« Je n'ose pas, à cause du RGPD. » Cette phrase, je l'entends à presque chaque audit. Et elle vient d'un bon réflexe, coller ton fichier client dans un outil grand public sans savoir où il atterrit, ça mérite franchement qu'on s'arrête. Le problème, c'est ce que cette peur produit ensuite, l'immobilisme total, pendant que tes concurrents avancent. Or entre la panique qui bloque tout et l'insouciance qui expose tout, il existe un chemin praticable. La question « IA et RGPD entreprise » n'appelle pas une réponse binaire (oui/non), elle appelle quelques réflexes simples que tu peux installer cette semaine, sans devenir juriste.
Précisons d'emblée, ce qui suit reste général et ne remplace pas l'avis de ton conseil juridique ou de ton délégué à la protection des données (DPO). L'idée est de te donner assez de repères pour avancer sans te mettre en danger, et pour savoir à quel moment appeler un spécialiste.
Brancher Claude sur Légifrance. Le connecteur officiel, écran par écran, pour que l'IA cesse d'inventer des articles de loi.
Récupérer le guide →01Ce que disent vraiment le RGPD et l'IA Act
Le RGPD ne parle pas d'intelligence artificielle. Il parle de données à caractère personnel, tout ce qui permet d'identifier une personne, directement ou indirectement. Nom, e-mail, numéro de téléphone, adresse, mais aussi un numéro de dossier ou un identifiant client si on peut remonter à la personne. Tant que tu ne manipules pas ce type de données, le RGPD ne t'embête pas. Dès que tu en manipules, il te demande surtout d'avoir une raison légitime, d'en faire un usage limité et de savoir où elles vont.
L'IA Act européen, lui, classe les usages de l'IA par niveau de risque. Pour l'immense majorité des PME, les usages courants (rédiger un mail, résumer un compte rendu, brainstormer) tombent dans la catégorie à risque faible ou minimal, ceux que je détaille dans mon guide Claude. Les obligations lourdes visent des cas bien précis comme le recrutement automatisé ou le scoring de crédit. Autrement dit, ton usage quotidien de l'IA reste hors du viseur, à condition de rester propre sur les données personnelles.
Le RGPD n'interdit pas d'utiliser l'IA. Il interdit de perdre le contrôle de données qui ne t'appartiennent pas vraiment, celles de tes clients et de tes salariés.
02Les données à ne jamais coller telles quelles
Le risque concret, ce n'est pas « l'IA » en bloc. C'est le copier-coller d'une donnée identifiante dans un outil dont tu ignores la politique de conservation. Avant de coller quoi que ce soit, pose-toi une seule question, si ce texte s'affichait demain en une du journal, est-ce que ça gênerait une personne réelle ? Si oui, tu sais déjà qu'il faut le traiter autrement.
Les cas à traiter avec prudence dans une PME :
- Fichiers clients ou prospects avec noms, e-mails et coordonnées.
- Données RH. Bulletins de paie, contrats, évaluations, arrêts maladie.
- Données de santé ou tout ce qui relève d'une catégorie dite sensible.
- Documents juridiques et contractuels nominatifs (litiges, devis nominatifs, factures).
- Informations financières rattachées à une personne identifiable.
Le point clé, c'est ce qui permet d'identifier les gens dedans, plus que le fichier en soi. Un compte rendu de réunion reste utilisable si tu retires les noms. Un contrat reste analysable si tu remplaces les parties par « Société A » et « Société B ». C'est tout l'enjeu de l'étape suivante.
03Anonymiser un document avant de le traiter
L'anonymisation, c'est le geste qui débloque presque tout. Le principe, tu retires ou tu remplaces les éléments identifiants avant d'envoyer le document à un outil d'IA. Une fois le texte « neutralisé », tu peux le résumer, l'analyser ou le réécrire sans exposer personne, parce qu'il ne contient plus de donnée personnelle au sens du RGPD.
Concrètement, anonymiser revient à substituer :
- Les noms et prénoms par des étiquettes neutres (Client 1, Salarié A).
- Les e-mails, téléphones et adresses par des marqueurs génériques.
- Les identifiants (numéro de dossier, SIRET, matricule) par des codes sans lien.
- Les dates précises sensibles quand elles permettent de recouper une identité.
Le faire à la main sur un document de trois pages, ça passe. Sur cinquante contrats un vendredi soir, c'est intenable, et c'est précisément là que les oublis arrivent (un nom en bas de page, une signature, un en-tête). Il te faut alors un outil qui détecte et remplace automatiquement, en gardant la structure du document pour que le sens reste exploitable. C'est exactement le rôle de l'outil dont je te parle juste après.
04Outils hébergés en France
Quand les données sont sensibles, le lieu d'hébergement compte. Un outil hébergé en France ou en Europe te place dans un cadre juridique clair, sans transfert hors Union européenne à surveiller. Pour les usages les plus délicats, c'est un critère de tri simple et efficace.
C'est précisément pour ça qu'on a construit BlinDoc, notre outil frère dédié à l'anonymisation de documents. Tu déposes un fichier, il détecte et masque les informations personnelles automatiquement, et te rend une version exploitable par n'importe quel outil d'IA. Le tout est conçu pour la conformité RGPD et hébergé en France, donc tes documents ne quittent jamais le cadre européen. C'est le pont qui te permet d'utiliser le meilleur de l'IA sur des documents que tu n'aurais jamais osé coller ailleurs.
La bonne stratégie n'est pas « tout interne » ou « tout grand public ». C'est de router chaque donnée vers le bon outil selon sa sensibilité.
Pour le reste (idées, brouillons, contenus publics, sujets qui ne touchent aucune personne), les grands outils du marché conviennent très bien. Tu réserves l'arsenal conforme aux documents qui le méritent, sans t'enfermer dans une solution unique.
Le calendrierL'AI Act a été reporté
Point d'actualité qui rend obsolète une grande partie de ce qu'on lit ailleurs, le calendrier du règlement européen sur l'IA a été modifié par le règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel le 24 juillet 2026.
| Date | Ce qui s'applique | Ça te concerne si |
|---|---|---|
| 2 février 2025 | Interdiction des systèmes à risque inacceptable. | Notation sociale, reconnaissance émotionnelle au travail. |
| 2 août 2025 | Règles sur les modèles à usage général. | Tu fournis un modèle. Comme simple utilisateur, non. |
| 2 décembre 2027 | Systèmes à haut risque de l'annexe III. Reporté du 2 août 2026. | Recrutement, crédit, biométrie, éducation. |
| 2 août 2028 | Systèmes intégrés à des produits réglementés. | Machines, dispositifs médicaux, jouets. |
Deux choses à retenir. D'abord, si tu utilises un assistant du commerce, tu es déployeur et non fournisseur, l'essentiel des obligations lourdes reste du côté de l'éditeur. Ensuite, le RGPD, lui, s'applique déjà pleinement et n'a pas bougé. C'est lui qui régit ton quotidien, pas l'AI Act.
FAQQuestions fréquentes
Le RGPD interdit-il d'utiliser l'IA ?
Non, à aucun moment. Il encadre le traitement des données personnelles, ce qu'il faisait déjà avant l'IA. Ce qui change avec ces outils, c'est le volume de données qu'on transmet sans y penser. Les obligations restent les mêmes, registre des traitements à jour, information des personnes, et analyse d'impact quand le risque est élevé.
Quand les règles de l'AI Act s'appliquent-elles ?
Les obligations sur les systèmes à haut risque de l'annexe III s'appliquent au 2 décembre 2027, et celles des systèmes intégrés à des produits réglementés au 2 août 2028. Ces dates résultent du règlement (UE) 2026/1744 du 8 juillet 2026, qui a reporté le calendrier initialement fixé à août 2026. Beaucoup de contenus citent encore l'ancienne date.
Suis-je concerné par l'AI Act si j'utilise juste ChatGPT ?
Tu es déployeur, pas fournisseur, et l'essentiel des obligations lourdes pèse sur le fournisseur. Tu n'as ni dossier technique à constituer ni évaluation de conformité à produire pour un usage courant. La situation change si tu construis un outil à partir d'un modèle, ou si ton usage relève d'une catégorie à haut risque comme le recrutement.
Faut-il mettre l'IA dans son registre des traitements ?
Oui, si l'outil traite des données personnelles. C'est du RGPD ordinaire appliqué à un nouvel outil, finalité, catégories de données, destinataires, durée de conservation. Le plus souvent, il suffit de mettre à jour une fiche existante plutôt que d'en créer une.
L'anonymisation suffit-elle à sortir du RGPD ?
Elle règle la grande majorité des cas du quotidien, et c'est le geste le plus rentable qui existe. Mais attention à la réidentification, un ensemble de détails peut suffire à reconnaître une personne sans son nom, notamment dans un secteur ou une zone géographique restreinte. La bonne question est de savoir si quelqu'un du métier pourrait deviner de qui il s'agit.
Un hébergement en France règle-t-il le problème ?
Il simplifie la question des transferts hors Union européenne, qui est une des zones les plus techniques du RGPD. Il laisse entières deux autres questions à poser séparément, qui, chez le prestataire, accède à tes contenus, et si tes contenus servent à entraîner un modèle. Ces trois points sont indépendants.
Que risque-t-on concrètement ?
Pour une TPE ou une PME, le risque le plus probable au quotidien, c'est la fuite de données par usage non encadré, et la perte de confiance d'un client qui découvre que son dossier est passé par un outil grand public, bien avant la sanction administrative. C'est ce risque-là qu'une charte d'une page réduit le plus vite.
- Journal officiel de l'Union européenne, Règlement (UE) 2026/1744 du 8 juillet 2026, qui reporte le calendrier de l'AI Act.
- Direction générale des Entreprises, Le règlement européen sur l'intelligence artificielle.
- CNIL, Les fiches pratiques IA, sur l'application du RGPD aux systèmes d'intelligence artificielle.
On fait le tri sur tes données ensemble ?
20 minutes, gratuit, sans engagement. On regarde quels usages de l'IA sont déjà sûrs chez toi, et lesquels demandent un garde-fou.
05Une checklist de conformité simple
Pas besoin d'un classeur de procédures. Cinq réflexes couvrent la grande majorité des situations d'une PME :
- Trier avant de coller. Cette donnée identifie-t-elle quelqu'un ? Si oui, on anonymise ou on change d'outil.
- Anonymiser par défaut. Dès qu'un document nominatif part vers l'IA, il passe d'abord par une étape de masquage.
- Choisir l'hébergement selon la sensibilité. France ou Europe pour les données qui le justifient.
- Désactiver l'entraînement. Dans les réglages des outils, coupe l'usage de tes saisies pour l'apprentissage du modèle quand l'option existe.
- Former l'équipe. Une règle simple connue de tous vaut mieux qu'une charte de dix pages que personne ne lit.
Ces réflexes ne font pas de toi un expert RGPD, et ce n'est pas le but. Ils réduisent l'essentiel du risque pour un effort minime. Pour les cas vraiment particuliers (santé, données de masse, décisions automatisées), c'est là qu'un conseil spécialisé prend tout son sens.
06Rester conforme sans se figer
Le piège, ce n'est pas d'utiliser l'IA. C'est de ne rien faire « au cas où », pendant que tes concurrents avancent. La conformité bien comprise est un cadre qui te permet justement d'aller plus vite l'esprit tranquille. Tu sais ce que tu peux coller, ce que tu dois anonymiser, et où envoyer le sensible.
Une fois ces réflexes installés, tu cesses de te poser la question à chaque fichier, tu sais d'instinct ce qui part tel quel et ce qui passe d'abord par l'anonymisation. Tu agis vite, proprement, et tu gardes la maîtrise de tes données comme de ta solution. C'est exactement ce qu'on met en place pendant Le Programme Ampliris, moins de peur, plus de méthode. Si tu veux qu'on regarde ta situation concrètement, l'audit gratuit ci-dessus est fait pour ça.
