Fonctionnalités et usages métier
IA et RGPD : quelles données saisir dans un assistant d'IA en entreprise
Données personnelles, secrets d'affaires, accord de traitement, analyse d'impact et charte d'usage : les règles à respecter avant de confier des données à un outil d'IA.
Vous pouvez saisir dans un assistant d'IA les informations qui ne permettent pas d'identifier une personne et qui ne sont pas confidentielles. Pour tout le reste (données de clients, de salariés, de patients, secrets d'affaires, informations couvertes par le secret professionnel), la saisie n'est licite que si l'outil et le contrat l'autorisent : finalité claire, base légale, accord de traitement des données avec l'éditeur, vérification du lieu de traitement, information des personnes et mesures de sécurité. Dans le doute, anonymisez ou n'utilisez pas l'outil pour ces données.
Ce guide organise la démarche en questions simples, avec un tableau de tri des données, une checklist d'encadrement et un exemple d'analyse. Il est informatif ; pour un traitement sensible, consultez votre délégué à la protection des données (DPO) ou un juriste.
Trier les données avant de saisir
| Catégorie de donnée | Exemples | Règle pratique |
|---|---|---|
| Aucune donnée personnelle ni confidentielle | Texte public, brouillon générique, idée de plan | Saisie possible dans la plupart des outils |
| Données internes non sensibles | Procédure interne, note de service sans nom | Possible si les conditions de l'outil le permettent |
| Données personnelles ordinaires | Noms et e-mails de clients, CV, avis | Seulement avec base légale, information et accord de traitement des données |
| Données sensibles (article 9 du RGPD) | Santé, opinions, origine, orientation, données biométriques | À éviter ; exige des garanties renforcées |
| Secrets d'affaires, informations stratégiques | Plans, prix, code propriétaire, contrats | Selon contrat et classification interne |
| Secret professionnel | Avocat, médecin, expert-comptable | Règles déontologiques propres à la profession |
Les cinq questions à se poser
1. Quelle est la finalité et la base légale ?
Le traitement par un outil d'IA doit poursuivre une finalité déterminée et reposer sur l'une des bases légales du RGPD (contrat, obligation légale, intérêt légitime, consentement, etc.). Résumer un courriel de client pour y répondre relève de la même finalité que la gestion de la relation client ; analyser des profils de salariés pour les classer est une finalité distincte, plus sensible.
2. L'éditeur est-il sous-traitant ?
Dans la plupart des cas, l'éditeur traite les données pour votre compte : il est sous-traitant et vous êtes responsable de traitement. L'article 28 du RGPD impose alors un contrat ou un accord de traitement des données (DPA) précisant l'objet, la durée, les instructions, la sécurité, les sous-traitants ultérieurs et la fin du traitement. Les formules entreprise des éditeurs en proposent généralement un ; les formules gratuites ou grand public rarement. Si l'éditeur utilise vos données pour ses propres finalités (par exemple entraîner ses modèles), il peut être responsable de traitement pour cette partie : lisez les conditions.
3. Où les données sont-elles traitées ?
Un traitement hors de l'Union européenne exige un mécanisme de transfert valable (décision d'adéquation, clauses contractuelles types avec évaluation des garanties, etc.). Voir le guide sur l'IA européenne et la souveraineté.
4. Les personnes sont-elles informées ?
Votre politique de confidentialité doit mentionner le recours à des outils d'IA lorsque des données personnelles y sont traitées, avec leurs finalités et leurs destinataires. Pour les salariés, une information claire et, le cas échéant, la consultation du comité social et économique s'imposent.
5. Une analyse d'impact (AIPD) est-elle nécessaire ?
Une analyse d'impact relative à la protection des données est requise lorsque le traitement est susceptible d'engendrer un risque élevé : évaluation systématique de personnes, données sensibles à grande échelle, surveillance, usage innovant. La CNIL publie une liste des traitements pour lesquels elle est obligatoire et des outils pour la réaliser. Un traitement qui combine IA, données de personnes vulnérables ou décisions les concernant mérite un examen sérieux.
Les décisions automatisées
L'article 22 du RGPD protège les personnes contre les décisions produisant des effets juridiques ou les affectant de manière significative fondées exclusivement sur un traitement automatisé, sauf exceptions encadrées. Utiliser l'IA pour aider à une décision est possible ; lui déléguer la décision finale (refus de candidature, tarification individuelle) appelle une intervention humaine réelle, pas une validation de pure forme.
Mettre en place une charte d'usage
Une charte d'une à deux pages suffit pour une petite entreprise. Contenu minimal :
- La liste des outils autorisés et le compte à utiliser (compte entreprise, jamais personnel pour des données professionnelles).
- Les catégories de données interdites ou conditionnelles.
- L'obligation de vérifier les résultats avant utilisation, en particulier chiffres, citations, références juridiques.
- La procédure à suivre en cas d'incident (saisie par erreur de données interdites, fuite) et le rôle du référent.
- Les règles de transparence envers les clients.
- La date de révision.
Exemple chiffré (illustratif). Une agence de 12 personnes constate, lors d'un audit interne, que 5 salariés utilisent un compte personnel gratuit pour résumer des échanges avec des clients. En passant à des comptes entreprise avec accord de traitement des données pour ces 5 personnes, à environ 300 euros par an chacune, la dépense est de 1 500 euros par an. Rapportée au risque de manquement et à l'obligation de documenter les traitements, c'est un coût de conformité mesurable. Les montants sont fictifs.
Incident : que faire ?
Si des données personnelles ont été saisies par erreur dans un outil non autorisé, informez le référent et le DPO, évaluez la nature des données et le risque, demandez la suppression à l'éditeur, et documentez l'incident au registre des violations. Si le risque pour les personnes est avéré, une notification à la CNIL dans les 72 heures peut être obligatoire (article 33 du RGPD).
Erreurs fréquentes
- Utiliser un compte personnel pour du travail avec des données clients.
- Supposer que « supprimer la conversation » supprime les données chez l'éditeur dans tous les cas.
- Oublier d'inscrire l'outil d'IA au registre des traitements.
- Ne pas mettre à jour la politique de confidentialité.
- Se fier à l'anonymisation sans vérifier qu'elle est réelle : retirer un nom ne suffit pas si le contexte permet de réidentifier la personne.
Questions fréquentes
Puis-je coller un contrat client dans un assistant d'IA ?
Seulement si le contrat client n'interdit pas ce traitement, si l'outil offre des garanties adéquates (confidentialité, absence d'entraînement sur vos données, accord de traitement) et si les données personnelles qu'il contient sont couvertes. À défaut, anonymisez ou utilisez une solution interne.
Un outil gratuit est-il acceptable pour du travail professionnel ?
Pour des contenus non sensibles, parfois. Pour des données personnelles ou confidentielles, les formules gratuites offrent rarement les garanties nécessaires.
La CNIL a-t-elle publié des recommandations sur l'IA ?
Oui, elle publie des ressources et des fiches pratiques sur l'IA et la protection des données. Consultez la rubrique dédiée de son site pour les versions actuelles.
Sources
- CNIL — rubrique intelligence artificielle, AIPD, registre, violations de données
- EUR-Lex — texte du règlement (UE) 2016/679 (RGPD)
- Comité européen de la protection des données — lignes directrices européennes
