identifier une base légale, minimiser les données transmises (n'envoyez que le strict nécessaire), informer les personnes concernées, et fixer une durée de conservation. Vérifiez où sont hébergées les données et si le fournisseur les réutilise pour entraîner ses modèles. Un outil grand public sans accord de traitement des données n'a pas sa place sur des données personnelles réelles. La CNIL publie des recommandations sur l'IA : vérifiez l'état en vigueur avant de déployer. Posez-vous une question simple avant chaque usage : cette donnée personnelle est-elle vraiment nécessaire pour obtenir le résultat ? Si la réponse est non, retirez-la. La minimisation n'est pas une option, c'est un principe du RGPD. Vérifiez également la durée de conservation des échanges par le fournisseur et la possibilité de les supprimer. Un historique de conversation qui contient des données personnelles est lui aussi un traitement à encadrer.

L'IA au service de la conformité RGPD

Dans l'autre sens, l'IA outille le travail du DPO. Elle rédige un premier jet de registre des traitements à partir de vos descriptions, prépare un brouillon d'analyse d'impact (AIPD), reformule une politique de confidentialité, ou aide à trier et à répondre aux demandes d'exercice de droits. L'outil produit des brouillons que le DPO relit, corrige et valide avant toute diffusion. La responsabilité reste celle du professionnel. L'IA excelle sur les tâches répétitives et normées : reformuler, structurer, comparer des versions, repérer les incohérences entre documents. Elle est moins fiable dès qu'il faut trancher une question de droit, où elle peut se tromper et affirmer une règle inexacte avec aplomb.

Les obligations à ne pas manquer

Quatre repères structurent l'usage. La base légale et la minimisation conditionnent la licéité du traitement. L'information des personnes doit mentionner l'usage d'un système d'IA lorsque c'est pertinent. La sécurité impose de tracer les accès et de chiffrer si nécessaire. Enfin, en cas de fuite, la notification à la CNIL intervient sous 72 heures. Si votre système relève de l'AI Act, ajoutez les obligations liées à son niveau de risque parmi les 4 prévus. Ces règles évoluent, ne les considérez pas comme figées. Ajoutez un point souvent oublié : la sous-traitance. Si l'outil d'IA traite des données pour votre compte, un accord de traitement des données doit encadrer le fournisseur, préciser les finalités et interdire les usages non prévus.

Comment s'y prendre, étape par étape

Rédiger un premier jet de registre des traitements

1. Ouvrez Claude (Anthropic) ou ChatGPT (OpenAI), avec des descriptions génériques, sans données personnelles réelles.
2. Décrivez un traitement (finalité, catégories de données, destinataires, durée).
3. Demandez une fiche de registre structurée et les points à vérifier.
4. Faites valider la fiche par le DPO avant intégration au registre officiel.
5. Datez la fiche et conservez la version validée pour l'audit.

Préparer un brouillon d'analyse d'impact

1. Dans Microsoft Copilot (Microsoft 365, données du tenant), rassemblez la description du projet.
2. Demandez une trame d'AIPD avec les risques pour les personnes et des mesures d'atténuation.
3. Demandez la liste des questions ouvertes à instruire.
4. Complétez et validez : l'AIPD engage l'entreprise, l'outil en prépare la trame.
5. Faites relire l'AIPD finalisée par le DPO avant toute décision.

Prépare un brouillon d'analyse d'impact relative à la protection des données (AIPD) pour ce projet. Liste les risques pour les personnes concernées et des mesures d'atténuation possibles. Termine par les questions à instruire avec le DPO.

Aider au traitement d'une demande de droits

1. Anonymisez la demande avant tout usage d'un outil externe.
2. Demandez un projet de réponse conforme aux droits d'accès, de rectification ou d'effacement.
3. Demandez de lister les vérifications d'identité et de périmètre à faire.
4. Vérifiez le contenu et les délais légaux avant d'envoyer.
5. Respectez le délai de réponse prévu par le RGPD.

Voici une demande d'exercice de droits anonymisée. Rédige un projet de réponse neutre rappelant les droits concernés et les vérifications à mener. Ne prends aucune décision définitive sur la demande.

Choisir un usage selon la sensibilité

Le bon réflexe : adapter l'outil à la sensibilité des données en jeu. La règle est graduée : plus la donnée est sensible, plus l'environnement doit être maîtrisé.

En cas de doute sur la sensibilité, traitez la donnée comme sensible. L'excès de prudence ne coûte rien, l'excès de confiance peut coûter une sanction.

Documenter, minimiser, garder la main

Trois réflexes protègent l'entreprise. Documenter : consignez le prompt, le modèle, la date et le valideur, car la conformité se prouve. Minimiser : n'envoyez au modèle que les données strictement utiles, et préférez l'anonyme. Garder la main : aucune analyse d'impact, aucune réponse à une personne et aucune notification ne se valide sur la seule foi d'une IA. Le contrôle humain reste requis pour toute décision RGPD. Formez les équipes pour que l'outil réduise le risque au lieu d'en créer. Gardez enfin une trace des refus : noter qu'un usage a été écarté parce que trop risqué fait aussi partie de la conformité. La preuve d'un choix prudent vaut autant que la preuve d'une action. Reliez ces réflexes à vos processus existants plutôt que d'en créer de nouveaux : intégrez l'IA dans le registre des traitements et les procédures déjà en place. Avant toute mise en place, faites-vous accompagner pour cadrer les usages et les responsabilités.