L’IA est-elle compatible avec le RGPD ? Oui, mais sous conditions. Depuis l’entrée en vigueur progressive de l’EU AI Act en 2024-2026, les entreprises qui utilisent des systèmes d’intelligence artificielle doivent respecter à la fois le RGPD et les nouvelles exigences du règlement européen sur l’IA. Pour les PME, cela signifie des obligations concrètes dès maintenant, pas dans deux ans.
💡 A retenir dans cet article
- RGPD et IA : deux règlements qui se cumulent
- Les 5 obligations RGPD qui s’appliquent à votre IA
- 1. La base légale du traitement
- 2. La minimisation des données
RGPD et IA : deux règlements qui se cumulent
Le RGPD s’applique dès que votre système d’IA traite des données personnelles. C’est le cas de presque tous les outils IA en entreprise : chatbots, scoring de prospects, automatisation d’emails, analyse comportementale.
L’EU AI Act ajoute une couche selon le niveau de risque du système :
| Niveau de risque | Exemples | Obligations |
|---|---|---|
| Risque inacceptable | Notation sociale, reconnaissance faciale temps réel | Interdits |
| Risque élevé | Recrutement automatisé, scoring de crédit | Conformité stricte, audit, transparence |
| Risque limité | Chatbots, filtres anti-spam | Obligation d’information utilisateur |
| Risque minimal | Recommandations, tri d’emails | Peu d’obligations supplémentaires |
La majorité des PME françaises utilisent des IA à risque limité ou minimal. Mais le RGPD s’applique quand même.
Les 5 obligations RGPD qui s’appliquent à votre IA
1. La base légale du traitement
Avant de déployer un système d’IA qui traite des données personnelles, vous devez identifier votre base légale. Le consentement n’est pas toujours la bonne option : l’intérêt légitime peut suffire pour des outils de personnalisation commerciale, à condition de pouvoir le justifier si on vous le demande.
2. La minimisation des données
Les modèles d’IA sont gourmands en données. Le RGPD impose de ne collecter que le strict nécessaire. N’alimentez pas votre outil IA avec des données clients sans rapport avec le traitement.
3. La privacy by design
La protection des données doit être intégrée dès la conception du workflow, pas ajoutée après. Cela concerne le choix du fournisseur (hébergement européen ou contrats solides), les durées de rétention et les droits d’accès.
4. La transparence envers les utilisateurs
Si votre chatbot ou système automatisé interagit avec des clients ou prospects, ces personnes doivent savoir qu’elles parlent à une machine. C’est une obligation explicite de l’EU AI Act pour les systèmes à risque limité, et un principe de base du RGPD.
5. Les droits des personnes
Accès, effacement, portabilité : ces droits s’appliquent même quand les données passent par une IA. Si un prospect demande à consulter ou supprimer ses données, vous devez pouvoir le faire, y compris dans vos automatisations.
Ce que risquent concrètement les PME
Les sanctions RGPD peuvent atteindre 4% du chiffre d’affaires mondial ou 20 millions d’euros pour les cas les plus graves. La CNIL cible surtout trois situations :
- Les transferts de données vers des pays tiers sans garanties (utiliser l’API ChatGPT sans DPA signée avec OpenAI, par exemple)
- L’absence de transparence sur les traitements automatisés
- L’absence de registre des traitements
Depuis janvier 2025, la CNIL a durci ses contrôles sur les usages IA. Lors des contrôles réalisés en 2025, 23% des entreprises auditées avaient un problème de conformité lié à l’IA.
Trois actions à faire maintenant
Commencez par lister tous les outils qui traitent des données personnelles dans votre entreprise : CRM, chatbot, emailing, scoring. Pour chacun, posez trois questions simples. Où sont hébergées les données ? Quel contrat encadre le traitement ? Y a-t-il une DPA signée avec le fournisseur ?
Mettez ensuite à jour votre registre des traitements pour y inclure vos traitements IA. Ce registre doit documenter la finalité, la base légale, les données traitées, les destinataires et la durée de conservation.
Enfin, formez vos équipes. 67% des incidents RGPD liés à l’IA en PME proviennent d’une mauvaise utilisation par les collaborateurs, pas d’une faille technique. Une session de deux heures change beaucoup.
Quelques questions fréquentes
Mon CRM avec IA est-il concerné par le RGPD ? Oui, dès qu’il traite des données de prospects ou clients. Vérifiez que votre fournisseur a signé une DPA avec vous.
ChatGPT est-il conforme RGPD ? L’API OpenAI propose une DPA et des options pour éviter l’entraînement sur vos données. L’interface grand public, elle, ne donne aucune garantie contractuelle. Ce n’est pas la même chose.
L’EU AI Act s’applique-t-il aux PME ? Oui, selon le niveau de risque des systèmes. Les outils à risque minimal (recommandations, tri d’emails) ont peu d’obligations supplémentaires. Les systèmes à risque élevé, comme le recrutement automatisé, imposent des audits.
Comment savoir si mon IA est à risque élevé ? L’annexe III de l’EU AI Act liste les secteurs concernés : ressources humaines, crédit, éducation, services essentiels. Si vous avez un doute, consultez un juriste spécialisé avant de déployer.
Pour les PME qui utilisent l’IA aujourd’hui
RGPD et IA ne sont pas incompatibles. Mais la conformité ne se fait pas par défaut : elle demande une démarche active. Les PME qui anticipent ces obligations évitent les sanctions, gardent la confiance de leurs clients et adoptent l’IA sur des bases solides.
CyberyWeb accompagne les PME dans la mise en place de workflows d’automatisation IA conformes : sélection d’outils, cadrage contractuel et intégration privacy by design.
Vous souhaitez automatiser vos processus ?
CyberyWeb accompagne les PME de Montpellier et toute la France dans leur transformation digitale avec l'IA.
