Un outil d’intelligence artificielle se teste en dix minutes : on ouvre un compte, on colle un texte, la réponse arrive. C’est justement ce qui pose problème. Ce texte contient peut-être le nom d’un client, un e-mail, un détail de santé ou un contrat, et il vient de quitter votre entreprise. Pour un dirigeant de PME, la question n’est pas de renoncer à l’IA, mais de savoir ce qu’il faut vérifier avant de l’adopter.

Voici une méthode en six vérifications, applicable à n’importe quel outil, sans jargon juridique. Elle ne remplace pas l’avis d’un juriste ou de votre délégué à la protection des données si vous en avez un, mais elle vous permet de poser les bonnes questions.

Pourquoi le RGPD concerne votre usage de l’IA

Le règlement général sur la protection des données s’applique dès que vous traitez des données personnelles, c’est-à-dire toute information qui permet d’identifier une personne, directement ou par recoupement : nom, e-mail, numéro de téléphone, adresse, photo, voix, mais aussi un historique de commandes rattaché à un client.

Utiliser un outil d’IA pour résumer un échange avec un client, trier des candidatures ou rédiger une réponse à partir d’un dossier, c’est traiter des données personnelles. Vous restez responsable de ce traitement, même si c’est l’outil d’un fournisseur qui fait le travail. Le règlement ne l’interdit pas : il demande de savoir ce que vous faites, pourquoi, et avec qui.

Vérification 1 : quelles données allez-vous réellement envoyer ?

Avant de regarder l’outil, regardez votre usage. Listez ce qui sera saisi ou importé :

  • des textes libres, où les collaborateurs peuvent coller n’importe quoi ;
  • des documents (devis, contrats, comptes rendus) qui contiennent des noms et des coordonnées ;
  • des fichiers clients, ressources humaines ou fournisseurs ;
  • des enregistrements audio ou des images.

Classez-les en trois groupes : sans donnée personnelle (une description de produit, une trame de procédure), avec données courantes (nom, e-mail) et sensibles (santé, opinions, informations sur des mineurs, données bancaires). Plus on monte dans cette liste, plus les exigences augmentent.

Souvent, la solution la plus simple est de réduire ce qui est envoyé : retirer les noms, utiliser des références internes, ne transmettre que le paragraphe utile.

Vérification 2 : que fait le fournisseur de vos données ?

C’est la question centrale, et la réponse figure dans les conditions d’utilisation et la politique de confidentialité. Cherchez des réponses claires à ces points :

  • vos contenus servent-ils à entraîner ou améliorer les modèles du fournisseur ? Peut-on le refuser ?
  • combien de temps les échanges sont-ils conservés, et pouvez-vous les supprimer ?
  • qui, chez le fournisseur ou chez ses sous-traitants, peut y accéder ?
  • la version gratuite et la version professionnelle ont-elles les mêmes règles ? Elles diffèrent souvent.

Une offre grand public n’est généralement pas conçue pour des données d’entreprise. Une offre professionnelle précise en règle générale que vos données ne servent pas à entraîner les modèles, mais vérifiez-le par écrit plutôt que de le supposer.

Vérification 3 : un contrat de sous-traitance est-il prévu ?

Quand un fournisseur traite des données personnelles pour votre compte, le RGPD prévoit un contrat de sous-traitance, parfois appelé accord de traitement des données. Il fixe ce que le fournisseur peut faire, les mesures de sécurité, le sort des données en fin de contrat et l’information en cas d’incident.

Demandez si ce document existe et s’il est accessible avant la souscription. Un fournisseur sérieux le propose. L’absence de toute réponse sur ce point est déjà une information.

Vérification 4 : où sont hébergées les données ?

Les données personnelles circulent plus librement à l’intérieur de l’Union européenne. Quand elles sont envoyées vers un autre pays, des garanties supplémentaires sont nécessaires. Interrogez donc le fournisseur sur :

  • le lieu d’hébergement et de traitement, et la possibilité de choisir une région européenne ;
  • les garanties prévues si des données sortent de l’Union européenne ;
  • la liste de ses sous-traitants ultérieurs.

Ce n’est pas un critère d’exclusion automatique, mais il doit être connu et documenté.

Vérification 5 : avez-vous le droit de traiter ces données ainsi ?

Choisir un outil sûr ne suffit pas, il faut aussi que l’usage soit légitime. Trois points sont à contrôler :

  • la finalité : vous avez collecté ces données pour une raison précise, et le nouvel usage doit rester compatible avec elle ;
  • l’information des personnes : votre politique de confidentialité mentionne-t-elle ce traitement et les destinataires ? Sinon, mettez-la à jour ;
  • la minimisation : n’utilisez que les données nécessaires.

Si l’outil prend des décisions qui touchent des personnes (présélection de candidats, évaluation d’un client), la vigilance doit être plus forte. Gardez un humain dans la boucle, capable de revoir et de corriger la décision.

À retenir : la question n’est pas « cet outil est-il conforme ? » mais « cet usage, avec cet outil et ces données, est-il justifié et maîtrisé ? ». Le même outil peut convenir pour un texte sans donnée personnelle et ne pas convenir pour un dossier de recrutement.

Vérification 6 : vos équipes savent-elles quoi faire et ne pas faire ?

Le risque le plus fréquent n’est pas technique : c’est un collaborateur bien intentionné qui colle un document sensible dans un outil gratuit. Une règle simple, écrite sur une page, évite la plupart des dérapages :

  1. la liste des outils d’IA autorisés dans l’entreprise ;
  2. ce qu’on peut y saisir, et ce qu’on ne saisit jamais (données sensibles, secrets d’affaires, documents confidentiels de clients) ;
  3. l’obligation de relire toute production avant de l’envoyer ;
  4. la personne à prévenir en cas d’erreur ou de doute.

Prévoyez dix minutes de présentation en équipe. Une règle comprise est bien plus respectée qu’un document archivé.

Documenter sans se noyer

Une PME n’a pas besoin d’un dossier de cent pages. Elle a besoin de traces simples qui montrent qu’elle a réfléchi :

  • une ligne dans votre registre des traitements pour chaque usage de l’IA qui touche des données personnelles ;
  • le contrat ou les conditions du fournisseur, conservés avec la date de consultation ;
  • la note interne sur les usages autorisés ;
  • une revue rapide à chaque changement important : nouvel outil, nouvelle fonctionnalité, nouvelle catégorie de données.

Si l’usage est susceptible de présenter un risque élevé pour les personnes, par exemple un traitement à grande échelle ou des données sensibles, renseignez-vous sur la nécessité d’une analyse d’impact. La CNIL met des ressources à disposition des entreprises sur ce sujet.

Quand l’IA est intégrée à vos propres outils

Il existe une autre option que l’outil grand public : intégrer l’IA dans un projet maîtrisé, avec des règles d’accès, un hébergement choisi et des données limitées à ce qui est utile. C’est souvent le cas pour un assistant qui répond à partir de vos documents internes, sujet détaillé dans notre article sur l’assistant IA pour vos documents internes. Cela demande un cadrage, mais cela vous donne la main sur les points ci-dessus.

Pour lancer un premier test sans prendre de risque, notre article sur le premier projet d’IA en PME propose une méthode pour choisir un cas d’usage et le mesurer.

En résumé : une grille de six questions

  • Quelles données seront envoyées, et peut-on les réduire ?
  • Le fournisseur les utilise-t-il pour entraîner ses modèles, et combien de temps les garde-t-il ?
  • Un contrat de sous-traitance est-il disponible ?
  • Où sont hébergées les données ?
  • L’usage est-il légitime, et les personnes sont-elles informées ?
  • Les équipes connaissent-elles les règles ?

Si vous répondez clairement à ces six questions, vous êtes déjà en avance sur beaucoup d’entreprises. Et si l’une d’elles reste sans réponse, mieux vaut la traiter avant le déploiement qu’après un incident.

Vous hésitez entre plusieurs outils, ou vous voulez cadrer un usage de l’IA qui touche des données de vos clients ou de vos salariés ? L’équipe de Market Prime Agency peut vous aider à poser le cadre et à choisir une solution adaptée à votre taille d’entreprise.

Questions fréquentes

Une PME peut-elle utiliser un outil d’IA grand public avec des données clients ?

C’est déconseillé. Les offres grand public ne sont pas pensées pour les données d’entreprise et leurs conditions d’utilisation prévoient souvent que les contenus peuvent servir à améliorer les modèles. Pour des données personnelles, privilégiez une offre professionnelle avec contrat de sous-traitance, ou retirez les informations identifiantes avant la saisie.

Faut-il un contrat de sous-traitance avec le fournisseur d’IA ?

Oui, dès que le fournisseur traite des données personnelles pour votre compte. Ce contrat précise ce que le fournisseur peut faire des données, les mesures de sécurité, la durée de conservation et la suppression en fin de relation. Demandez-le avant de souscrire.

Que doivent savoir les salariés avant d’utiliser l’IA ?

Les outils autorisés, les données qu’ils ne doivent jamais saisir, l’obligation de relire chaque production et la personne à prévenir en cas de doute. Une page claire, présentée en équipe, suffit pour commencer.