IA et RGPD : utiliser l’IA en entreprise en règle

Utiliser l’intelligence artificielle dans une entreprise n’est pas interdit par le RGPD, mais cela suppose quelques précautions dès que des données personnelles sont concernées (clients, prospects, salariés, candidats). Voici les bons réflexes pour une IA conforme au RGPD en entreprise.

Ce guide donne des repères généraux et ne constitue pas un conseil juridique. Pour un cas précis, rapprochez-vous de votre délégué à la protection des données ou d’un juriste.

1. Savoir quelles données entrent dans l’outil

Avant tout, listez ce que vous envoyez à l’IA : des textes, des emails, des documents ? Contiennent-ils des noms, des adresses, des numéros, des informations sensibles ? Ce simple inventaire conditionne tout le reste.

2. Ne donner que le nécessaire (minimisation)

Un modèle chargé de classer des emails n’a pas besoin de l’historique complet du client. Réduisez, masquez ou supprimez ce qui n’est pas utile à la tâche. C’est le principe de minimisation : moins on envoie de données, moins on prend de risques.

3. Vérifier le fournisseur et le contrat

L’éditeur de l’outil d’IA est généralement un sous-traitant : il traite des données pour votre compte. Il faut donc :

• un contrat de sous-traitance (accord de traitement des données) ;
• la confirmation que vos données ne servent pas à entraîner ses modèles, ou une option pour le refuser ;
• des informations claires sur le lieu de traitement et les éventuels transferts hors de l’Union européenne.

4. Choisir l’hébergement avec soin

Selon la sensibilité des données, on peut préférer un hébergement en Europe, ou l’auto-hébergement de la plateforme d’automatisation (par exemple avec n8n). Voir Make, n8n et Zapier.

5. Informer les personnes

Les personnes dont vous traitez les données doivent savoir qu’elles le sont, pourquoi et par qui. Mettez à jour votre politique de confidentialité si un nouvel usage apparaît, et tenez à jour votre registre des traitements.

6. Garder l’humain dans la boucle

Le RGPD encadre les décisions prises uniquement par un traitement automatisé lorsqu’elles ont des effets importants sur les personnes. En pratique : l’IA prépare, résume, propose, mais une personne décide. C’est aussi un bon réflexe de qualité.

7. Documenter et surveiller

Conservez une trace de ce que fait chaque automatisation : quelles données, quel outil, qui y a accès. En cas de question d’un client ou de la CNIL, vous saurez répondre. Pour les traitements à risque élevé, une analyse d’impact peut être nécessaire.

Ce qu’on fait chez Croisia

• accès limités au strict nécessaire, documentés et révocables ;
• vous restez propriétaire de vos automatisations et de vos comptes ;
• ce qui peut circuler, et ce qui reste chez vous, est défini avec vous avant de construire.

Pour examiner votre cas, notre audit gratuit inclut la question des données. Pour les cas d’usage, voir IA pour PME.