Quand le RGPD s’applique
Le RGPD s’applique à tout traitement de données personnelles, quelle que soit la technologie. Avec un assistant d’IA, cela couvre ce que l’on saisit (un prompt qui contient le nom d’un client, un email collé, un CV joint), les documents fournis à l’outil (une base de connaissances avec des fiches clients) et ce que l’outil produit (une synthèse d’entretien, une évaluation). Les données de salariés et de candidats sont des données personnelles comme les autres.
Qui est responsable
L’entreprise qui décide d’utiliser l’outil pour son activité est en principe responsable du traitement. Le fournisseur de l’outil agit souvent comme sous-traitant quand il traite les données pour le compte de l’entreprise. Le RGPD impose alors un contrat qui fixe les obligations du sous-traitant (article 28) ; la CNIL recommande de clarifier les périmètres de responsabilité et les accès autorisés aux données. Si le fournisseur réutilise les données pour ses propres fins, par exemple pour améliorer ses modèles, la qualification change et doit être analysée.
La CNIL rappelle aussi que, dans le cas général, c’est l’organisme utilisateur qui engage sa responsabilité en cas de mauvaise utilisation de l’IA par son personnel.
Choisir le bon mode d’utilisation
| Usage | Ce que recommande la CNIL |
|---|---|
| Tâches sans données personnelles ni confidentielles | Un service grand public peut être envisagé avec des garanties : comptes créés avec des adresses professionnelles dédiées, réutilisation des données d’usage désactivée quand c’est possible. |
| Données de clients ou de collaborateurs, documentation sensible | Un déploiement « sur site » est généralement plus sécurisé ; à défaut, un hébergement distant encadré par un contrat de sous-traitance précisant responsabilités et accès. |
| Transfert de données hors de l’Union européenne | Le transfert doit être encadré selon les règles du RGPD. |
En pratique, cela veut dire lire les conditions de l’offre (grand public, professionnelle, entreprise) avant de l’autoriser : réutilisation des données, durée de conservation de l’historique, localisation de l’hébergement, existence d’un accord de sous-traitance.
Les règles au quotidien
- Ne saisir que ce qu’on est autorisé à partager : la CNIL recommande de ne jamais partager de données personnelles ou d’informations confidentielles dans un service grand public.
- Minimiser : anonymiser ou remplacer les noms quand la tâche ne les exige pas (« client A », « candidate 2 »).
- Respecter la finalité : des données collectées pour gérer un contrat ne servent pas, par défaut, à profiler la personne.
- Informer les personnes concernées quand un traitement nouveau les vise, par exemple des candidats dont la candidature est analysée avec un outil d’IA (IA et recrutement).
- Garder l’humain sur la décision : le RGPD encadre strictement les décisions fondées exclusivement sur un traitement automatisé qui produisent des effets juridiques ou significatifs pour la personne (article 22).
- Associer le DPO s’il y en a un, et réaliser une analyse d’impact (AIPD) quand le traitement présente un risque élevé : c’est ce que recommande la CNIL pour les usages sensibles.
Le cas des agents IA
Un agent ne se contente pas de répondre : il lit vos emails, consulte votre CRM, agit dans vos outils. Dans leur note de juillet 2026, la CNIL et le Conseil de l’IA et du numérique soulignent que ces systèmes amplifient les risques pour les données : flux entre de multiples services, mémoire persistante qui construit des profils précis, responsabilités plus difficiles à attribuer. Parmi les pistes évoquées : la validation humaine pour les décisions les plus critiques, le cloisonnement de la mémoire des agents, et un bouton d’arrêt à la main de l’utilisateur.
Pour une PME, la traduction est simple : un agent a accès au strict nécessaire, les actions à effet externe (envoi, paiement, suppression) passent par une validation, et l’on sait à tout moment ce qu’il a fait. Ces règles trouvent leur place dans votre charte IA.
Ce guide est un repère de vulgarisation, pas un avis juridique. Pour un traitement sensible (santé, données de salariés, décisions automatisées), faites valider votre analyse par votre DPO ou un conseil spécialisé.