IA et RGPD : utiliser l'IA sans exposer vos données clients

Vous copiez le mail d'un client mécontent dans un assistant IA pour qu'il vous aide à rédiger une réponse posée. Vous collez une liste de contacts pour qu'elle soit triée. Vous demandez le résumé d'un compte rendu de réunion. En quelques secondes, vous gagnez un temps précieux. Et sans forcément vous en rendre compte, vous venez de confier des données personnelles à un logiciel dont vous ne savez pas grand-chose.

C'est le point aveugle de l'IA dans les petites entreprises. On adopte l'outil pour sa vitesse, on oublie qu'il manipule des noms, des adresses, des numéros de téléphone, parfois des informations sensibles. Or l'IA et le RGPD ne s'opposent pas : ils cohabitent très bien, à condition de savoir où passent vos données et de prendre quelques précautions simples.

Je vais vous montrer ce qui déclenche vraiment le RGPD quand vous utilisez l'IA, où partent vos données quand vous tapez un prompt, ce que la CNIL attend concrètement d'une TPE ou d'une PME, et cinq réflexes qui suffisent à rester du bon côté. Sans devenir juriste, et sans renoncer à l'IA.

Utiliser l'IA, c'est déjà traiter des données personnelles

Beaucoup de dirigeants pensent que le RGPD concerne leur fichier client, leur logiciel de paie ou leur site web. Pas leur usage de l'IA. C'est une erreur, et elle est fréquente.

Dès qu'un prompt contient un nom, une adresse email ou un numéro client, vous réalisez un traitement de données personnelles au sens du RGPD. La CNIL est claire sur ce point : le règlement s'applique pleinement aux systèmes d'IA, sans exception liée au caractère innovant ou complexe de la technologie². Le texte ne prévoit aucune tolérance parce que «c'est de l'IA».

Concrètement, plusieurs gestes du quotidien sont déjà des traitements :

• coller un échange avec un client dans un assistant pour reformuler une réponse ;
• soumettre un tableau de prospects pour le faire trier ou enrichir ;
• dicter un compte rendu nominatif pour en obtenir la synthèse ;
• brancher un agent IA sur votre boîte mail ou votre logiciel de gestion.

Rien de tout cela n'est interdit. Mais chacun de ces gestes déplace des données de vos clients vers un outil, souvent hébergé ailleurs, parfois réutilisé pour entraîner un modèle. La question n'est donc pas «ai-je le droit ?» mais «est-ce que je maîtrise ce qui sort de chez moi ?». C'est une nuance de dirigeant, pas de juriste.

Ce qu'est une donnée personnelle. Ce n'est pas seulement un nom. C'est toute information se rapportant à une personne identifiable : email, téléphone, plaque d'immatriculation, identifiant client, adresse IP. Un devis nominatif ou une réclamation en contiennent presque toujours.

Où partent vraiment vos données quand vous tapez un prompt ?

Quand vous utilisez un outil IA grand public, votre texte quitte votre ordinateur, transite par internet et arrive sur des serveurs distants pour y être traité. Ces serveurs sont, pour la majorité des grands fournisseurs, situés aux États-Unis. Votre demande fait donc un aller-retour transatlantique à chaque prompt, le plus souvent sans que vous le sachiez.

Ce transfert n'est pas illégal en soi. Depuis juillet 2023, une décision d'adéquation de la Commission européenne, le Data Privacy Framework, autorise le transfert de données vers les entreprises américaines qui y ont adhéré⁴. La plupart des grands acteurs du cloud et de l'IA sont certifiés. Sur le papier, tout est en ordre.

Le problème, c'est la solidité de ce cadre. Ses deux prédécesseurs, le Safe Harbor puis le Privacy Shield, ont chacun été invalidés par la justice européenne. Le Data Privacy Framework est régulièrement contesté devant les tribunaux, et personne ne peut garantir aujourd'hui qu'il tiendra dans cinq ans. Si vous avez bâti tout votre usage de l'IA sur un outil américain et que le cadre venait à tomber, vous vous retrouveriez du jour au lendemain avec des transferts à sécuriser dans l'urgence.

À cela s'ajoute une question plus terre à terre : que devient votre prompt une fois arrivé ? Certains outils, surtout dans leurs versions gratuites, se réservent le droit de réutiliser vos saisies pour améliorer leurs modèles. Vos données clients peuvent alors nourrir un système sur lequel vous n'avez plus aucune main, et que vous ne pourrez jamais rappeler.

C'est là que la localisation des données cesse d'être un sujet d'expert pour devenir une décision de dirigeant. Savoir où sont traitées vos données, et pouvoir en changer si besoin, fait partie de la maîtrise de votre entreprise, au même titre que le choix de votre banque ou de votre assureur.

Ce que la CNIL attend vraiment d'une TPE ou d'une PME

À ce stade, beaucoup de dirigeants se crispent. Les gros titres n'aident pas : en 2025, la CNIL a prononcé 486 millions d'euros d'amendes¹. De quoi donner des sueurs froides à un patron de cinq personnes.

Mais ce chiffre est trompeur. Deux amendes records, de 325 et 150 millions d'euros, prononcées contre de très grands groupes, en représentent l'essentiel¹. Pour une TPE ou une PME, la réalité est tout autre.

La CNIL dispose d'une procédure simplifiée, réservée aux dossiers les moins complexes, dont les amendes sont plafonnées à 20 000 euros¹. C'est par ce canal que passe la majorité des sanctions visant les petites structures. Et surtout, le RGPD est proportionné : on n'attend pas d'une entreprise de dix salariés le même dispositif que d'une grande banque.

Ce que la CNIL contrôle en priorité, ce sont des manquements évitables : cookies non conformes, surveillance excessive des salariés, défauts de sécurité des données¹. Rien qui relève de l'IA sophistiquée. Le bon sens couvre déjà une bonne partie du chemin.

Sur l'IA précisément, la CNIL a publié en juillet 2025 des recommandations pour aider les professionnels à concilier innovation et respect des droits des personnes². Le message n'est pas «arrêtez l'IA». C'est «utilisez-la en connaissance de cause» : informez les personnes concernées, limitez les données que vous traitez, sécurisez vos flux.

Un dernier point de calendrier. Depuis le 2 août 2026, le règlement européen sur l'IA, l'AI Act, impose une obligation de transparence³ : un assistant conversationnel doit indiquer à votre client qu'il parle à une IA, et un contenu généré par IA doit pouvoir être identifié comme tel. Si vous mettez un agent IA en relation directe avec vos clients, c'est à intégrer dès maintenant.

5 réflexes pour utiliser l'IA sans exposer vos données

Voici la méthode que j'applique et que je conseille aux dirigeants que j'accompagne. Rien d'insurmontable, et vous pouvez commencer dès cette semaine.

1. Ne donnez à l'IA que ce dont elle a besoin. Avant de coller un document, demandez-vous si les données nominatives sont utiles à la tâche. Pour faire reformuler un mail, le nom du client n'apporte rien : remplacez-le par «le client». C'est le principe de minimisation, et c'est votre meilleure protection, parce qu'une donnée que vous n'envoyez pas est une donnée que personne ne peut réutiliser.

2. Choisissez des outils qui n'apprennent pas sur vos données. Les offres professionnelles sérieuses s'engagent à ne pas réutiliser vos saisies pour entraîner leurs modèles, et proposent souvent une option pour le désactiver explicitement. Fuyez les outils gratuits dont les conditions restent floues sur ce point : si le produit est gratuit, la contrepartie se trouve souvent dans vos données.

3. Privilégiez un hébergement européen quand c'est possible. À service équivalent, un outil qui traite vos données dans l'Union européenne vous épargne toute la question des transferts. Ce n'est pas toujours faisable selon les usages, mais c'est un critère de choix à part entière, à mettre dans la balance au même niveau que le prix.

4. Mettez vos mentions et votre registre à jour. Si vous utilisez l'IA sur des données clients, cela doit apparaître dans votre registre des traitements et, le cas échéant, dans l'information que vous donnez aux personnes. Une demi-journée par an suffit à tenir tout cela propre, et c'est exactement le genre de document qu'un contrôleur demande en premier.

5. Encadrez la sous-traitance et formez votre équipe. L'éditeur de l'outil IA est votre sous-traitant : un contrat, le fameux DPA, doit encadrer ce qu'il fait de vos données. Et une règle simple, partagée avec vos collaborateurs, évite l'essentiel des dérapages : on ne colle pas de donnée client dans un outil qui n'a pas été validé.

Le vrai piège, c'est l'usage, pas l'outil. Un collaborateur pressé qui copie un fichier clients entier dans un assistant gratuit crée un risque bien plus grand qu'un outil professionnel correctement paramétré. La règle et la formation comptent autant que la technique.

L'option souveraine : garder la main sur ses données

Pour certaines entreprises, notamment celles qui manipulent des données sensibles comme la santé, le juridique ou des données de mineurs, le simple fait d'envoyer quoi que ce soit hors d'Europe est un problème de fond. Bonne nouvelle : ce n'est plus une fatalité technique.

Il existe aujourd'hui des solutions d'IA et d'automatisation hébergées en France ou en Europe, où vos données ne quittent jamais le territoire. On peut auto-héberger un outil d'automatisation, brancher des modèles de langage opérés sur le sol européen, et garder ainsi la maîtrise complète du trajet de la donnée. C'est plus exigeant à mettre en place et à maintenir, j'en détaille d'ailleurs le coût réel dans un autre article, mais pour certains métiers c'est la seule option vraiment sereine.

L'idée n'est pas de renoncer à l'IA au nom de la conformité. C'est de choisir, en connaissance de cause, le bon niveau de maîtrise pour votre activité. Un artisan du bâtiment et un cabinet médical n'ont pas les mêmes contraintes, et c'est très bien ainsi. C'est tout le sens de mon accompagnement chez Yono Consulting : calibrer l'effort au risque réel, ni plus ni moins.

Conformité et IA ne s'excluent pas

Utiliser l'IA dans votre entreprise sans exposer les données de vos clients ne demande ni diplôme de juriste ni budget de grand groupe. Cela demande de comprendre une chose simple : dès que vous tapez un prompt contenant des données personnelles, le RGPD s'applique, et la vraie question n'est plus «ai-je le droit ?» mais «est-ce que je maîtrise ?».

Minimiser ce que vous confiez, choisir des outils qui respectent vos données, savoir où elles sont traitées : ces trois réflexes couvrent déjà l'essentiel. Le reste est affaire de bon sens et d'un peu de méthode, deux choses dont un dirigeant de TPE ne manque pas.

Pour aller plus loin, je vous explique ce que l'AI Act change vraiment pour une petite structure dans AI Act et TPE-PME : ce qu'il faut vraiment faire en 2026, et je chiffre l'option souveraine dans n8n auto-hébergé en France : souveraineté, RGPD et coût réel.

Sources

1. CNIL, Sanctions et mesures correctrices : la CNIL présente le bilan 2025
2. CNIL, IA et RGPD : la CNIL publie ses nouvelles recommandations pour accompagner une innovation responsable
3. EU Artificial Intelligence Act, Transparency obligations (Article 50)
4. CNIL, Transferts de données vers les États-Unis : la Commission européenne adopte une nouvelle décision d'adéquation