IA et données personnelles : ce qu'un dirigeant doit vérifier avant de démarrer

Le risque n'est pas là où vous le cherchez

Quand un dirigeant pense « IA et données », il imagine un grand projet : un outil déployé officiellement, un contrat signé, un prestataire identifié. Ce projet-là est rarement le problème — précisément parce qu'il est visible, quelqu'un finit par poser les bonnes questions avant la mise en route.

Le risque réel, dans la plupart des PME, est silencieux : un commercial qui colle le fichier de prospection dans un outil gratuit pour « nettoyer les doublons », une assistante qui fait résumer des courriers contenant noms et adresses, un comptable qui demande à un chatbot de reformuler une relance avec le détail des sommes dues. Personne n'a rien décidé, donc personne n'a rien vérifié. Et ces usages existent probablement déjà chez vous, avec ou sans consigne.

La réponse n'est pas d'interdire — une interdiction sans alternative pousse simplement les usages vers les comptes personnels, où vous ne voyez plus rien. La réponse est d'encadrer : savoir ce qui circule, où, et poser des règles simples que tout le monde peut suivre.

Un point avant d'aller plus loin : nous sommes une agence, pas un cabinet d'avocats. Ces repères vous aident à poser les bonnes questions ; ils ne remplacent pas un conseil juridique, en particulier si vous traitez des données sensibles ou des volumes importants.

Ce que le RGPD implique, sans jargon

Le RGPD encadre les données personnelles : toute information qui permet d'identifier une personne, directement ou par recoupement. Un nom, un email nominatif, un numéro de téléphone, mais aussi un historique d'achats rattaché à un client identifiable. Dès qu'un outil d'IA reçoit ce type de données, vous êtes dans le champ du règlement.

Trois notions suffisent pour raisonner correctement :

Vous êtes responsable de traitement. C'est votre entreprise qui décide pourquoi et comment des données sont utilisées — pas l'outil. Si un collaborateur envoie des données clients dans un service d'IA, c'est l'entreprise qui en répond, pas l'éditeur de l'outil, et pas le collaborateur seul.

L'outil d'IA est un sous-traitant — ou pas. Un prestataire qui traite des données pour votre compte doit s'y engager contractuellement. Les offres « entreprise » des grands outils d'IA prévoient généralement ce cadre ; les versions grand public gratuites, généralement pas. C'est une différence de statut juridique, pas une nuance tarifaire.

Vos traitements doivent être documentés. Le registre des traitements existe déjà dans votre entreprise (ou devrait). Un usage régulier de l'IA sur des données personnelles a vocation à y figurer, comme n'importe quel autre traitement.

À noter également : un règlement européen spécifique à l'IA existe et se déploie progressivement. Inutile d'en maîtriser le détail aujourd'hui pour une PME qui démarre — mais c'est une raison de plus de documenter vos usages dès maintenant plutôt que de régulariser plus tard.

La référence à consulter reste la CNIL, qui publie des recommandations dédiées aux systèmes d'IA, écrites pour être lisibles par des non-juristes.

Données personnelles et données confidentielles : deux problèmes, pas un

Le RGPD ne couvre que les données personnelles. Mais ce n'est que la moitié du sujet.

L'autre moitié, ce sont vos données confidentielles métier : marges, prix d'achat, contrats en négociation, éléments techniques différenciants, projets non annoncés. Aucune loi ne vous interdit de les coller dans un outil d'IA — c'est votre intérêt commercial qui le déconseille. La question à se poser est simple : accepteriez-vous que ce contenu serve à entraîner un modèle utilisé par n'importe qui, y compris vos concurrents ? Les conditions d'utilisation de certains outils grand public prévoient précisément ce droit de réutilisation, avec parfois une option pour le refuser.

Une consigne interne qui ne traite que le RGPD laisse ce deuxième angle mort grand ouvert. Traitez les deux ensemble : ce qui identifie des personnes, et ce qui vaut de l'argent.

La checklist avant de brancher un outil d'IA

Voici les vérifications à faire — une fois, posément — avant d'adopter un outil, et à refaire quand vous changez d'offre ou d'éditeur.

Si vous ne pouvez pas répondre aux questions 2 et 3 pour un outil que vos équipes utilisent déjà, vous avez trouvé votre première action de la semaine.

Encadrer, concrètement : une page suffit pour commencer

La version minimale d'un encadrement sérieux tient sur une page :

• La liste des outils validés — et l'offre exacte (la version entreprise d'un outil et sa version gratuite sont deux produits différents au regard des données).
• Les trois catégories de données : ce qui peut y entrer librement, ce qui demande une anonymisation d'abord (retirer noms, coordonnées, montants), ce qui n'y entre jamais.
• Un réflexe d'anonymisation : la plupart des usages bureautiques de l'IA fonctionnent aussi bien avec « le client » qu'avec son nom complet. Apprendre aux équipes à dépersonnaliser avant de coller règle une grande partie du problème à la source.
• Un référent : quelqu'un à qui poser la question « j'ai le droit de mettre ça ? » sans passer pour un frein.

Ce document n'a pas besoin d'être parfait. Il a besoin d'exister, d'être court, et d'être mis à jour quand un outil change. Une PME qui a cette page et s'y tient est mieux protégée qu'une entreprise qui a interdit l'IA par principe et dont les équipes utilisent leurs comptes personnels en silence.

Où ce sujet se loge dans une démarche IA sérieuse

Si vous structurez votre adoption de l'IA — plutôt que de la subir —, la question des données n'est pas un chapitre à part : elle s'examine cas d'usage par cas d'usage. Automatiser les réponses aux avis clients ne fait pas transiter les mêmes données qu'automatiser la pré-qualification de candidatures, et les précautions ne sont pas les mêmes.

C'est exactement ainsi que nous la traitons dans le diagnostic IA : chaque cas d'usage retenu passe par une analyse de risques — données personnelles concernées, conditions d'utilisation des outils envisagés, points à verrouiller avant tout déploiement. Aucun cas d'usage n'est recommandé sans cette vérification, parce qu'un gain de temps qui crée un risque non maîtrisé n'est pas un gain.

Pour repérer par où commencer côté opportunités, les cas d'usage de l'IA secteur par secteur donnent une vue d'ensemble réaliste. Et si vous voulez éviter les pièges classiques au-delà de la seule question des données, les erreurs qui font échouer un projet IA en PME complètent utilement cette lecture. Enfin, pour situer tout cela dans le contexte des aides publiques, le plan Osez l'IA expliqué aux dirigeants fait le tour du dispositif.