IA et RGPD : ce qu’une PME doit réellement faire

Le règlement européen sur l’IA occupe toute la conversation. Dans une PME, c’est le RGPD qui s’applique le plus souvent, qui mord le plus vite, et dont les manquements se constatent en une minute. Il est en vigueur depuis 2018, il ne comporte aucune période transitoire, et il ne dépend pas de savoir si votre usage relève du haut risque.

La CNIL publie d’excellentes ressources sur ce sujet, et cet article ne cherche pas à les remplacer. Il cherche à les traduire en gestes : quoi écrire, quoi signer, quoi vérifier chez votre fournisseur.

En quoi le RGPD s’applique-t-il à vos outils d’IA ?

Dès qu’une donnée personnelle entre dans un outil d’IA, vous effectuez un traitement de données au sens du règlement, et toutes vos obligations habituelles s’appliquent. Une donnée personnelle, c’est plus large qu’on ne croit.

La ligne la plus piégeuse est l’avant-dernière. Un outil qui analyse le travail de personnes identifiables entre dans le suivi de l’activité des salariés, un domaine où la CNIL est particulièrement active : la surveillance des salariés figure parmi les principaux thèmes de ses sanctions en 2025, aux côtés des cookies et de la sécurité des données.

Les quatre obligations à traiter en priorité

1. Inscrire le traitement à votre registre

Une ligne par usage : quelle finalité, quelles catégories de données, quelles personnes concernées, quel destinataire, quelle durée de conservation, quelle base légale. C’est ce qu’on vous demandera en premier, et c’est ce qui manque le plus souvent parce que les outils d’IA sont arrivés par les pôles, pas par un projet.

2. Signer l’accord de sous-traitance

L’éditeur qui traite vos données pour vous est un sous-traitant au sens de l’article 28. Un accord doit être signé. La plupart des éditeurs proposent le leur en ligne, il suffit de l’accepter et d’en garder la trace datée. Cinq minutes par éditeur, jamais faites.

3. Informer les personnes concernées

Vos salariés d’abord, si l’outil touche leur travail : c’est une obligation d’information, et c’est aussi ce qui évite qu’un projet utile devienne un conflit. Vos clients ensuite, par une mention dans votre politique de confidentialité. Vos candidats, si vous utilisez un outil dans le recrutement.

4. Vérifier votre base légale

L’intérêt légitime couvre la plupart des usages internes d’assistance à la rédaction ou à la recherche. Il ne couvre pas tout : un traitement de données sensibles, une décision automatisée sur une personne ou une analyse du comportement demandent autre chose, et parfois une analyse d’impact.

Ces quatre points représentent environ deux jours de travail pour une PME qui utilise cinq ou six outils. Ce n’est pas un projet. C’est une journée de mise à plat et une journée d’écriture.

Que faut-il vérifier dans le contrat de votre éditeur ?

Personne ne publie cette grille, et c’est pourtant le contenu le plus opérationnel possible sur ce sujet. Six points à vérifier, dans le contrat et non dans une page commerciale.

Deux remarques honnêtes. D’abord, ces engagements varient d’un éditeur à l’autre et changent régulièrement : nous ne publions pas de comparatif nominatif figé, parce qu’il serait faux dans six mois et que vous le liriez comme une garantie. La grille ci-dessus, elle, ne périme pas.

Ensuite, un éditeur européen ne vous dispense d’aucune de ces vérifications. Il simplifie la question des transferts hors Union européenne, ce qui est réel et appréciable, et rien d’autre. Le registre, la base légale et l’information des personnes restent exactement les mêmes.

À quoi ressemble une ligne de registre ?

Quatre concurrents expliquent qu’il faut tenir un registre. Aucun ne montre le tableau. En voici une ligne complète, pour l’usage le plus fréquent en PME.

Finalité du traitement

Assistance à la rédaction de courriers et de propositions commerciales par un outil d’intelligence artificielle.

Catégories de personnes

Clients et prospects de l’entreprise ; salariés du pôle commercial utilisateurs de l’outil.

Catégories de données

Identité et coordonnées professionnelles des interlocuteurs ; contenu des échanges commerciaux. Exclusion explicite : aucune donnée sensible, aucun élément de paie, aucun contrat couvert par une clause de confidentialité.

Destinataires

L’éditeur de l’outil, en qualité de sous-traitant, ainsi que ses sous-traitants ultérieurs listés au contrat.

Transferts hors UE

Oui, vers les États-Unis, encadrés par le mécanisme prévu au contrat de sous-traitance signé le 12 mars 2026.

Durée de conservation

Conversations conservées 30 jours chez l’éditeur, purge automatique. Documents produits conservés selon la durée applicable au dossier commercial.

Base légale

Intérêt légitime : amélioration de la qualité et du délai de réponse commerciale. Balance des intérêts documentée le 12 mars 2026.

Mesures de sécurité

Comptes nominatifs sur offre professionnelle, authentification par l’annuaire d’entreprise, charte d’usage signée, revue semestrielle.

Une ligne de ce type prend vingt minutes à écrire la première fois et cinq minutes les suivantes. Dans une PME, le registre des usages d’IA tient sur cinq à quinze lignes.

Que risque-t-on réellement ?

Un article de conformité sans chiffres réels reste une opinion. Voici les chiffres publics de l’autorité française.

• 83 sanctions prononcées par la CNIL en 2025, pour un total de 486 839 500 €. Seize en formation restreinte, soixante-sept en procédure simplifiée.
• Les trois principaux sujets de sanction en 2025 : les cookies, la surveillance des salariés et la sécurité des données. Notez le deuxième : c’est exactement le terrain d’un outil d’IA qui analyse le travail de personnes identifiables.
• En 2026, la CNIL consacre la moitié de ses contrôles et de ses actions répressives à la sécurité des données.
• Ses thèmes de contrôle prioritaires pour 2026 sont le recrutement, le répertoire électoral unique et les fédérations sportives. Si vous envisagez un outil d’IA dans le recrutement, c’est le contexte à connaître avant de vous lancer.

Ce que ces chiffres disent d’utile pour une PME : la grande majorité des sanctions passe par la procédure simplifiée, avec des montants sans commune mesure avec les affaires qui font les titres. Le risque réel n’est pas une amende à sept chiffres : c’est une mise en demeure, un contrôle qui mobilise votre direction pendant des semaines, et un client qui vous demande vos preuves de conformité au moment de renouveler un marché.

La checklist, à faire en deux jours

• Lister les outils d’IA réellement utilisés, pôle par pôle, à partir de ce que vous voyez et non de ce qui est déclaré. Voir le shadow IA.
• Inscrire chaque usage au registre des traitements, avec finalité, données, destinataires, durée et base légale.
• Signer l’accord de sous-traitance avec chaque éditeur et en dater la trace.
• Vérifier les six points du contrat : entraînement, localisation, sous-traitants ultérieurs, conservation, notification de violation, réversibilité.
• Informer vos salariés par écrit dès qu’un outil touche leur travail, et consulter les représentants du personnel quand c’est requis.
• Mettre à jour la politique de confidentialité du site si un outil traite des données de clients ou de visiteurs.
• Écrire la charte d’usage et la faire signer. Le contenu attendu.
• Prévoir une analyse d’impact si vous envisagez un usage sur des données sensibles, une décision automatisée sur des personnes, ou une analyse de l’activité des salariés.
• Revoir la liste deux fois par an : les outils entrent tout seuls dans une entreprise.

Neuf points, deux jours. C’est moins que ce qu’on croit, et c’est plus que ce que fait la plupart des entreprises que nous auditons.

Questions fréquentes sur l’IA et le RGPD