IA et RGPD : ce que doit faire une entreprise qui utilise l’IA

Ce guide n’est pas un conseil juridique. Il résume le RGPD et les positions des autorités de protection des données telles que nous les avons lues le 1er octobre 2026, pour une entreprise qui utilise des outils d’IA ou en fait développer. Votre DPO ou votre avocat doit valider toute décision. Quand les règles bougent encore, nous le signalons.

IA et RGPD : quand le règlement s’applique

Le RGPD s’applique à un projet d’IA dès qu’une donnée personnelle y passe, c’est-à-dire presque toujours. L’article 4 définit la donnée à caractère personnel comme « toute information se rapportant à une personne physique identifiée ou identifiable ». Un nom dans une question, un e-mail client résumé par un assistant, un CV trié par un modèle : tout cela en relève.

Dans un système d’IA, les données personnelles se logent en général à quatre endroits, et une revue de conformité les passe tous en revue :

• Les entrées : ce que les utilisateurs tapent ou collent, et les documents que l’outil lit (contrats, tickets, dossiers RH).
• La base documentaire : les documents indexés pour qu’un assistant réponde à partir d’eux.
• Les sorties et les journaux : les réponses, et l’historique conservé par le fournisseur ou par votre propre système.
• Le modèle lui-même : dans son avis 28/2024, adopté le 17 décembre 2024, le Comité européen de la protection des données (CEPD, ou EDPB en anglais) estime que les modèles entraînés sur des données personnelles ne peuvent pas, dans tous les cas, être considérés comme anonymes. Un modèle n’est anonyme que si la probabilité d’en extraire des données personnelles, ou de les obtenir par des requêtes, est insignifiante.

Le levier le plus efficace pour réduire ces quatre surfaces reste le lieu du traitement. Quand l’IA tourne en Europe ou sur vos serveurs, comme avec un LLM privé, les questions de fournisseurs, de transferts et de réutilisation trouvent des réponses beaucoup plus courtes.

Responsable de traitement, sous-traitant : qui porte quoi

L’entreprise qui décide d’utiliser un outil d’IA pour ses propres finalités est responsable du traitement ; le fournisseur qui traite les données pour son compte est le plus souvent son sous-traitant.

La CNIL tranche deux montages fréquents dans ses questions-réponses sur l’IA générative du 18 juillet 2024. L’entreprise qui connecte un modèle à sa propre base de connaissances (le RAG) est responsable de ce traitement quand cette base contient des données personnelles. Celle qui affine (« fine-tune ») un modèle avec ses données en devient responsable pour cet affinage.

L’article 28 fixe le contenu du contrat de sous-traitance : traitement uniquement sur instruction documentée, y compris pour les transferts hors de l’Union ; confidentialité des personnes autorisées ; mesures de sécurité ; aucun sous-traitant ultérieur sans votre autorisation ; aide pour répondre aux demandes des personnes et pour les analyses d’impact ; suppression ou restitution des données en fin de contrat. Un fournisseur qui ne peut pas signer ce contrat ne doit pas recevoir de données personnelles.

Les obligations qui comptent dans un projet d’IA

L’essentiel du RGPD s’applique à l’IA comme à tout logiciel ; quelques articles font la plus grande part du travail. Le tableau les relie à ce qu’ils impliquent pour un outil d’IA.

Sur l’intérêt légitime, le CEPD rappelle un test en trois étapes : un intérêt licite, formulé avec précision, réel et présent ; un traitement nécessaire, sans moyen moins intrusif ; des droits des personnes qui ne prévalent pas sur cet intérêt.

ChatGPT et RGPD : ce qui change entre l’offre gratuite et l’offre pro

ChatGPT peut s’utiliser au travail dans le respect du RGPD, mais la version grand public et les offres professionnelles n’apportent pas les mêmes garanties. Sur sa page consacrée à la confidentialité des entreprises, lue le 1er octobre 2026, OpenAI indique pouvoir signer un avenant de traitement des données pour ChatGPT Business, ChatGPT Enterprise et l’API, et ne pas utiliser par défaut les données professionnelles pour entraîner ses modèles. La même page précise qu’OpenAI utilise pour l’entraînement des données issues des versions de ChatGPT et des services destinés aux particuliers. Les autres grands fournisseurs font des distinctions comparables ; notre page sécurité renvoie aux conditions d’OpenAI, d’Anthropic et de Mistral.

La CNIL trace la ligne pratique. Pour des usages non confidentiels, un service grand public peut être envisagé, avec des adresses professionnelles dédiées et, si possible, la réutilisation des données par le fournisseur désactivée. Dès qu’il s’agit de données personnelles de clients ou de collaborateurs, ou de documents sensibles, elle juge généralement plus opportun et plus sécurisé un déploiement sur site ; un hébergement distant impose alors un contrat de sous-traitance avec l’hébergeur et le fournisseur. Elle recommande aussi une charte interne listant les usages autorisés et interdits, et une formation des utilisateurs, car c’est en général l’entreprise qui engage sa responsabilité en cas de mauvais usage par son personnel.

Le contentieux, lui, reste ouvert. Le 20 décembre 2024, l’autorité italienne de protection des données a annoncé une amende de 15 millions d’euros contre OpenAI au sujet de ChatGPT, en lui reprochant notamment d’avoir entraîné le service sur les données des utilisateurs sans base juridique adéquate. Un avis publié depuis sur le site de l’autorité indique que le tribunal de Rome a fait droit au recours formé contre cette décision, par un jugement n° 4153/2026 publié le 18 mars 2026, et que la décision a été retirée temporairement du site.

Où vont les données : hébergement et transferts hors UE

Un transfert de données personnelles hors de l’Espace économique européen n’est permis que dans les conditions du chapitre V du RGPD : le pays du fournisseur d’IA et de ses sous-traitants compte donc. L’article 44 pose le principe ; en pratique, le transfert repose sur une décision d’adéquation ou sur des garanties comme les clauses contractuelles types (article 46).

Vers les États-Unis, la décision d’adéquation en vigueur est le cadre de protection des données UE-États-Unis, dont l’histoire judiciaire n’est pas close. Notre guide de l’IA souveraine le détaille, avec le CLOUD Act américain et l’écart entre le lieu des serveurs et le droit qui s’applique au prestataire.

La CNIL ajoute un point propre aux API : avec un modèle consommé par API, la maîtrise du système est quasi exclusivement dans les mains du fournisseur. Elle conseille d’éviter autant que possible d’y saisir des données personnelles et de lire de près les conditions contractuelles, transferts compris. C’est l’une des raisons pour lesquelles nous recommandons souvent, pour les données sensibles, un hébergement dans un cloud européen ou sur les serveurs du client. Vos données peuvent rester en Europe.

Décisions automatisées et analyse d’impact

Une IA qui note, classe ou filtre des personnes appelle deux garde-fous avant tout : une personne capable de revoir la décision, et une analyse d’impact menée avant la mise en service. L’article 22 donne à chacun « le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l’affectant de manière significative de façon similaire ». Quand une exception s’applique, l’article 22.3 garantit au minimum le droit d’obtenir une intervention humaine, d’exprimer son point de vue et de contester la décision.

L’analyse d’impact relative à la protection des données (AIPD) est exigée par l’article 35 lorsqu’un traitement, « en particulier par le recours à de nouvelles technologies », est susceptible d’engendrer un risque élevé. Elle l’est expressément pour une évaluation systématique et approfondie de personnes, fondée sur un traitement automatisé, sur laquelle reposent des décisions aux effets juridiques ou similaires. Le responsable demande conseil à son DPO.

Côté conception, l’étape de revue humaine fait partie du processus : la personne voit les raisons données par l’outil et les données utilisées, et elle a le pouvoir de passer outre. C’est ainsi que nous construisons les agents IA qui agissent dans les processus métier. Si l’usage tombe aussi dans une catégorie à haut risque de l’AI Act, comme le recrutement ou l’évaluation du crédit, notre guide de l’AI Act pour l’entreprise détaille les obligations qui s’ajoutent, et la manière de réutiliser une AIPD.

Ce qui bouge encore, et les sanctions

La lecture du RGPD appliquée à l’IA s’écrit en ce moment : un dossier de conformité constitué aujourd’hui doit porter une date de révision. Le 1er octobre 2026, voici ce que nous avons lu sur les sources officielles :

• Les lignes directrices européennes et françaises : l’avis 28/2024 du CEPD sur les modèles d’IA, et les recommandations de la CNIL sur l’application du RGPD au développement des systèmes d’IA, dont une série annoncée le 7 février 2025 (information des personnes, exercice des droits).
• Une modification proposée : l’omnibus numérique qui touche le RGPD et d’autres textes sur les données (procédure 2025/0360(COD)), proposé le 19 novembre 2025, était toujours en attente de décision en commission au Parlement européen, avec un projet de rapport daté du 22 juin 2026. C’est une proposition : rien ne change à ce stade.

Les sanctions sont prévues à l’article 83. La violation des principes de base, des bases légales, des droits des personnes ou des règles de transfert peut coûter jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Les manquements aux obligations du responsable et du sous-traitant, analyse d’impact et contrat de sous-traitance compris, peuvent coûter jusqu’à 10 millions d’euros ou 2 %.

Avant votre premier projet d’IA : la liste de contrôle RGPD

Avant qu’un outil d’IA touche une donnée personnelle, cinq réponses doivent être écrites : quelles données il lit, sur quelle base légale, qui les traite et où, combien de temps on les garde, et qui revoit ses décisions. Dans l’ordre :

1. Listez les données que l’outil lira et produira, et retirez celles dont sa tâche n’a pas besoin.
2. Choisissez la base légale de chaque finalité, et documentez la mise en balance s’il s’agit de l’intérêt légitime.
3. Signez le contrat de sous-traitance avec chaque fournisseur, vérifiez les sous-traitants ultérieurs et leur pays, et désactivez l’entraînement sur vos données.
4. Mettez à jour le registre et la mention d’information, avec une durée de conservation des questions, des réponses et des journaux.
5. Menez une AIPD si l’outil évalue des personnes ou touche des données sensibles, et intégrez la revue humaine au processus.

Pour voir à quoi ressemble un assistant bien conçu, essayez notre démonstration d’assistant documentaire : il répond à partir de documents fictifs, cite le passage qui fonde chaque réponse, et rien de ce que vous y tapez n’est conservé. Un assistant IA d’entreprise sur vos documents, construit pour vous, suit les mêmes règles, avec des droits par utilisateur et des journaux conservés le temps que vous fixez.

Vous n’avez pas à démêler tout cela seuls. Pendant l’audit gratuit de 30 minutes, on passe en revue les usages d’IA que vous envisagez, on repère les données personnelles en jeu et le premier garde-fou à poser. Un audit IA peut ensuite cartographier chaque usage, en général en deux à trois semaines, avec un périmètre et un prix fixés par écrit avant de commencer. Réservez votre audit gratuit de 30 minutes : on vous répond sous un jour ouvré.