IA, sécurité et RGPD, le guide du dirigeant

Dès qu'on parle d'IA en entreprise, une peur revient, « et mes données ? ». Elle est saine. Coller un fichier client dans un outil grand public sans savoir où il atterrit, ça mérite qu'on s'arrête. Le problème, c'est ce que cette peur produit ensuite, l'immobilisme, pendant que les concurrents avancent.

Ce guide est la carte du sujet. Il rassemble ce qu'un dirigeant doit maîtriser pour déployer l'IA sans exposer ses données ni sortir des clous, et renvoie vers l'article détaillé chaque fois que tu veux creuser. Une précision d'entrée, je ne suis pas juriste, et ce guide ne remplace pas un avis juridique. Ce qu'il fait, c'est te donner les bons réflexes et te pointer les sources officielles pour vérifier par toi-même.

Le constatLa conformité est le troisième frein, pas le premier

Contrairement à ce qu'on entend souvent, la réglementation n'est pas ce qui bloque le plus les entreprises françaises. Selon l'INSEE, chez celles qui n'utilisent pas l'IA, le premier frein est de ne pas en voir l'utilité, cité par 71 %, devant le manque d'expertise à 54 %. La protection des données et le manque de clarté juridique arrivent ensuite, à 38 % chacun.

En revanche, chez celles qui utilisent déjà l'IA, l'ordre change, 43 % citent les inquiétudes sur les données et 42 % le manque de clarté juridique, juste derrière le manque d'expertise à 53 %. Autrement dit, le sujet ne bloque pas l'entrée, il bloque le passage à l'échelle. C'est au moment où l'usage se généralise dans l'équipe que la question devient sérieuse.

La conformité bien comprise est un cadre. Une fois que tu sais ce que tu peux coller et ce que tu ne peux pas, tu cesses de te poser la question à chaque fichier.

Le calendrierL'AI Act, et le report que beaucoup ignorent

Le règlement européen sur l'intelligence artificielle, dit AI Act, est entré en vigueur le 1er août 2024. Il s'applique par étapes, et son calendrier a été modifié en juillet 2026. C'est le point le plus important de cette page, parce que la plupart des contenus en ligne citent encore l'ancien calendrier.

Ce report vient du règlement (UE) 2026/1744, adopté le 8 juillet 2026 et publié au Journal officiel le 24 juillet 2026. Il repousse les obligations des systèmes à haut risque, étend les mesures de soutien aux PME, et ajoute des interdictions visant les contenus intimes non consentis générés par IA. Si tu lis ailleurs que les règles haut risque s'appliquent en août 2026, le contenu n'a pas été mis à jour.

La distinctionFournisseur ou déployeur, la question qui change tout

L'AI Act ne traite pas tout le monde pareil. Il distingue principalement le fournisseur, celui qui développe et met un système sur le marché, et le déployeur, celui qui l'utilise dans son activité. La quasi-totalité des dirigeants qui lisent cette page sont des déployeurs.

C'est une bonne nouvelle, parce que l'essentiel des obligations lourdes pèse sur le fournisseur. En tant que déployeur d'un assistant du commerce pour rédiger tes devis, tu n'as pas de dossier technique à constituer ni d'évaluation de conformité à produire. Tes obligations sont de l'ordre du bon sens organisé, savoir ce que tu utilises, sur quelles données, et informer quand c'est nécessaire.

Le piège, c'est de basculer sans s'en rendre compte. Si tu construis un outil interne à partir d'un modèle, que tu le mets à disposition sous ta marque, ou que tu l'utilises pour un usage listé comme à haut risque, la nature de tes obligations change. En cas de doute sur ta situation, le décryptage de la Direction générale des Entreprises pose le cadre officiel.

RGPDLes quatre questions avant de coller un fichier

Le RGPD s'applique dès qu'il y a des données personnelles, et il s'appliquait déjà avant l'IA. Ce qui change avec l'IA, c'est le volume de données qu'on transmet sans y penser. Quatre questions suffisent à trancher la plupart des cas du quotidien.

1. Y a-t-il des données personnelles dedans ? Un nom, un e-mail, un numéro de téléphone, un CV, un compte rendu qui nomme des gens. Si oui, les trois questions suivantes se posent. Si non, tu peux avancer.
2. Où partent-elles, et sont-elles utilisées pour entraîner un modèle ? C'est la question centrale, et la réponse dépend de l'offre. Les offres professionnelles de la plupart des éditeurs prévoient de ne pas entraîner sur tes données. Les offres gratuites ne le garantissent pas. Vérifie dans les conditions, pas dans la page marketing.
3. Peux-tu faire la même chose sans les données personnelles ? Neuf fois sur dix, oui. Anonymiser un compte rendu avant de le résumer prend trente secondes et supprime le problème.
4. Que se passe-t-il si ce contenu fuite ? C'est le test qui tranche les cas limites. Une note de réunion interne, ce n'est pas la même chose qu'un dossier médical ou qu'un fichier de paie.

Sur le fond du droit, la CNIL publie des fiches pratiques dédiées à l'IA, régulièrement mises à jour. C'est la source à consulter en priorité, avant n'importe quel article de blog, y compris celui-ci. Le détail est repris dans IA et RGPD en entreprise.

Au quotidienCe que tu peux coller, et ce que tu ne dois pas

Le tableau ci-dessous est la version courte, celle qu'on peut afficher au mur. Il couvre l'immense majorité des situations d'un dirigeant, une analyse au cas par cas restant nécessaire au-delà.

Les gestes concrets du quotidien, côté paramétrage des outils et hygiène des comptes, sont détaillés dans sécuriser ses données avec l'IA. Le cas particulier des professions de santé est traité dans IA et professions de santé.

Les cas réelsCinq situations qui arrivent vraiment

Les principes servent peu quand le cas se présente. Voici cinq situations que je rencontre régulièrement, et ce qu'il faut faire.

Un salarié a collé un fichier client dans une IA grand public. C'est le cas numéro un, et il n'appelle pas une sanction. Trois réflexes, identifier ce qui est parti et pour quelles personnes, vérifier dans les conditions du service si les contenus servent à l'entraînement et s'il existe une option pour le désactiver, puis écrire la règle qui manquait. C'est l'absence de cadre qui est en cause, jamais la personne. Si des données sensibles sont concernées, la question d'une notification se pose et relève d'un conseil.

Un client demande si tu utilises l'IA sur son dossier. Réponds franchement. Ce que tu vends, c'est ton jugement, pas ta frappe. La bonne réponse décrit le partage, l'IA prépare et met en forme, tu analyses et tu signes. Une réponse évasive fait beaucoup plus de dégâts que la vérité.

Tu veux trier des CV avec l'IA. C'est un usage listé comme à haut risque par l'AI Act. Les obligations correspondantes s'appliqueront au 2 décembre 2027. En attendant, le RGPD s'applique déjà pleinement, information des candidats, décision jamais entièrement automatisée, vigilance sur les biais. L'IA résume et compare, elle n'écarte personne.

Un prestataire te propose un outil « hébergé en France ». C'est un bon point sur les transferts hors Union européenne, qui sont une des zones les plus techniques du RGPD. Cela laisse entières la question de l'entraînement du modèle, qui se lit dans le contrat, et celle de savoir qui accède aux données côté prestataire. Pose les trois questions séparément.

Tu veux brancher l'IA sur ta base clients. C'est là que le sujet devient sérieux, parce qu'on passe d'un envoi ponctuel à un accès permanent. Deux règles, donner l'accès le plus restreint qui permette la tâche, et savoir à tout moment qui a accès à quoi. La façon de brancher proprement est dans brancher l'IA sur tes outils.

La confiancePourquoi une IA invente, et comment s'en protéger

La deuxième grande crainte est pratique, comment savoir si ce que l'IA raconte est vrai. La réponse tient à la façon dont ces modèles fonctionnent. Ils produisent la suite la plus plausible d'un texte, pas la suite la plus vraie. Quand la plausibilité et la vérité coïncident, tout va bien. Quand elles divergent, le modèle produit une réponse fausse avec exactement le même aplomb qu'une réponse juste.

C'est ce qui explique le cas le plus documenté en France, des références de jurisprudence ou des articles de loi qui n'existent pas, cités avec un numéro et une date parfaitement crédibles. Le sujet est traité en détail dans quand l'IA invente des articles de loi et, plus largement, dans peut-on faire confiance aux réponses de l'IA.

La protection est simple à énoncer et exigeante à tenir, tout ce qui est vérifiable doit être vérifié à la source. Un chiffre, une date, une référence, un nom propre. Le reste, le raisonnement, la structure, la formulation, se relit normalement. Cette règle vaut aussi pour les usages sensibles comme l'analyse de contrats ou la réponse à appel d'offres.

Les obligationsCe qui existait déjà avant l'IA

Une bonne partie de l'inquiétude vient d'une confusion, on croit que l'IA crée des obligations nouvelles, alors qu'elle rend surtout visibles celles qu'on n'appliquait pas.

Le registre des traitements. Il est obligatoire pour la quasi-totalité des entreprises et existait bien avant l'IA. Si tu utilises un outil qui traite des données personnelles, il doit y figurer, avec la finalité, les catégories de données, les destinataires et la durée de conservation. C'est du RGPD ordinaire appliqué à un nouvel outil.

L'information des personnes. Si tu traites les données de tes clients ou de tes candidats avec un nouvel outil, ils doivent pouvoir le savoir. La CNIL a d'ailleurs consacré une recommandation dédiée à ce sujet, adoptée par la délibération n° 2025-010 du 6 février 2025, qui porte précisément sur l'information des personnes et l'exercice de leurs droits.

L'analyse d'impact. Elle s'impose quand un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. Ça dépend du traitement, et l'IA seule ne tranche pas la question. La CNIL publie les critères et des listes de cas, c'est la source à consulter, jamais un article de blog.

Le bon réflexe pratique, quand tu ajoutes un outil d'IA à un traitement existant, demande-toi si ce que tu faisais déjà couvre ce nouvel outil. Neuf fois sur dix, il suffit de mettre à jour ce qui existe.

L'hygièneLes six réflexes qui suppriment 90 % du risque

Sans devenir juriste, six habitudes couvrent l'essentiel des situations d'un dirigeant.

Le premier de la liste est de loin le plus rentable. Remplacer les noms par des initiales ne dégrade en rien la qualité de l'analyse et supprime la question dans la grande majorité des cas. C'est un geste, pas un projet.

L'outilTa charte d'usage, en une page

Dès que tu n'es plus seul à utiliser l'IA, une règle non écrite n'existe pas. Une charte d'une page suffit, et elle vaut mieux qu'un règlement de vingt que personne ne lit. Cinq lignes à trancher.

• Les outils autorisés, nommément, avec le type de compte. Un seul assistant validé vaut mieux que cinq tolérés.
• Ce qui ne sort jamais de la maison, la liste courte des données interdites, dans les mots de ton métier.
• Ce qui doit être relu et par qui, avec le niveau d'enjeu. Un post LinkedIn et un devis client n'ont pas le même circuit.
• Ce qui doit être signalé au client quand un livrable a été produit avec l'aide de l'IA. C'est autant une question de confiance que de conformité.
• Qui répond aux questions quand un cas n'est pas prévu. Sans ce point, la charte devient un document mort au premier cas limite.

Cette charte est aussi ce qui évite le pire scénario, l'usage clandestin. Un dirigeant qui interdit l'IA sans alternative obtient rarement l'absence d'IA. Il obtient une IA utilisée en cachette, sur des comptes personnels, sans aucune règle. Le déploiement en équipe est traité dans former son équipe à l'IA et installer une culture IA.

Le vrai risqueCe qui se passe quand tu interdis

Il faut nommer le scénario le plus fréquent, et de loin le plus dangereux. Un dirigeant s'inquiète pour ses données, interdit l'IA, et considère le sujet réglé. Il vient de le rendre invisible.

Ce qui se produit ensuite est mécanique. Les gens qui gagnaient du temps avec ces outils continuent, sur leur téléphone, avec leur compte personnel, sur une offre gratuite dont les conditions autorisent l'entraînement. Personne ne demande plus rien, personne ne signale plus rien, et l'entreprise a troqué un risque encadré contre un risque qu'elle ne voit pas.

Les chiffres rendent ce scénario très probable. Bpifrance Le Lab mesure que 55 % des TPE-PME recourent à l'IA générative fin 2025, contre 31 % un an plus tôt. À ce niveau de diffusion, l'hypothèse que personne dans ton équipe n'y touche est une hypothèse fragile.

Interdire l'IA ne produit pas l'absence d'IA. Ça produit une IA sans règle, sur des comptes que tu ne contrôles pas.

La réponse n'est pas de tout autoriser. C'est d'autoriser nommément un outil, avec un cadre écrit. Une charte d'une page, un compte professionnel, une liste courte de ce qui ne sort jamais. Tu passes d'un risque diffus et invisible à un risque connu et borné, ce qui est exactement ce qu'on attend d'une politique de sécurité.

Le contratLes quatre questions à poser à un prestataire

Dès que tu confies un projet IA à quelqu'un d'extérieur, quatre questions valent mieux qu'un cahier des charges de vingt pages. Elles se posent avant de signer, et les réponses se mettent par écrit.

1. Où sont hébergées les données, et qui y accède ? L'hébergement dans l'Union simplifie la question des transferts. Il ne dit rien sur les personnes qui, chez le prestataire, peuvent voir tes contenus.
2. Mes contenus servent-ils à entraîner un modèle ? La réponse doit être dans le contrat, pas dans une page marketing. C'est la question qui sépare une offre professionnelle d'une offre grand public.
3. Que se passe-t-il si j'arrête demain ? Tu récupères tes données dans quel format, tes automatisations sous quelle forme, et en combien de temps. Une réponse floue ici est une réponse.
4. Qui est responsable si l'outil produit une erreur ? Elle n'a pas toujours de réponse simple, et c'est précisément pour ça qu'il faut la poser avant plutôt qu'après.

Ces quatre questions recoupent la logique du zéro enfermement appliquée partout ailleurs sur ce site. L'arbitrage entre faire soi-même et confier est traité dans internaliser ou externaliser son IA, et les repères de prix dans le vrai coût de l'IA.

FAQQuestions fréquentes

Maël Équille · Ampliris IA

Coach IA pour dirigeants. J'accompagne plus de 100 dirigeants à intégrer l'IA dans leur activité, avec la méthode DAEG, sans jargon et sans lock-in. En savoir plus →