La question arrive toujours au même moment. Une équipe a trouvé un usage utile, la démonstration fonctionne, et quelqu'un demande si on a le droit. C'est là que RGPD et IA se rencontrent, souvent trop tard, avec le fichier client déjà à moitié copié dans une fenêtre de discussion. La bonne nouvelle : le règlement ne comporte aucun article consacré à l'intelligence artificielle, et il n'en a pas besoin. Les mêmes principes qu'en 2018 s'appliquent, à des outils qui les rendent simplement plus faciles à enfreindre.
Cet article ne rejoue pas le cours de droit. Il prend les quatre questions qu'un responsable se pose réellement avant de brancher un outil sur des données réelles : ai-je une base légale, quelles données puis-je transmettre, à qui vont-elles, et qu'est-ce que je dois écrire quelque part. Chacune se tranche en quelques minutes une fois qu'on sait quoi regarder.
Le fil conducteur est simple : la conformité ne consiste pas à interdire, elle consiste à savoir dire ce que vous faites. Un usage documenté, cadré et proportionné passe. Un usage improvisé sur des données sensibles ne passera jamais, quel que soit l'outil.
RGPD et IA : le texte n'a pas changé, les usages oui
Le règlement général sur la protection des données s'applique dès qu'un traitement porte sur des données personnelles, c'est-à-dire toute information se rapportant à une personne physique identifiée ou identifiable. Un nom dans un compte rendu de réunion, une adresse électronique dans un ticket de support, un numéro de téléphone dans un devis : ce sont des données personnelles, et le fait de les passer à un modèle de langage est un traitement comme un autre.
Ce que l'IA change, c'est l'échelle et la facilité. Copier un extrait de base client dans un traitement de texte n'a jamais transféré ces données à un tiers. Le coller dans une interface hébergée à l'étranger, oui. La différence tient à trois secondes de manipulation, et c'est précisément ce qui rend la sensibilisation plus efficace qu'une note de service.
Deux textes cohabitent désormais. Le RGPD encadre les données personnelles, quel que soit l'outil. Le règlement européen sur l'intelligence artificielle encadre les systèmes d'IA eux-mêmes, selon leur niveau de risque, avec un calendrier d'entrée en application propre que nous détaillons dans notre décryptage du calendrier d'application de l'AI Act. Les deux se cumulent : être conforme à l'un ne dispense pas de l'autre.
Trouver une base légale avant de brancher un modèle
Aucun traitement n'existe sans base légale. Le règlement en prévoit six, mais en entreprise trois couvrent l'essentiel des usages d'IA.
- L'exécution d'un contrat : analyser les tickets d'un client pour lui répondre relève du service que vous lui vendez. Base solide, périmètre étroit.
- L'obligation légale : rare pour l'IA, mais elle existe dès qu'un texte impose le traitement (contrôle, archivage, lutte antifraude encadrée).
- L'intérêt légitime : la base la plus utilisée, et la plus exigeante. Elle suppose une mise en balance écrite entre votre intérêt et les droits des personnes, et elle tombe dès que l'usage devient intrusif ou inattendu.
Le consentement, lui, est souvent invoqué à tort. Il doit être libre, ce qui le rend fragile dans une relation salarié-employeur, et il est révocable à tout instant : bâtir un traitement permanent dessus revient à accepter qu'il s'arrête sans préavis. Pour un usage interne, l'intérêt légitime correctement documenté est presque toujours le bon choix.
Concrètement, la mise en balance tient en une page : finalité précise, données strictement nécessaires, impact sur les personnes, mesures prises pour le réduire, conclusion. Une PME qui utilise un modèle pour résumer ses comptes rendus commerciaux rédige ce document en une heure. Elle ne le rédigera jamais si personne ne le demande.
Minimisation : ce que vous pouvez envoyer, ce que vous devez retirer
Le principe de minimisation impose de ne traiter que les données adéquates, pertinentes et limitées à ce qui est nécessaire. Appliqué à un modèle de langage, il donne une règle de terrain très simple : le modèle n'a besoin que de ce qui influence sa réponse.
Prenons une demande courante, la reformulation d'une réclamation client en réponse professionnelle. Le modèle a besoin du contenu de la réclamation. Il n'a besoin ni du nom, ni de l'adresse, ni du numéro de contrat, ni de l'historique de facturation. Retirer ces champs avant l'envoi supprime l'essentiel du risque sans dégrader d'un pour cent la qualité du résultat. C'est le geste le plus rentable de toute la démarche, et nous y consacrons un article dédié sur les méthodes d'anonymisation avant envoi à une IA.
Trois catégories méritent une vigilance particulière, parce qu'elles font basculer le traitement dans un régime plus strict :
- Les données sensibles au sens du règlement : santé, opinions politiques, convictions religieuses, orientation sexuelle, données biométriques ou génétiques. Leur traitement est interdit par principe, avec des exceptions limitées. Un cabinet médical ne colle pas un compte rendu dans une interface grand public.
- Les données de salariés : évaluations, absences, échanges internes. Le déséquilibre de la relation rend l'usage bien plus sensible qu'il n'y paraît.
- Les données de mineurs, qui appellent une protection renforcée.
Sous-traitance : lire le contrat de l'éditeur avant de signer
Un éditeur d'IA qui traite des données pour votre compte est un sous-traitant au sens de l'article 28. Cela impose un contrat, des garanties, et une vérification de votre part. Quatre points suffisent à trier la plupart des offres.
| Point à vérifier | Ce que vous cherchez |
|---|---|
| Réutilisation pour l'entraînement | Une clause claire excluant l'entraînement sur vos données. C'est le point qui distingue le plus nettement les offres professionnelles des offres grand public. |
| Localisation des traitements | Le pays d'hébergement et, hors Union européenne, le mécanisme de transfert invoqué (clauses contractuelles types, décision d'adéquation). |
| Durée de conservation | Combien de temps les requêtes sont conservées, et pour quel motif. Trente jours de rétention pour lutte contre les abus est courant et acceptable ; une conservation indéfinie ne l'est pas. |
| Sous-traitants ultérieurs | La liste des hébergeurs et fournisseurs de modèles derrière le service, et l'obligation de vous informer en cas de changement. |
La même vigilance vaut pour les outils d'automatisation qui font transiter vos données entre applications : les questions de journalisation, de secrets et de périmètre d'accès s'y posent dans les mêmes termes, comme nous l'écrivions à propos de la sécurisation des workflows d'automatisation.
Informer, inscrire au registre, évaluer si nécessaire
Trois obligations documentaires ferment la boucle, et aucune ne demande un budget.
L'information des personnes. Vos mentions d'information doivent refléter la réalité. Si les demandes de support sont désormais résumées par un modèle, cela s'écrit. Une phrase suffit : préciser la finalité, la catégorie de destinataire et le fait qu'aucune décision produisant des effets juridiques n'est prise automatiquement, si c'est le cas.
Le registre des traitements. Chaque usage stabilisé devient une ligne : finalité, catégories de données, destinataires, durée de conservation, base légale. Un usage qui ne rentre pas dans une ligne de registre est un usage que vous ne savez pas décrire, donc un usage à revoir.
L'analyse d'impact. Elle devient obligatoire quand le traitement est susceptible d'engendrer un risque élevé : évaluation systématique de personnes, traitement à grande échelle de données sensibles, surveillance systématique. Un assistant de rédaction interne n'en relève pas. Un outil qui trie des candidatures, oui, sans hésitation.
Six questions avant de coller un fichier dans un modèle
- Y a-t-il des données personnelles dans ce que je m'apprête à envoyer ? Si oui, lesquelles peuvent être retirées sans perte utile ?
- Quelle est ma base légale, et est-elle écrite quelque part ?
- Le fournisseur s'engage-t-il par contrat à ne pas réutiliser ces données pour entraîner ses modèles ?
- Où les données sont-elles traitées, et sur quel fondement si c'est hors Union européenne ?
- Les personnes concernées ont-elles été informées de cet usage ?
- Une décision est-elle prise sur la base de la sortie du modèle, sans intervention humaine réelle ?
Six réponses claires, et l'usage est défendable. Une seule réponse floue, et c'est précisément l'endroit où travailler.
Ce qu'il faut retenir
Le rapprochement entre RGPD et IA ne produit pas un régime d'exception : il produit une discipline. Réduisez ce que vous envoyez, sachez pourquoi vous l'envoyez, vérifiez à qui, et écrivez-le. Commencez par un inventaire honnête des outils déjà utilisés dans l'entreprise, y compris ceux que personne n'a autorisés : c'est en général là que se trouvent les vrais sujets, bien avant le projet officiel qu'on instruit depuis six mois. Une charte d'usage courte, connue et appliquée protège mieux qu'une interdiction que tout le monde contourne.
Laisser un commentaire