RGPD et intelligence artificielle : utiliser l’IA sans violer la protection des données

Temps de lecture : 20-25 min

Mis à jour le 21 septembre 2026

Le Digital Omnibus, adopté définitivement le 29 juin 2026, introduit pour les déployeurs de systèmes IA à haut risque une nouvelle obligation avant tout déploiement : la FRIA (évaluation d’impact sur les droits fondamentaux), distincte de l’AIPD déjà prévue par le RGPD. Les deux analyses se complètent et peuvent être conduites dans un processus documentaire intégré. Ce dossier est régulièrement mis à jour pour refléter ces évolutions.

Vous avez passé un contrat client dans ChatGPT pour en faire une synthèse. Vous avez demandé à une IA de reformuler un email avec les coordonnées d’un prospect. Vous utilisez un CRM qui score automatiquement vos contacts. Dans chacun de ces cas, vous traitez des données personnelles au sens du RGPD et les obligations s’appliquent.

Cette page identifie ce que le RGPD impose quand vous utilisez l’IA, là où votre exposition est réelle, et ce que vous devez mettre en place concrètement. L’articulation avec l’AI Act est traitée à chaque étape et les deux textes s’appliquent simultanément sur la plupart des usages professionnels.

Ce dossier fait partie du Guide juridique pour entrepreneurs, votre référence pour sécuriser chaque étape de votre activité. Pour une vue d’ensemble des enjeux juridiques de l’IA, consultez la page IA & Droit : enjeux et bonnes pratiques.

Ce que le RGPD impose réellement quand vous utilisez l’IA

La question de la conformité IA RGPD est devenue centrale pour les entrepreneurs. Beaucoup pensent que le RGPD bloque l’utilisation de l’intelligence artificielle. Cette perception vient d’une confusion fréquente entre obligations juridiques et interdictions. Le RGPD n’interdit rien. Il encadre.

La question n’est donc pas de savoir si vous pouvez utiliser l’IA. La question est de savoir si vous la utilisez dans le respect des principes de protection des données.

Les cinq principes RGPD qui s’appliquent à l’IA

Le règlement général sur la protection des données repose sur cinq principes fondamentaux. Ces principes ne changent pas selon l’outil utilisé. Ils s’appliquent de la même manière à un tableur Excel, à un logiciel de gestion client ou à une intelligence artificielle.

Le principe de finalité impose que chaque traitement de données personnelles soit réalisé pour un objectif précis et légitime. Vous ne pouvez pas collecter des données « au cas où » ou les utiliser pour un usage différent de celui annoncé initialement. Lorsque vous utilisez une IA pour résumer un contrat client, la finalité doit être claire : améliorer la qualité de votre prestation, faciliter votre analyse, préparer une synthèse. Cette finalité doit être déterminée avant le traitement, pas après.

Le principe de minimisation signifie que vous ne devez traiter que les données strictement nécessaires à votre objectif. Si vous avez besoin d’analyser la structure d’un contrat, vous n’avez probablement pas besoin de partager le nom complet du client, son adresse ou son chiffre d’affaires. Ce principe impose une réflexion systématique : ai-je vraiment besoin de cette information pour que l’IA accomplisse sa tâche ?

Le principe de transparence exige que les personnes concernées sachent comment leurs données sont utilisées. Si vous utilisez une IA pour traiter des informations clients, ces clients doivent être informés. Cette information peut figurer dans votre politique de confidentialité, dans vos contrats ou dans vos conditions générales. L’absence d’information ne rend pas le traitement invisible juridiquement. Elle le rend illicite.

Le principe de sécurité impose que vous preniez toutes les mesures nécessaires pour protéger les données contre les accès non autorisés, les pertes ou les fuites. Lorsque vous transmettez des données à un outil d’IA en ligne, vous devez vous assurer que cet outil offre des garanties de sécurité suffisantes. Le simple fait que l’outil soit populaire ou technologiquement avancé ne garantit pas sa conformité.

Le principe de limitation de conservation signifie que les données ne doivent pas être conservées plus longtemps que nécessaire. Si une IA conserve vos requêtes ou vos documents pendant plusieurs mois sans justification, cela peut poser un problème de conformité. Vous devez savoir combien de temps les données restent stockées et vous assurer que cette durée est proportionnée à la finalité.

Ce qui déclenche l’application du RGPD

Le RGPD ne s’applique pas à tous les usages de l’IA. Il s’applique uniquement lorsque des données personnelles sont traitées.

Une donnée personnelle est toute information permettant d’identifier directement ou indirectement une personne physique. Cela inclut les noms, prénoms, adresses email, numéros de téléphone, adresses postales, mais aussi des identifiants techniques comme les adresses IP, les identifiants clients ou les données de localisation.

Dès lors que vous utilisez une IA en lui fournissant ce type d’informations, le RGPD s’applique automatiquement. Peu importe que l’opération soit rapide, ponctuelle ou perçue comme anodine. La nature du traitement ne dépend pas de votre intention, mais de la présence de données personnelles.

Exemples concrets où le RGPD s’applique immédiatement :
– Vous copiez un contrat contenant le nom d’un client dans ChatGPT pour le résumer.
– Vous importez un fichier de contacts dans une IA pour analyser votre portefeuille client.
– Vous demandez à une IA de reformuler un email professionnel contenant des coordonnées.
– Vous utilisez une IA pour générer des réponses automatisées incluant des informations personnelles.
Dans chacune de ces situations, vous effectuez un traitement de données personnelles au sens du RGPD et les obligations s’appliquent intégralement.

Les sanctions réelles en cas de non-conformité

Le RGPD n’est pas une recommandation. C’est un règlement européen directement applicable en France et les autorités de protection des données, notamment la CNIL, disposent de pouvoirs de contrôle et de sanction importants.

Les sanctions peuvent atteindre jusqu’à 4 % du chiffre d’affaires annuel mondial ou 20 millions d’euros, selon le montant le plus élevé. Ces montants maximaux sont rarement appliqués aux petites structures, mais les sanctions existent et augmentent régulièrement.

Attention

Le risque principal vient des plaintes. Un client mécontent peut saisir la CNIL, déclenchant une procédure qui peut révéler d’autres non-conformités.

Au-delà des sanctions financières, une mise en conformité forcée peut entraîner des coûts indirects importants : suspension temporaire d’un traitement, obligation de mettre à jour l’ensemble de vos documents, audit complet de vos pratiques, perte de confiance de vos clients.

L’enjeu peut sembler être seulement d’ordre juridique, mais il est aussi d’ordre commercial et réputationnel. La conformité RGPD inspire confiance et la non-conformité crée une fragilité.

Identifier vos traitements IA soumis au RGPD

Avant de mettre en place des mesures de conformité, il faut comprendre précisément où se situent vos usages à risque. Tous les usages de l’IA ne posent pas le même niveau de difficulté juridique.

Diagnostic : est-ce que j’utilise des données personnelles ?

La première question à se poser est simple : est-ce que l’IA que j’utilise accède à des données permettant d’identifier une personne ?

Si la réponse est non, le RGPD ne s’applique pas. Vous pouvez utiliser l’IA librement pour des tâches génériques : reformuler un texte sans information identifiable, générer des idées de contenu, structurer un plan de document, obtenir des explications juridiques générales.

Si la réponse est oui, vous entrez dans le champ du RGPD. Vous devez alors vérifier que votre usage respecte les principes énoncés précédemment.

Le problème vient souvent du fait que les données personnelles ne sont pas toujours évidentes. Un document peut sembler anonyme tout en contenant des éléments identifiants : un nom d’entreprise associé à un projet spécifique, une adresse email dans une signature, une référence client unique.

À retenir

Posez-vous la question : « Si quelqu’un d’autre lisait ce que j’envoie à l’IA, pourrait-il identifier une personne ? » Si oui, vous traitez des données personnelles.

Les six situations professionnelles les plus fréquentes

Certains usages de l’IA reviennent régulièrement dans les activités entrepreneuriales. Chacun présente des enjeux RGPD spécifiques.

Résumer ou analyser des contrats clients. Vous copiez un contrat dans une IA pour obtenir une synthèse rapide. Ce contrat contient le nom du client, son adresse, parfois des informations financières. Vous transmettez donc des données personnelles à un tiers. Cette opération nécessite une base légale, une information du client et une vérification des garanties de sécurité de l’outil.

Générer ou améliorer des documents commerciaux. Vous utilisez l’IA pour rédiger des propositions commerciales, des emails de prospection ou des présentations. Si ces documents mentionnent des contacts identifiables, des entreprises clientes ou des informations stratégiques liées à des personnes, le RGPD s’applique.

Analyser des données RH ou salariés. Vous demandez à une IA de résumer des CV, d’analyser des candidatures ou de structurer des fiches de poste. Les données RH sont particulièrement sensibles. Leur traitement via une IA externe sans garanties contractuelles peut constituer une violation grave du RGPD.

Données sensibles

Les données RH, financières et de santé nécessitent un niveau de protection renforcé. Ne les partagez jamais avec une IA sans garanties contractuelles.

Automatiser des réponses clients. Vous intégrez une IA dans votre support client pour répondre automatiquement aux questions fréquentes. Si l’IA accède à l’historique des échanges, aux coordonnées des clients ou à des informations sur leurs commandes, elle traite des données personnelles.

Personnaliser des contenus marketing. Vous utilisez l’IA pour segmenter votre audience, personnaliser des campagnes ou analyser le comportement de vos prospects. Ces usages impliquent nécessairement des données personnelles et nécessitent un cadre juridique strict.

Traiter des données financières ou comptables. Vous partagez des factures, des relevés ou des documents comptables contenant des noms de clients ou de fournisseurs. Ces documents incluent presque toujours des données personnelles et leur transmission à une IA doit être encadrée.

Cartographie de vos usages IA

Pour identifier précisément vos obligations, il est utile de cartographier vos usages. Cette cartographie ne doit pas être complexe. Elle doit être claire et actionnable.

Listez tous les outils d’IA que vous utilisez régulièrement. Pour chaque outil, identifiez le type de données que vous partagez : données clients, données salariés, données financières, données stratégiques.

Action immédiate

Créez un tableau simple :
Outil IA | Type de données | Fréquence | Mesures de protection
Cette cartographie visuelle révèle rapidement vos zones de risque.

Identifiez ensuite la finalité de chaque usage : améliorer la rédaction, gagner du temps, analyser des informations, automatiser des tâches.

Vérifiez enfin si vous avez informé les personnes concernées et si vous avez mis en place des mesures de sécurité adaptées.
Cette cartographie simple permet de visualiser rapidement les zones de risque et de prioriser les actions de mise en conformité.

Votre sécurité juridique mérite une expertise humaine

L’IA est un outil puissant, mais elle ne remplace pas l’œil averti d’un juriste. Celestial Guardian combine technologie et expertise pour mettre à votre disposition :

• Audit de contrats (y compris ceux générés par IA)
• Téléchargement de modèles de CGV, contrats et NDA
• Mise en conformité RGPD pour les outils d’IA
• Formation pour utiliser l’IA en toute sécurité

Prendre rendez-vous | Découvrir les offres

Tous les usages de l’IA ne créent pas le même niveau d’exposition RGPD. Utiliser une IA pour reformuler un texte sans donnée identifiable n’appelle pas les mêmes mesures que traiter des CV ou des données clients via une API. Ce qui détermine vos obligations, c’est la nature des données impliquées et la sensibilité du contexte et non l’outil lui-même.

Identifier votre niveau d’exposition est la première étape. Choisir les outils adaptés et encadrer vos fournisseurs contractuellement est la suivante et fait l’objet du dossier Évaluation fournisseurs. Structurer l’ensemble dans une gouvernance documentée est l’étape d’après et fait l’objet du guide Gouvernance IA.

Quand l’AIPD devient obligatoire et ce que la FRIA y ajoute

Le RGPD impose une Analyse d’Impact relative à la Protection des Données (AIPD) dès lors qu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. En pratique, la quasi-totalité des déploiements IA en contexte professionnel déclenche cette obligation : profilage, surveillance systématique, usage de technologies émergentes, traitement à grande échelle.

Une AIPD absente ou mal conduite est un manquement documenté en soi, exploitable lors d’un contrôle et indépendamment de ce que fait l’outil.

Le Digital Omnibus, adopté en juin 2026, ajoute une couche pour les déployeurs de systèmes à haut risque au sens de l’AI Act : la FRIA (Fundamental Rights Impact Assessment). Là où l’AIPD évalue les risques sur la protection des données personnelles, la FRIA évalue l’impact sur les droits fondamentaux au sens large : non-discrimination, accès à l’emploi, dignité, égalité de traitement.

Les deux analyses ne se doublonnent pas et l’AI Act le prévoit explicitement : si une AIPD a déjà été réalisée, la FRIA vient la compléter. En pratique, conduisez-les dans un processus documentaire intégré.

Action concrète

Si vous utilisez un outil RH automatisé ou un scoring client sans avoir réalisé d’AIPD, c’est le premier chantier à ouvrir. La FRIA s’y greffe ensuite naturellement avant le déploiement.

Mise en conformité étape par étape

Comprendre les principes du RGPD ne suffit pas. Il faut les traduire en actions concrètes. Voici une méthode progressive pour sécuriser vos usages d’IA.

Étape 1 : Audit de vos usages actuels

La première étape consiste à identifier précisément ce que vous faites aujourd’hui avec l’IA. Cette étape ne nécessite pas de compétences techniques particulières. Elle demande simplement de la rigueur.

Listez tous les outils d’IA que vous utilisez. Pour chaque outil, notez les informations suivantes : quel type de données partagez-vous ? À quelle fréquence ? Pour quelle finalité ? Ces données permettent-elles d’identifier des personnes ?

Action concrète

Bloquez 30 minutes dans votre agenda cette semaine pour faire cet audit. Sans cette étape, vous ne saurez pas par où commencer.

Identifiez ensuite les zones de risque prioritaires. Si vous partagez régulièrement des contrats clients complets sans anonymisation, c’est une zone de risque. Si vous utilisez une IA pour traiter des CV ou des fiches salariés, c’est une zone de risque élevé. Si vous intégrez une IA dans votre support client avec accès à l’historique des échanges, c’est également une zone de risque.

Cette cartographie permet de prioriser vos actions. Vous n’avez pas besoin de tout sécuriser en même temps. Commencez par les usages les plus sensibles.

Étape 2 : Choisir les bons outils

Une fois vos usages identifiés, choisissez les outils en fonction de la sensibilité des données impliquées : versions professionnelles avec DPA pour les usages réguliers ou impliquant des données clients, encadrement contractuel renforcé pour les contextes sensibles. Le détail des critères de sélection est dans le dossier Évaluation fournisseurs.

Étape 3 : Mettre à jour vos documents juridiques

Votre conformité RGPD ne repose pas uniquement sur vos pratiques. Elle repose également sur votre capacité à démontrer ces pratiques. Cette démonstration passe par vos documents juridiques.

Mettez à jour votre politique de confidentialité. Si vous utilisez des outils d’IA pour traiter des données clients, cette utilisation doit apparaître clairement. Mentionnez le type d’outil utilisé, la finalité du traitement, les garanties de sécurité mises en place, et les droits des personnes concernées.

Mettez à jour votre registre des traitements. Le RGPD impose aux responsables de traitement de tenir un registre listant l’ensemble des opérations de traitement de données personnelles. Chaque usage d’IA impliquant des données personnelles doit y figurer.

Si vous proposez des services impliquant l’IA à vos clients, intégrez une clause spécifique dans vos contrats. Cette clause doit expliquer comment l’IA est utilisée, quelles données sont traitées, et quelles garanties vous offrez en matière de confidentialité.

Étape 4 : Former vos équipes

La conformité ne repose pas uniquement sur les outils. Elle repose sur les personnes qui utilisent ces outils. Si vous avez des collaborateurs ou des sous-traitants, ils doivent comprendre les règles applicables.

Organisez une session d’information ou de formation interne. Expliquez les principes du RGPD, les risques liés à l’utilisation de l’IA, et les bonnes pratiques à respecter. Cette formation ne doit pas être perçue comme une contrainte administrative. Elle doit être vue comme une protection pour l’entreprise et pour les collaborateurs eux-mêmes.

Créez des procédures simples et claires. Par exemple : avant de partager un document dans une IA, vérifiez qu’il ne contient pas de données identifiables. Avant d’utiliser une IA pour un nouveau projet, vérifiez que l’outil dispose d’un DPA conforme.

Ces procédures ne doivent pas être complexes. Elles doivent être actionnables et intégrées dans le quotidien.

Étape 5 : Documenter et tracer

Le RGPD repose sur le principe d’accountability, c’est-à-dire la capacité à démontrer votre conformité. Cette démonstration passe par la documentation.

Conservez une trace des outils utilisés, des DPA signés, des formations réalisées, et des mises à jour de vos documents juridiques. Cette documentation ne doit pas être exhaustive. Elle doit être suffisante pour démontrer votre démarche de conformité en cas de contrôle ou de plainte.

Si vous réalisez des audits internes ou des vérifications régulières, conservez également les comptes-rendus de ces audits. Ils prouvent votre vigilance et votre volonté de maintenir une conformité durable.

À retenir

La documentation n’est pas une option. En cas de contrôle CNIL, vous devez prouver votre conformité.
Pas de traces = pas de preuve.

Pour en savoir plus sur les obligations RGPD liées à l’IA, consultez les recommandations de la CNIL.

FAQ : IA et protection des données