IA et RGPD : les quatre points qu'un dirigeant doit vérifier

Dès qu'un outil d'intelligence artificielle touche à des noms de clients, des emails, des contrats ou des dossiers RH, il traite des données personnelles. Le RGPD s'applique alors exactement comme pour n'importe quel autre logiciel. Ce n'est pas un obstacle : c'est un cadre, et il est parfaitement praticable quand on sait où regarder.

Le risque, en pratique, vient rarement d'une mauvaise intention. Il vient d'équipes qui collent des informations sensibles dans un outil grand public parce que personne ne leur a dit quoi faire. Voici les quatre points à trancher avant que l'usage ne se répande tout seul.

1. Savoir ce qui sort de l'entreprise

Commencez par une question simple : quand un collaborateur utilise cet outil, où part le texte qu'il saisit ? Chez un éditeur européen, américain, ou reste-t-il sur vos serveurs ? Demandez-le par écrit à votre fournisseur. Une réponse floue est déjà une réponse. Cette information conditionne tout le reste, y compris les mentions à faire figurer dans votre registre de traitements.

2. Vérifier que vos données n'entraînent rien

Beaucoup d'offres professionnelles s'engagent à ne pas réutiliser vos contenus pour améliorer leurs modèles. Les offres gratuites, souvent non. C'est la différence la plus concrète entre un usage acceptable et un usage à proscrire. Exigez cette clause noir sur blanc dans le contrat, et faites la distinction claire auprès de vos équipes entre l'outil validé par l'entreprise et le compte personnel.

3. Poser une base légale et une durée

Tout traitement a besoin d'une justification : l'exécution d'un contrat, une obligation légale, ou votre intérêt légitime. Pour un assistant qui résume des échanges commerciaux, l'intérêt légitime suffit généralement, à condition de le documenter. Fixez également une durée de conservation : les historiques de conversation qui s'accumulent indéfiniment sont un risque inutile.

4. Écrire une règle d'usage tenable

Une note d'une page vaut mieux qu'une charte de trente que personne ne lira. Dites quels outils sont autorisés, ce qu'on n'y met jamais — données de santé, éléments de paie, pièces d'identité, code source confidentiel — et qui contacter en cas de doute. Une règle simple et connue protège beaucoup mieux qu'une interdiction générale que tout le monde contourne.

Ce qu'il faut retenir

La conformité ne se joue pas dans la technique mais dans quelques décisions de dirigeant : quel outil, quelles données, quelle durée, quelle règle. Prenez-les tôt, écrivez-les, et vous pourrez déployer l'IA sereinement. Les entreprises qui se retrouvent en difficulté sont celles qui ont laissé l'usage s'installer sans jamais poser ces quatre questions.