IA et RGPD : garder la main sur vos données

Le RGPD n’a pas de règles propres à l’intelligence artificielle : il s’applique à tout traitement de données personnelles, et un outil d’IA en devient un dès qu’il reçoit une information qui permet de reconnaître une personne. Les principes restent ceux de n’importe quel logiciel de gestion : un but défini, une base légale, des données limitées au nécessaire, une durée de conservation, la sécurité et le respect des droits. Ce qui change avec l’IA, ce sont les endroits où les données peuvent partir sans que personne n’y pense.

Trois situations reviennent. Un salarié colle un texte ou joint un dossier dans un assistant conversationnel. Un outil est connecté à la messagerie ou aux documents partagés. Une automatisation sur mesure envoie des extraits de dossiers à un modèle par API, c’est-à-dire par une interface qui permet à deux logiciels d’échanger des données. Dans les trois cas, l’entreprise qui décide de l’usage reste responsable de ce qu’elle fait des données. Le règlement européen sur l’IA, appelé AI Act, s’ajoute au RGPD sans le remplacer. Ce guide passe en revue ce qu’il faut vérifier avant d’utiliser un assistant ou de lancer un projet sur mesure : données, base légale, contrat, transferts, analyse d’impact, charte et AI Act.

En France, la référence est la CNIL : ses questions-réponses sur l’utilisation d’une IA générative et ses fiches pratiques sur l’IA structurent ce guide. Celui-ci n’est pas un conseil juridique. Pour un traitement sensible ou à grande échelle, faites valider vos choix par votre délégué à la protection des données (DPO), la personne chargée de veiller au respect du RGPD dans l’organisation, ou par votre conseil.

• Sécurité et protection des données chez Blink

La façon la plus fiable de savoir quelles données personnelles partent dans un outil d’IA est de prendre un vrai exemple de la tâche et de le lire ligne par ligne. Un compte rendu, un courriel ou une fiche client contient souvent plus qu’on ne le croit : nom, téléphone, situation familiale, montant d’un litige, appréciation sur un collaborateur. Une donnée personnelle est toute information qui identifie une personne, directement ou en la recoupant avec d’autres éléments.

Classez ensuite chaque information en trois colonnes : ce qui est disponible, ce qui est réellement utile à la tâche, ce qui peut être remplacé par une information moins précise. C’est le principe de minimisation du RGPD, appliqué au prompt, c’est-à-dire à la consigne et au contenu envoyés au modèle. La CNIL recommande que chaque utilisateur ne transmette que des informations qu’il est autorisé à partager, et d’éviter autant que possible les données personnelles lorsque le modèle est appelé par API.

Retirer les noms ne rend pas un document anonyme. Remplacer une identité par un code relève de la pseudonymisation : la personne reste identifiable par celui qui détient la correspondance, et le RGPD continue de s’appliquer. L’anonymisation suppose que plus personne ne puisse raisonnablement retrouver l’identité, ce qui est difficile à atteindre avec des textes riches en détails.

Oui, si l’offre et sa configuration conviennent à l’usage prévu, et si vous pouvez le montrer avec des documents plutôt qu’avec une impression. Un même assistant existe souvent en version grand public, en offre professionnelle administrée par l’entreprise et en API pour les développeurs. L’utilisation des données, leur conservation et le contrat proposé peuvent varier d’une version à l’autre : la question n’est donc pas « cet outil est-il conforme ? », mais « cette offre, réglée ainsi, convient-elle à cet usage ? ».

Le cas le plus délicat est le compte personnel d’un salarié utilisé pour le travail : l’entreprise ne contrôle ni les réglages, ni l’historique, ni le contrat. La CNIL rappelle qu’il revient à l’organisation utilisatrice d’interroger le fournisseur sur la conformité de son système. Elle distingue aussi les modes de déploiement : une installation sur vos propres serveurs limite le risque d’extraction par un tiers, un service hébergé suppose un contrat de sous-traitance qui précise les accès autorisés. Pour comparer deux offres, posez les mêmes questions et notez où se trouve chaque réponse. Une case « à confirmer » vaut mieux qu’une promesse générale : elle montre ce qu’il reste à obtenir avant de décider.

• Utiliser Claude en entreprise : le guide

Il n’existe pas de base légale propre à l’IA : elle dépend de la finalité, c’est-à-dire du but concret du traitement. L’article 6 du RGPD en prévoit six : consentement, exécution d’un contrat, obligation légale, sauvegarde des intérêts vitaux, mission d’intérêt public et intérêt légitime. Pour un usage interne, l’exécution d’un contrat ou l’intérêt légitime peuvent être envisagés selon le cas ; le consentement n’est pas la réponse par défaut. L’intérêt légitime suppose de mettre en balance votre intérêt et les attentes des personnes.

Formulez la finalité de façon vérifiable. « Utiliser l’IA pour gagner du temps » ne permet aucune analyse ; « préparer une synthèse de dossier relue par le chargé de suivi » permet de dire quelles données sont nécessaires. Si les données ont été collectées pour autre chose, par exemple la gestion d’un contrat, vérifiez que le nouvel usage reste compatible avec l’usage initial. Les données sensibles, comme la santé, les opinions ou l’appartenance syndicale, relèvent de l’article 9 et sont interdites sauf exceptions : tenez-les à l’écart des outils généralistes.

Les personnes concernées doivent être informées (articles 13 et 14) : finalités, destinataires, transferts éventuels, durées de conservation et droits. Mettez à jour votre politique de confidentialité et, pour les salariés, la note d’information interne. Une décision fondée exclusivement sur un traitement automatisé et produisant des effets importants pour la personne, comme un refus de candidature, relève en plus de l’article 22.

L’entreprise qui décide d’utiliser l’IA pour une finalité est en principe responsable de traitement ; le fournisseur qui traite les données pour son compte et sur ses instructions est sous-traitant au sens de l’article 28 du RGPD. Ce partage n’est pas automatique. Si le fournisseur réutilise les données pour ses propres besoins, par exemple améliorer ses modèles, il peut devenir responsable de cette partie. La fiche pratique n° 3 de la CNIL aide à qualifier les acteurs d’un système d’IA.

L’article 28 impose un contrat écrit. Beaucoup de fournisseurs le proposent sous forme d’accord de traitement des données, souvent appelé DPA. Vérifiez qu’il correspond à l’offre souscrite : un accord prévu pour l’offre entreprise ne couvre pas forcément le compte d’un salarié ouvert avec sa carte bancaire. Un intégrateur, comme une agence qui développe l’automatisation, peut lui aussi être sous-traitant s’il accède aux données. La chaîne doit alors être connue de bout en bout : qui a fait appel à qui, avec quelle autorisation, pour quelles opérations.

• Traitement uniquement sur instruction documentée du client.
• Confidentialité des personnes autorisées à traiter les données.
• Mesures de sécurité adaptées au risque.
• Recours à d’autres sous-traitants soumis à autorisation, avec information en cas de changement.
• Aide au client pour les droits des personnes, les violations et l’analyse d’impact.
• Suppression ou restitution des données en fin de prestation, et possibilité d’audit.

Un transfert de données hors de l’Union européenne est possible si le pays bénéficie d’une décision d’adéquation de la Commission ou si des garanties appropriées sont en place, comme les clauses contractuelles types. Pour les États-Unis, la décision d’adéquation du 10 juillet 2023 sur le Data Privacy Framework, le cadre de protection des données UE–États-Unis, permet de transférer des données vers les entreprises américaines qui y adhèrent.

Ce cadre a été contesté. Le Tribunal de l’Union européenne a rejeté le recours de Philippe Latombe le 3 septembre 2025 (affaire T-553/23). Un pourvoi a été formé le 31 octobre 2025 devant la Cour de justice (affaire C-703/25 P). À notre connaissance, la Cour ne s’était pas encore prononcée au 6 octobre 2026, et la décision d’adéquation restait applicable. La même Cour a déjà invalidé deux dispositifs précédents : suivez l’affaire sur le site de la Cour avant toute décision structurante.

En pratique, vérifiez que le fournisseur adhère au cadre pour les services concernés, lisez ce que couvrent ses options de localisation en Europe (stockage, traitement, assistance) et repérez ses sous-traitants situés hors de l’Union. Un accès à distance depuis un pays tiers peut aussi constituer un transfert. Prévoyez enfin une solution de repli, comme les clauses contractuelles types, si le cadre venait à tomber.

Une analyse d’impact relative à la protection des données (AIPD) est obligatoire avant la mise en œuvre d’un traitement susceptible d’engendrer un risque élevé pour les droits et libertés des personnes (article 35 du RGPD). Pour en juger, la CNIL renvoie aux neuf critères du comité européen de la protection des données : un traitement qui en remplit au moins deux doit en principe faire l’objet d’une AIPD. La CNIL publie aussi une liste de traitements pour lesquels elle est toujours exigée.

Plusieurs critères concernent souvent l’IA : données sensibles ou très personnelles, traitement à grande échelle, personnes vulnérables, croisement de jeux de données, usage innovant, évaluation ou notation, décision automatisée avec effet important. Un outil qui trie des candidatures ou analyse les messages des salariés en réunit vite deux. Un assistant qui reformule des textes commerciaux sans données personnelles n’en réunit aucun. Dans ses questions-réponses sur l’IA générative, la CNIL invite à associer le DPO et à envisager une AIPD dès le déploiement.

Une AIPD décrit le traitement, justifie sa nécessité et sa proportionnalité, évalue les risques pour les personnes et liste les mesures qui les réduisent. Elle se prépare bien avant le lancement, car ses conclusions peuvent changer le périmètre. Le schéma du parcours des données en fournit la base. Pour un système classé à haut risque par l’AI Act, le déployeur s’appuie aussi sur les informations que le fournisseur doit lui transmettre.

Cela dépend de l’offre, du contrat et des réglages : la seule réponse fiable est celle des documents de l’offre que vous utilisez réellement. Plusieurs éditeurs distinguent leurs offres grand public, où un réglage autorise ou non l’usage des conversations pour améliorer les modèles, et leurs offres professionnelles ou leur API, présentées comme non utilisées pour l’entraînement par défaut. Ces conditions évoluent : plusieurs acteurs les ont déjà modifiées. Une vérification datée vaut mieux qu’une certitude ancienne.

Ne pas entraîner un modèle ne signifie pas ne rien conserver. Un fournisseur peut garder les échanges pendant une durée donnée, par exemple pour détecter des abus, ou les conserver lorsque l’utilisateur envoie un avis sur une réponse. Demandez la durée de conservation et la façon de supprimer, en plus de la règle d’entraînement.

• Identifiez l’offre exacte et le type de compte : personnel, équipe, entreprise ou API.
• Lisez la page de confidentialité et l’accord de traitement propres à cette offre.
• Contrôlez les réglages de l’administrateur : entraînement, historique, conservation, connecteurs.
• Repérez les exceptions : avis envoyés par les utilisateurs, conservation pour la sécurité.
• Gardez une copie datée de ce que vous avez vérifié et refaites le contrôle au renouvellement.

Un usage de l’IA qui touche des données personnelles doit figurer dans le registre des activités de traitement prévu par l’article 30 du RGPD. La CNIL rappelle que l’obligation vise toutes les organisations. La dérogation prévue pour celles de moins de 250 salariés est très limitée : elle ne couvre pas les traitements réguliers, ceux qui présentent un risque ou ceux qui portent sur des données sensibles. Dans le doute, la CNIL recommande d’inscrire le traitement, et propose un modèle simplifié de registre.

Fixez une durée pour chaque copie : historique des conversations, résultats générés, journaux techniques, documents indexés. La règle est de conserver le temps nécessaire à la finalité, puis de supprimer ou d’archiver. Réglez la conservation dans l’outil quand il le permet ; sinon, prévoyez une purge régulière avec un responsable nommé.

Les personnes gardent leurs droits : accès, rectification, effacement, opposition, limitation et portabilité. Avec l’IA, la difficulté est pratique : retrouver les données d’une personne dans chaque outil et chaque copie. Faites un essai avant la mise en service, sur une demande fictive d’accès puis d’effacement : vous verrez vite si le parcours documenté tient.

Avec une charte d’usage courte, des outils validés et une formation adaptée au métier. La CNIL recommande des politiques internes qui définissent clairement les usages autorisés et interdits, la formation des utilisateurs à ce que les systèmes savent faire et à leurs limites, le recueil régulier de leurs retours et l’implication du DPO dès le départ.

Une interdiction générale est rarement tenue : l’usage se déplace alors vers des comptes personnels, hors de tout contrôle. Mieux vaut fournir un outil administré et dire précisément ce qu’on y met. Illustrez chaque règle par des cas du métier : un courrier à reformuler, un dossier client à résumer, une liste de candidats. Pour chacun, indiquez le circuit autorisé et la personne à contacter en cas de doute.

• Outils et comptes autorisés, et qui les administre.
• Données à ne jamais saisir hors d’un outil validé : santé, ressources humaines, données clients identifiantes.
• Vérification systématique des résultats avant tout envoi ou décision.
• Règles pour les connexions à la messagerie et aux espaces documentaires.
• Conduite à tenir en cas d’erreur ou de fuite : qui prévenir, et comment suspendre l’usage.

• Former vos équipes à un usage maîtrisé de l’IA

Les deux textes se cumulent. Le RGPD protège les données personnelles ; l’AI Act, le règlement (UE) 2024/1689, encadre les systèmes d’IA selon leur niveau de risque, même sans données personnelles, et précise qu’il n’affecte pas le RGPD. Il distingue le fournisseur, qui développe ou met un système sur le marché, et le déployeur, qui l’utilise sous sa propre autorité à titre professionnel. La plupart des entreprises qui adoptent ChatGPT, Claude ou Copilot sont des déployeurs.

L’article 4 porte sur la maîtrise de l’IA, applicable depuis le 2 février 2025. Le règlement (UE) 2026/1744, dit « omnibus numérique sur l’IA », publié au Journal officiel le 24 juillet 2026 et entré en vigueur le 27 juillet 2026, l’a réécrit : fournisseurs et déployeurs prennent des mesures pour favoriser la maîtrise de l’IA de leur personnel, sans être tenus de garantir un niveau donné pour chaque personne. Aucun format de formation ni volume d’heures n’est imposé.

Ce même règlement a reporté les obligations des systèmes à haut risque. Une autre proposition, l’omnibus numérique présenté par la Commission le 19 novembre 2025, vise notamment à modifier le RGPD. Nous n’avons pas pu confirmer son adoption au 6 octobre 2026 : vérifiez son état sur le site de la Commission ou sur EUR-Lex avant d’en tenir compte.

• Agents IA : ce qu’ils peuvent faire et sous quel contrôle

Chez Blink, nous préférons une description composant par composant à une étiquette. Dire « conforme » ou « souverain » sans décrire les flux et les accès ne donne à votre DPO rien à examiner. Au cadrage, nous partons d’un dossier réel, listons les données utiles à chaque étape et nommons chaque service avec son rôle. Nous définissons avec vous les lieux d’hébergement et les services autorisés, et les éventuels transferts ou appels à des services externes sont identifiés avant activation.

L’automatisation est ensuite écrite pour vous et branchée sur vos outils existants : elle n’envoie au modèle que les champs retenus au cadrage, ce qui fait de la minimisation une propriété du code plutôt qu’une consigne. Les conditions d’utilisation des données par chaque service d’IA sont vérifiées pour la configuration retenue. Sur votre portail, l’équipe voit ce qui tourne et valide avant ce qui part ; la validation humaine porte sur les actions et droits convenus au cadrage.

Les modalités d’export, de conservation, de suppression et de sauvegarde sont documentées avant livraison. Le suivi mensuel permet de revoir ce qui a bougé : conditions d’un fournisseur, nouvelle obligation, nouvel usage. La qualification juridique et l’AIPD restent l’affaire de votre organisation et de son DPO ; notre rôle est de leur fournir une description exacte du fonctionnement.

• Cartographier vos processus avant d’automatiser
• Le portail Blink : voir ce qui tourne et valider