Transcrire une réunion, trier des CV, résumer des contrats : l’IA générative s’installe dans le quotidien des TPE et PME. Or presque tous ces usages manipulent des données personnelles. Concilier IA et RGPD devient donc une question pratique pour chaque dirigeant, et plus seulement un sujet de juristes.
Par ailleurs, un second texte s’ajoute au RGPD : l’AI Act européen, dont les premières interdictions s’appliquent depuis le 2 février 2025.
Le RGPD s’applique dès qu’un outil d’IA traite des données personnelles : noms, e-mails, voix, CV, dossiers clients. Une PME doit alors définir une finalité précise et choisir une base légale. Elle limite ensuite les données transmises, informe les personnes, encadre le contrat du fournisseur et sécurise les échanges. L’AI Act complète ce cadre en interdisant certaines pratiques et en imposant des obligations de transparence.
Un outil d’IA traite les informations que l’utilisateur lui confie, et parfois les conserve. Ainsi, un salarié qui colle un tableau de paie dans un assistant transmet des données personnelles à un prestataire externe. L’entreprise reste pourtant responsable de ce traitement au sens du RGPD. Ce risque de fuite rejoint les enjeux décrits dans notre guide informatique pour les TPE et PME.
La CNIL a précisé cette articulation dans ses recommandations sur l’IA, finalisées le 22 juillet 2025. Elle y rappelle notamment qu’un modèle entraîné sur des données personnelles relève parfois lui-même du RGPD, car il peut les mémoriser. Elle a aussi lancé une réflexion sur l’usage de l’IA dans le monde du travail.
Les règles du RGPD ne changent pas avec l’IA. Toutefois, leur application demande une attention particulière, comme pour la vidéosurveillance en entreprise, autre domaine suivi de près par la CNIL.
Chaque usage doit répondre à un objectif clair et déterminé, par exemple « résumer les comptes rendus de réunion ». Un outil adopté « pour tout faire » rend la conformité impossible à démontrer.
Chaque usage doit répondre à un objectif clair et déterminé, par exemple « résumer les comptes rendus de réunion ». Un outil adopté « pour tout faire » rend la conformité impossible à démontrer.
Seules les données nécessaires doivent donc entrer dans l’outil. Anonymiser un document avant de le soumettre, ou retirer les noms d’un tableau, réduit fortement le risque.
Clients, salariés et candidats doivent savoir qu’un outil d’IA traite leurs données. La politique de confidentialité et les mentions d’information doivent donc évoluer avec les usages.
Les données envoyées à un fournisseur hors de l’Union européenne constituent en effet un transfert encadré. Le choix d’un hébergement en Europe, ou d’une solution installée en interne, simplifie fortement la conformité.
L’AI Act ne remplace pas le RGPD : il s’y ajoute, avec une logique fondée sur le niveau de risque. Il concerne aussi bien les éditeurs que les entreprises utilisatrices, comme l’explique notre page sur la cybersécurité des entreprises.
Pour les pratiques interdites, les sanctions de l’AI Act atteignent 35 millions d’euros ou 7 % du chiffre d’affaires mondial. Pour les PME, le montant le plus faible s’applique toutefois. Ces amendes s’ajoutent à celles du RGPD, qui peuvent atteindre 4 % du chiffre d’affaires mondial.
Les risques ne viennent pas seulement des sanctions.
Les pirates exploitent par ailleurs ces outils, comme le montre notre article sur les attaques assistées par l’IA.
Le Groupe Izitek, basé à Éguilles près d’Aix-en-Provence, aide ainsi les dirigeants à intégrer l’IA dans un environnement sécurisé. L’accompagnement couvre le choix des outils, leur hébergement et la protection des données.
DG Conseil, société du groupe labellisée ExpertCyber, intervient sur la sécurisation des accès et la rédaction des règles d’usage. Like-IT assure le suivi avec un référent dédié, qui vérifie la configuration des outils au quotidien. Pour les données documentaires, la gestion électronique des documents structure les accès avant toute exploitation par l’IA.
Une IA hébergée en interne reste aussi possible grâce aux modèles européens, comme l’explique notre article sur Mistral Large 4 pour les PME. Les besoins de formation peuvent enfin passer par Ludorium, l’organisme de formation du groupe.
La conformité d’une démarche IA se suit avec quelques indicateurs :
Ces éléments rejoignent les exigences de sécurité décrites dans notre article sur NIS2 et l’infogérance.
Exemple illustratif : un cabinet de conseil en ressources humaines de huit personnes, suivi par notre agence de Marseille, veut présélectionner des CV par IA. Le dirigeant découvre alors que cet usage deviendra un système à haut risque en décembre 2027.
Il choisit alors de limiter l’IA à la mise en forme des CV, sans tri automatique. Il inscrit l’usage au registre, informe les candidats et retient un outil hébergé en Europe. La décision de présélection reste humaine, ce qui réduit fortement le risque juridique.
Concilier IA et RGPD reste à la portée d’une TPE ou d’une PME. Il suffit de traiter chaque usage comme un traitement de données à part entière. Finalité claire, données limitées, fournisseur encadré et équipes formées constituent le socle. L’AI Act ajoute des interdictions et des échéances qu’il faut suivre, notamment pour le recrutement à partir de décembre 2027.
Vous souhaitez savoir quelles actions prioriser dans votre entreprise ? Contactez Izitek pour échanger sur votre environnement. Ensemble, nous identifierons une feuille de route adaptée à vos enjeux, votre activité et votre budget.
C’est possible avec une offre professionnelle qui garantit la non-réutilisation des données et un encadrement contractuel. La version gratuite grand public est en revanche à proscrire pour des données personnelles. Dans tous les cas, l’usage doit figurer au registre et respecter la minimisation.
Oui, lorsque l’outil traite leurs données, par exemple pour transcrire des réunions ou analyser des performances. Il faut aussi consulter les représentants du personnel pour les outils qui affectent les conditions de travail. Une information claire évite les tensions.
Le RGPD encadre strictement les décisions entièrement automatisées produisant des effets importants, comme un refus d’embauche. La personne a notamment le droit d’obtenir une intervention humaine. Mieux vaut donc garder l’IA en appui de la décision, pas à sa place.
Oui, à condition d’informer les interlocuteurs, de définir une finalité et une durée de conservation. Les centres de relation client, comme Izidev au sein du groupe, appliquent ce type de règles. La téléphonie sur IP permet de paramétrer l’enregistrement et sa conservation.
La CNIL publie des fiches pratiques sur l’IA, accessibles gratuitement. Pour l’aspect technique, votre prestataire informatique vérifie l’hébergement, les accès et la sécurité des outils. Un juriste ou un délégué à la protection des données complète utilement l’analyse sur les cas complexes.
