Vous avez signé un contrat avec un prestataire IA. Vos équipes utilisent ChatGPT au quotidien. Vos factures passent par un outil d'OCR intelligent. Et à aucun moment, personne ne vous a parlé de RGPD.
C'est le scénario le plus courant en 2026. Et c'est aussi celui qui coûte le plus cher quand la CNIL frappe à la porte.
Pourquoi le RGPD est devenu le vrai frein aux projets IA
Entre 2018 et 2023, le RGPD était un sujet juridique. Depuis 2024, c'est devenu un sujet opérationnel. La raison est simple : l'IA générative aspire des données personnelles à une vitesse que les DPO n'avaient jamais anticipée.
Un commercial qui colle un fichier client dans ChatGPT pour rédiger 30 emails personnalisés, c'est un transfert de données hors UE. Un standard automatisé qui enregistre les conversations pour entraîner un modèle, c'est une base légale à documenter. Un outil de tri de CV qui filtre 200 candidatures, c'est une décision automatisée au sens de l'article 22.
La CNIL a prononcé 87 sanctions en 2024, pour un total de 55 millions d'euros. La moitié concernait des traitements automatisés mal encadrés. Ce n'est plus un sujet de grand groupe.
Les 4 zones de risque RGPD dans un projet IA
Zone 1 : la base légale
Toute donnée personnelle traitée par une IA doit reposer sur une base légale. Consentement, contrat, intérêt légitime, obligation légale. En pratique, 80% des projets IA en PME s'appuient sur l'intérêt légitime sans jamais l'avoir formalisé.
Si votre outil d'IA analyse des emails clients pour prioriser les réponses, vous devez pouvoir démontrer que cet intérêt légitime est proportionné et que les personnes concernées ont été informées.
Zone 2 : la localisation des données
OpenAI, Anthropic, Google. Ces trois fournisseurs concentrent 90% des usages IA en PME française. Et tous les trois hébergent leurs modèles principalement aux États-Unis.
Depuis l'accord Data Privacy Framework de 2023, les transferts vers les USA sont à nouveau possibles, mais sous conditions strictes. Il faut vérifier que votre fournisseur est bien certifié DPF, documenter le transfert, et informer les personnes concernées.
C'est aussi pour ça que les IA françaises comme Mistral gagnent du terrain : hébergement UE, pas de transfert, dossier RGPD simplifié.
Zone 3 : les décisions automatisées
L'article 22 du RGPD interdit les décisions produisant des effets juridiques sur une personne, prises uniquement sur une base automatisée. En clair : si votre IA rejette seule des candidatures, refuse seule des crédits, ou évalue seule des salariés, vous êtes hors-clou.
La parade est simple : garder un humain dans la boucle et documenter son intervention. Mais encore faut-il l'avoir prévu dès la conception. C'est un des points centraux quand on parle d'automatiser le tri de CV sans biais discriminants.
Zone 4 : la sécurité et la conservation
Les prompts envoyés à une IA sont des traitements. Ils doivent être sécurisés, tracés, et surtout supprimés au bon moment. Combien de PME conservent 6 mois d'historique ChatGPT sans même le savoir ? La majorité.
Les 7 documents à avoir dans son dossier RGPD-IA
- Registre des traitements mis à jour avec chaque cas d'usage IA identifié
- Analyse d'impact (AIPD) pour les traitements à risque élevé
- Contrat de sous-traitance article 28 signé avec chaque fournisseur IA
- Politique interne d'usage de l'IA diffusée aux équipes
- Mentions d'information mises à jour pour clients et salariés
- Procédure d'exercice des droits adaptée aux traitements IA
- Documentation des tests anti-biais pour les modèles décisionnels
En PME, la plupart de ces documents peuvent tenir en 2 pages. L'important, c'est qu'ils existent et soient à jour.
Le cas concret : un cabinet de recrutement à 40 personnes
Un cabinet de recrutement nous a contactés en septembre 2024. Ils utilisaient ChatGPT depuis 18 mois pour rédiger des synthèses de candidatures, en collant les CV entiers dans l'outil. Aucun contrat, aucune information aux candidats, aucune AIPD.
Un candidat a exercé son droit d'accès. Le cabinet a paniqué. On les a accompagnés sur trois semaines pour : basculer sur une version enterprise avec engagement de non-entraînement, rédiger l'AIPD, mettre à jour les mentions d'information, et former les 40 collaborateurs sur ce qui pouvait ou non être collé dans un prompt.
Coût total : 8 000 €. À comparer avec le plafond de sanction CNIL de 20 millions d'euros ou 4% du CA mondial. Le calcul est vite fait.
Ce que change l'AI Act par-dessus le RGPD
Depuis août 2024, l'AI Act européen ajoute une couche de conformité au RGPD. Les deux textes se cumulent, ils ne se remplacent pas. L'AI Act classe les systèmes IA par niveau de risque et impose des obligations spécifiques pour les systèmes à haut risque : RH, crédit, éducation, justice.
Si vous êtes concerné, préparez-vous dès maintenant à l'AI Act sans attendre l'entrée en vigueur complète en 2026.
Les 5 réflexes à installer dans vos équipes
Réflexe 1 : la règle du "pas de données personnelles en clair"
Avant tout prompt, anonymiser prénoms, emails, numéros de téléphone. Un simple copier-remplacer suffit dans 80% des cas.
Réflexe 2 : la version pro obligatoire
Exit les comptes gratuits ou personnels. ChatGPT Team, Claude for Enterprise, Mistral Pro : toutes ces versions incluent un engagement de non-entraînement sur vos données.
Réflexe 3 : le journal des cas d'usage
Un tableur suffit. Nom du cas d'usage, outil utilisé, données traitées, base légale, responsable. Mis à jour une fois par trimestre.
Réflexe 4 : la revue trimestrielle
15 minutes tous les 3 mois pour vérifier qu'aucun nouvel usage n'est passé sous les radars. Votre DPO ou votre conseil externe peut le faire.
Réflexe 5 : le contrat article 28
Aucun outil IA ne rentre en production sans contrat de sous-traitance signé. Point.
Le coût réel de la mise en conformité
Pour une PME de 20 à 150 salariés qui démarre de zéro, comptez entre 5 000 et 15 000 € pour se mettre au propre. Cela inclut : audit des usages existants, rédaction de la documentation, mise à jour des contrats, formation des équipes.
À comparer avec le coût d'une sanction, mais aussi avec le coût d'un projet IA arrêté brutalement parce qu'il devient impossible à défendre. La conformité en amont, c'est aussi de la vélocité en aval.
Ce qu'il faut retenir
Le RGPD n'est pas un frein à l'IA. C'est un cadre qui vous force à savoir ce que vous faites, avec quelles données, pour quoi faire. Les projets IA qui échouent en PME ne sont presque jamais bloqués par le RGPD : ils sont bloqués parce que personne n'a pris 2 heures pour poser le sujet.
Si vous automatisez sans vous poser ces questions, vous construisez sur du sable. Si vous les posez en amont, vous avancez plus vite parce que personne ne peut vous arrêter.
Faites le point sur votre exposition RGPD-IA
On propose un audit gratuit de 30 minutes pour cartographier vos usages IA actuels, identifier les zones de risque RGPD, et prioriser les 3 actions les plus urgentes. Sans jargon, sans commercial déguisé en juriste. Réservez un créneau ici et repartez avec une feuille de route claire.