RGPD et IA : l'essentiel pour une petite structure

Le RGPD ne vous interdit pas d'utiliser l'IA. Il vous demande de savoir quelles données personnelles vous lui confiez, pourquoi, chez qui, et d'en informer les personnes. Pour la plupart des petites structures, l'essentiel se règle avec de bonnes habitudes et le bon type de compte.

Le principe en une phrase

Dès que vous mettez dans une IA une information qui concerne une personne identifiable (un client, un salarié, un bénévole, un prospect), vous faites un traitement de données personnelles : le RGPD s'applique, et c'est vous qui en répondez.

Ce que recommande la CNIL pour l'usage en entreprise

Dans ses questions-réponses sur l'utilisation d'un système d'IA générative, la CNIL recommande notamment :

• de partir d'un besoin précis plutôt que d'ouvrir l'outil à tout ;
• de fixer une liste d'usages autorisés et interdits selon les risques, par exemple ne pas fournir de données personnelles au système ;
• de former les utilisateurs ;
• d'éviter autant que possible de saisir des données personnelles dans un service dont la maîtrise appartient au fournisseur ;
• de privilégier une solution déployée chez soi quand on traite des données personnelles ou des documents sensibles ;
• de clarifier le rôle de chacun et d'interroger le fournisseur sur sa conformité au RGPD.

La CNIL publie aussi des fiches pratiques sur le développement des systèmes d'IA et une liste de vérification, plus utiles si vous construisez vous-même un outil.

Qui est responsable de quoi ?

• Vous êtes responsable du traitement : vous décidez de confier telles données à tel outil, pour tel objectif.
• L'éditeur est votre sous-traitant quand il traite les données pour votre compte, dans le cadre d'une offre professionnelle avec un contrat de sous-traitance (souvent appelé « DPA »). C'est le cas, par exemple, de Microsoft pour Copilot avec la protection des données entreprise.
• Sur un compte grand public, l'éditeur agit le plus souvent pour son propre compte selon ses conditions : c'est précisément pour cela qu'il ne faut pas y mettre de données de vos clients.

Les transferts hors de l'Union européenne

Beaucoup d'éditeurs sont américains. Les transferts vers les États-Unis peuvent s'appuyer sur la décision d'adéquation de la Commission européenne du 10 juillet 2023 (le « Data Privacy Framework »), pour les entreprises certifiées. Le Tribunal de l'Union européenne a rejeté le recours contre cette décision le 3 septembre 2025 (affaire Latombe, T-553/23) ; un pourvoi est en cours devant la Cour de justice (C-703/25 P). Le cadre reste donc valable à ce jour, mais il est contesté.

Pour un pays sans décision d'adéquation (c'est le cas de la Chine), le transfert doit reposer sur d'autres garanties : c'est l'une des raisons pour lesquelles des autorités européennes ont réagi face à DeepSeek (voir la fiche).

Informer les personnes

Si vous traitez les données de vos clients ou de vos salariés avec un outil d'IA (par exemple pour transcrire des réunions ou trier des demandes), votre information doit le dire : quelles données, pour quoi faire, chez quel prestataire, combien de temps. La CNIL consacre une fiche à l'information des personnes. Pour une réunion enregistrée : on prévient au début, on explique pourquoi.

Les questions à poser à un éditeur, avant de signer

1. Existe-t-il un contrat de sous-traitance (DPA) pour mon offre ?
2. Mes données servent-elles à entraîner vos modèles ? Par défaut ? Comment l'empêcher ?
3. Où sont-elles stockées et traitées ? Quels sont vos sous-traitants, et où ?
4. Combien de temps sont-elles conservées ? Puis-je les supprimer ?
5. Des personnes de chez vous peuvent-elles les lire ? Dans quels cas ?
6. Comment récupérer mes contenus si je pars ?

Pour aller plus loin

• CNIL : questions-réponses sur l'utilisation d'un système d'IA générative
• CNIL : comment déployer une IA générative
• CNIL : les fiches pratiques IA
• CNIL : informer les personnes concernées