IA et RGPD : que pouvez-vous faire avec les données clients ?

« Est-ce qu'on a le droit, avec nos données clients ? » Cette question revient dans presque chaque discussion sur l'IA, et à juste titre. Beaucoup de PME freinent leurs projets IA par incertitude face au RGPD. D'autres utilisent déjà ChatGPT à fond, sans vraiment savoir ce qu'il advient de leurs données.

Bonne nouvelle : l'IA et le RGPD font très bon ménage, à condition de respecter quelques règles de base. Nous les passons en revue dans cet article.

Cet article donne un aperçu pratique, pas un avis juridique. En cas de doute sur votre situation, consultez votre DPO ou un juriste.

L'essentiel : le RGPD ne change pas avec l'IA

Le RGPD s'applique à tout traitement de données personnelles, que ce soit dans Excel, dans votre CRM ou dans un modèle d'IA. Les questions restent les mêmes :

• Disposez-vous d'une base légale ? Par exemple l'exécution d'un contrat ou un intérêt légitime.
• N'utilisez-vous que les données nécessaires ? C'est le principe de minimisation.
• Savez-vous où vont les données et qui y a accès ?
• Pouvez-vous démontrer que vous faites les choses correctement ?

L'IA complique surtout la troisième question, car un service d'IA est presque toujours un tiers.

Le plus grand risque : les outils gratuits grand public

Le problème le plus fréquent ne vient pas des grands projets IA, mais des collaborateurs qui collent des données clients dans un chatbot gratuit. Dans les versions grand public, le fournisseur peut souvent utiliser vos saisies pour améliorer ses modèles, et il n'y a pas de contrat de sous-traitance.

Que faire ?

• Utilisez les versions professionnelles des services d'IA, où le fournisseur s'engage contractuellement à ne pas utiliser vos données pour l'entraînement.
• Rédigez une courte charte IA pour votre équipe : quels outils sont autorisés, et quelles données ne doivent jamais y être introduites.
• Proposez une bonne alternative. Les collaborateurs se tournent vers des outils gratuits parce qu'ils veulent résoudre un problème. Un assistant IA interne et sécurisé supprime ce réflexe.

Cinq questions à poser à tout fournisseur d'IA

Avant d'adopter ou de faire développer une solution d'IA, posez ces questions :

1. Existe-t-il un contrat de sous-traitance (DPA) ? Il est obligatoire lorsqu'un tiers traite des données personnelles pour votre compte.
2. Où les données sont-elles stockées et traitées ? De préférence dans l'UE. Si ce n'est pas le cas, des mécanismes de transfert valables doivent être en place.
3. Vos données servent-elles à entraîner des modèles ? La réponse doit être « non », et cela doit figurer dans le contrat.
4. Combien de temps les données sont-elles conservées ? Et pouvez-vous les faire supprimer ?
5. Qui y a accès ? Y compris au sein de votre organisation : un assistant IA ne doit pas montrer des données RH ou financières à tout le monde.

Intégrer la vie privée dès la conception

Avec une solution d'IA sur mesure, vous gardez plus de contrôle qu'avec un outil standard. Quelques principes que nous appliquons nous-mêmes :

• Respecter les droits d'accès. Un assistant IA ne montre que les informations que l'utilisateur pouvait déjà consulter sans IA.
• Minimiser les données. N'envoyez à un modèle d'IA que ce qui est nécessaire à la tâche. Les noms ou numéros de registre national peuvent souvent être omis ou remplacés.
• Une piste d'audit. Enregistrez ce qu'un agent a fait et sur la base de quelles données, afin de pouvoir en rendre compte.
• Un humain dans la boucle. Pour les décisions qui ont un impact sur des personnes, c'est un collaborateur qui tranche, pas l'IA.

Et l'AI Act européen ?

À côté du RGPD, il existe depuis 2024 le règlement européen sur l'IA, qui entre progressivement en vigueur. Pour la plupart des usages en PME, comme un assistant interne, la facturation ou le tri des e-mails, il s'agit d'un risque limité. La principale obligation est alors la transparence : les personnes doivent savoir quand elles interagissent avec un système d'IA ou quand un contenu a été généré par l'IA.

Des règles plus strictes s'appliquent aux usages à haut risque, comme une IA qui décide d'un recrutement ou d'une solvabilité. Si votre projet en relève, faites-le valider juridiquement au préalable.

En résumé

Utiliser l'IA avec des données clients est possible, si vous savez où vont ces données, si vous avez des accords contractuels et si vous ne traitez que le nécessaire. Le plus grand risque ne se trouve souvent pas dans un projet IA réfléchi, mais dans l'usage incontrôlé d'outils gratuits.

Vous voulez savoir comment un assistant IA travaille en toute sécurité avec vos propres documents ? Lisez comment fonctionne un assistant IA basé sur vos documents, ou parlez-nous de votre situation.