IA et RGPD dans une PME : les règles à connaître.
Confier des mails, des commandes ou des factures à une IA, c'est traiter des données personnelles. Rien d'interdit, à condition de respecter quelques règles du RGPD. Voici l'essentiel pour une PME, sans jargon.
Le RGPD s'applique dès que l'IA touche des données personnelles
Le nom d'un client, son adresse e-mail, son téléphone ou la signature d'un mail sont des données personnelles. Dès qu'un outil d'IA lit votre boîte mail ou vos factures, vous faites un traitement de données au sens du RGPD, et vous en êtes responsable.
Les cinq questions à se poser
- Pourquoi ? Le but doit être précis (répondre aux clients, saisir les commandes) et reposer sur une base légale, en général l'exécution du contrat ou votre intérêt légitime.
- Quelles données ? Seulement celles qui sont nécessaires : un assistant qui relance des devis n'a pas besoin des fiches de paie.
- Qui traite ? Le prestataire qui installe ou fait tourner l'outil est votre sous-traitant : le RGPD impose un contrat qui fixe ses obligations (article 28).
- Où vont les données ? Privilégiez un hébergement dans l'Union européenne. Un transfert hors de l'Union doit être encadré, par exemple par les clauses contractuelles types de la Commission européenne.
- Qui décide ? Une décision qui produit des effets importants pour une personne ne doit pas être prise par une machine seule (article 22). Garder un humain qui valide règle la question.
Ce que recommande la CNIL
La CNIL publie sur son site des recommandations et des fiches pratiques sur l'intelligence artificielle. Pour une PME, elles reviennent à quelques réflexes : définir le but avant de choisir l'outil, limiter les données, sécuriser les accès, informer les personnes concernées, et vérifier ce que le fournisseur fait des données, notamment s'il s'en sert pour entraîner ses modèles.
Vérifiez toujours les conditions du fournisseur d'IA : les offres professionnelles et les accès par API excluent en général l'entraînement sur vos données, ce qui n'est pas toujours le cas des versions gratuites grand public.
Et le règlement européen sur l'IA ?
Le règlement européen sur l'intelligence artificielle (souvent appelé AI Act) est entré en vigueur en août 2024, avec des obligations qui s'appliquent progressivement. Il classe les usages selon leur niveau de risque. Un assistant qui prépare des mails et des saisies validés par un humain ne fait en général pas partie des usages à haut risque, mais des obligations de transparence peuvent s'appliquer : par exemple, ne pas laisser croire à un client qu'il échange avec un humain quand ce n'est pas le cas.
Comment on fait chez Vibe Studio
- un serveur par entreprise, hébergé en Europe ;
- un accès limité aux seuls outils nécessaires, et un journal de tout ce que fait l'assistant ;
- un accord de traitement des données (sous-traitance RGPD) signé avec chaque client ;
- des modèles d'IA utilisés dans des conditions qui excluent l'entraînement sur vos données ;
- rien ne part sans la validation d'un humain.
Vous voulez vérifier ce que ça donnerait chez vous ? Le diagnostic de 45 minutes est offert.
Ce guide est une information générale, pas un conseil juridique. Pour un cas particulier, rapprochez-vous de votre conseil ou consultez cnil.fr.