IA Act et RGPD : Guide essentiel pour les PME avant d’adopter ChatGPT et autres intelligences artificielles – Mon Expert RGPD

En bref :

• Le RGPD et l’IA Act s’appliquent simultanément dès qu’une PME utilise ChatGPT ou tout autre outil d’intelligence artificielle en contexte professionnel.
• Les amendes RGPD atteignent 20 millions d’euros ou 4 % du chiffre d’affaires mondial, celles de l’IA Act montent jusqu’à 35 millions d’euros ou 7 % du CA pour les pratiques interdites.
• Une PME devient sous-traitant ou responsable de traitement selon la façon dont elle utilise les données de ses clients dans un outil d’IA générative.
• La documentation (registre des traitements, AIPD, notice de transparence) constitue le premier réflexe attendu par la CNIL en cas de contrôle.
• Des actions simples et rapides permettent de sécuriser l’adoption de l’IA sans bloquer l’innovation dans l’entreprise.

Une PME industrielle qui teste ChatGPT pour rédiger ses appels d’offres ou automatiser son support client se retrouve, sans toujours le savoir, à l’intersection de deux réglementations lourdes de conséquences. Le RGPD encadre les données personnelles depuis 2018, l’IA Act encadre désormais les systèmes eux-mêmes depuis 2024, avec une application renforcée en 2026. Ces deux textes ne se substituent pas l’un à l’autre : ils s’additionnent, et chaque manquement peut coûter cher.

Pour une direction administrative et financière, la question n’est plus de savoir si l’IA doit entrer dans l’entreprise, mais comment l’encadrer sans exposer la structure à des sanctions ou à un contentieux avec un client. Un simple prompt contenant le nom d’un salarié ou les coordonnées d’un fournisseur peut suffire à déclencher une obligation légale. Ce guide détaille, sans jargon inutile, ce que votre PME doit vérifier avant de généraliser l’usage des intelligences artificielles.

Votre PME est-elle concernée par l’IA Act même sans développer d’IA ?

Oui, sans ambiguïté. L’IA Act ne vise pas uniquement les éditeurs de logiciels d’intelligence artificielle. Il s’applique aussi aux entreprises qui déploient ces outils dans leur activité quotidienne, ce que le règlement appelle les « déployeurs ».

Une PME de 80 salariés qui utilise un logiciel de tri automatisé des CV pour son service RH est déployeur au sens de l’IA Act. Elle doit alors vérifier le niveau de risque du système et respecter les obligations associées, même si elle n’a jamais écrit une ligne de code.

Le règlement classe les systèmes en quatre catégories : inacceptable, haut risque, risque limité et risque minimal. Un chatbot de service client relève généralement du risque limité, tandis qu’un outil de scoring de crédit ou de sélection de candidats bascule en haut risque.

Cette classification détermine directement le niveau d’exigence documentaire à produire, comme le rappelle ce panorama des principes de conformité IA-RGPD.

Action à faire : listez tous les outils d’IA utilisés dans votre entreprise et notez, pour chacun, s’il influence une décision concernant une personne physique.

ChatGPT en entreprise : quelles données ne devez-vous jamais saisir ?

La règle est simple à énoncer, plus difficile à faire respecter au quotidien : aucune donnée personnelle identifiable ne doit être saisie dans un prompt sans base légale claire. Un salarié qui copie-colle un CV de candidat dans ChatGPT pour obtenir une synthèse transfère potentiellement des données hors de l’Union européenne.

Les fournisseurs américains d’IA générative traitent les prompts sur des serveurs qui ne sont pas toujours situés dans l’UE. Ce transfert constitue un traitement de données personnelles au sens du RGPD, avec toutes les obligations que cela implique en matière de protection des données.

Concrètement, voici les catégories de données à proscrire dans un prompt sans précaution particulière :

• Noms, prénoms et coordonnées de clients, prospects ou salariés
• Numéros de sécurité sociale, données de santé ou données bancaires
• Contenus de contrats commerciaux comportant des clauses confidentielles
• Historiques de conversation avec des données sensibles non anonymisées
• Fichiers RH bruts contenant des évaluations individuelles

Une entreprise de services logistiques a ainsi découvert, lors d’un audit interne, que son équipe commerciale utilisait ChatGPT pour rédiger des relances clients en copiant directement les fiches contacts de son CRM. Ce type de pratique, généralisée sans cadre, expose l’entreprise à un manquement au principe de minimisation prévu par le RGPD.

Ce sujet est détaillé de manière opérationnelle dans ce dossier consacré à ChatGPT dans les TPE et PME.

Action à faire : rédigez une charte d’utilisation interne listant les données interdites dans les prompts et diffusez-la à toutes les équipes utilisant l’IA.

Suis-je sous-traitant ou responsable de traitement quand j’utilise une IA ?

Cette distinction change tout en matière d’obligations contractuelles. Une PME qui utilise ChatGPT pour traiter les données de ses propres clients reste responsable de traitement, tandis que l’éditeur de l’outil devient sous-traitant.

Mais dès que votre PME propose un service à un client final qui repose sur un outil d’IA, la logique s’inverse potentiellement : vous devenez vous-même sous-traitant de votre client, ce qui impose la signature d’un accord de traitement des données (DPA).

Un exemple concret : une PME industrielle qui développe un configurateur produit intégrant un chatbot IA pour ses clients grands comptes agit comme sous-traitant vis-à-vis de ces clients. Elle doit alors leur garantir des mesures de sécurité, un droit d’audit et une traçabilité complète des traitements.

Le RGPD impose, à l’article 28, un contrat écrit précisant les instructions, la durée de conservation, et les mesures de sécurité appliquées par le sous-traitant. L’absence de ce document expose les deux parties en cas de contrôle.

Action à faire : identifiez votre rôle exact (responsable ou sous-traitant) pour chaque flux de données impliquant une IA et formalisez les contrats correspondants avant fin d’année.

Quelles obligations RGPD s’ajoutent quand un outil d’IA traite des données personnelles ?

Trois obligations reviennent systématiquement dès qu’un système d’IA touche à des données personnelles. La première est la minimisation : l’outil ne doit traiter que les données strictement nécessaires à sa finalité déclarée.

La deuxième obligation concerne la base légale. Chaque traitement doit s’appuyer sur un fondement identifié : consentement, exécution d’un contrat, obligation légale ou intérêt légitime. Un consentement noyé dans des conditions générales interminables ne suffit pas.

La troisième porte sur les droits des personnes concernées. Toute décision individuelle entièrement automatisée qui produit des effets juridiques ou significatifs doit permettre une intervention humaine, conformément à l’article 22 du RGPD.

Ces bases légales méritent d’être vérifiées avec précision, car un mauvais fondement invalide l’ensemble du traitement, comme le rappelle cette analyse des bases légales prévues à l’article 6 du RGPD.

Une PME qui utilise un outil de scoring pour évaluer la solvabilité de ses clients doit ainsi prévoir un canal permettant à la personne concernée de demander une révision humaine de la décision. Cette révision doit être réelle, effectuée par une personne habilitée et disposant du pouvoir de modifier la décision.

Action à faire : vérifiez que chaque outil d’IA utilisé permet une intervention humaine documentée avant toute décision affectant un client, un salarié ou un fournisseur.

Faut-il réaliser une analyse d’impact avant d’adopter une intelligence artificielle ?

Oui, dès que le système présente un risque élevé pour les droits des personnes. L’analyse d’impact relative à la protection des données, ou AIPD, devient obligatoire dans ce cas précis, conformément à l’article 35 du RGPD.

Cette analyse doit être réalisée avant la mise en production, pas après un incident. Elle décrit les finalités du traitement, cartographie les risques de biais ou de discrimination, et détaille les mesures de mitigation prévues.

Deux entreprises ont été sanctionnées en 2025 pour avoir présenté une AIPD incomplète lors d’un contrôle, preuve que ce document n’est plus une formalité administrative mais une pièce centrale de votre dossier de conformité.

La méthode complète pour construire ce document pas à pas est détaillée dans ce guide de réalisation d’une AIPD conforme aux recommandations de la CNIL.

Le tableau suivant synthétise les cas où l’AIPD devient obligatoire pour une PME utilisant l’IA :

Usage de l’IA en PME	AIPD obligatoire ?	Exemple concret
Tri automatisé de candidatures	Oui	Logiciel RH filtrant les CV avant entretien
Chatbot de support client basique	Non, sauf profilage	Réponses automatiques aux questions fréquentes
Scoring de solvabilité client	Oui	Décision automatique de refus de crédit
Génération de contenu marketing	Non, sauf données personnelles injectées	Rédaction d’articles de blog via ChatGPT

Action à faire : croisez cette grille avec votre inventaire d’outils d’IA et lancez une AIPD pour chaque usage classé « oui » avant la fin du trimestre.

Quels sont les risques financiers en cas de non-conformité ?

Les montants en jeu justifient une prise au sérieux immédiate, même dans une PME de taille modeste. Le RGPD prévoit des amendes jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial pour les manquements les plus graves.

L’IA Act ajoute son propre barème, avec des sanctions pouvant atteindre 35 millions d’euros ou 7 % du CA mondial pour les pratiques interdites, et 15 millions d’euros ou 3 % du CA pour les manquements des déployeurs de systèmes à haut risque.

Pour une PME réalisant 3 millions d’euros de chiffre d’affaires, une amende de 3 % représente 90 000 euros. Ce montant peut fragiliser durablement la trésorerie d’une structure industrielle qui vient d’investir dans une nouvelle ligne de production.

Une plateforme de recrutement a d’ailleurs été condamnée à 450 000 euros en février 2026 pour avoir utilisé un algorithme de scoring sans information préalable des candidats et sans révision humaine effective. Ce précédent illustre la sévérité de la CNIL sur ce point précis.

Ces deux régimes de sanctions se cumulent, ce que rappelle ce décryptage des recommandations CNIL sur l’intelligence artificielle.

Action à faire : chiffrez votre exposition théorique en appliquant les taux de sanction à votre chiffre d’affaires, pour convaincre votre direction générale de prioriser ce sujet.

Comment sécuriser concrètement l’adoption de ChatGPT dans une PME industrielle ?

La sécurisation ne demande pas un budget démesuré, mais une méthode structurée. La première étape consiste à choisir une offre professionnelle plutôt que la version gratuite grand public, qui réutilise généralement les prompts pour entraîner ses modèles.

Les offres entreprise de ChatGPT ou d’autres intelligences artificielles proposent des garanties contractuelles de non-réutilisation des données, un hébergement parfois localisé, et des engagements de sécurité informatique renforcés. Ces garanties doivent figurer noir sur blanc dans le contrat signé avec l’éditeur.

La deuxième étape consiste à cartographier les flux de données avant tout déploiement à grande échelle. Un logiciel de gestion RGPD permet souvent d’automatiser ce suivi et de conserver une preuve documentaire en cas de contrôle.

La sécurisation passe aussi par un outillage adapté, comme le souligne cette présentation des avantages d’un logiciel RGPD dédié.

La troisième étape, souvent négligée, consiste à former les équipes. Une session de deux heures suffit généralement à faire comprendre les limites d’un système d’IA et les cas où une vérification humaine reste indispensable.

Un fabricant de pièces mécaniques a ainsi structuré son adoption de l’IA en trois mois : audit des usages existants, choix d’une offre professionnelle, puis formation de vingt collaborateurs répartis entre les services commercial, RH et qualité. Le résultat s’est traduit par une réduction visible des incidents liés aux prompts non maîtrisés.

Action à faire : basculez vers une offre professionnelle d’IA avant d’autoriser un usage généralisé, et documentez ce choix dans votre registre des traitements.

Quelles actions prioritaires mettre en place avant la fin de l’année ?

La conformité IA-RGPD ne se construit pas en un jour, mais certaines actions produisent un effet immédiat sur votre niveau de risque. La priorité absolue reste l’inventaire des outils d’IA réellement utilisés dans l’entreprise, souvent plus nombreux que ce que la direction imagine.

Un DAF découvre régulièrement, lors de cet exercice, que plusieurs services utilisent des outils d’IA différents sans coordination : un service marketing utilisant Midjourney, un service RH testant un logiciel de tri de CV, une équipe commerciale s’appuyant sur ChatGPT pour ses relances. Cette dispersion multiplie les points de vulnérabilité.

La règlementation impose ensuite une mise à jour du registre des traitements, avec une section spécifique consacrée à l’intelligence artificielle. Ce document reste le premier élément demandé lors d’un contrôle CNIL, avant toute autre pièce du dossier.

Voici les cinq actions à mener en priorité, dans l’ordre recommandé pour une PME qui démarre sa mise en conformité :

• Recenser tous les outils d’IA utilisés, service par service, avec leur finalité déclarée
• Classer chaque outil selon les catégories de risque prévues par l’IA Act
• Mettre à jour le registre des traitements RGPD avec une section IA dédiée
• Lancer une AIPD pour les systèmes à haut risque traitant des données personnelles
• Former les équipes opérationnelles aux bonnes pratiques et aux données interdites

Cette démarche progressive transforme une contrainte réglementaire en avantage concurrentiel, notamment face à des clients grands comptes qui exigent désormais des garanties de conformité légale avant de signer un contrat impliquant des données sensibles.

Une formation courte, comme celle décrite dans ce parcours pédagogique consacré au règlement général sur la protection des données, permet d’ancrer ces réflexes durablement dans les équipes.

Action à faire : fixez une date limite interne, par exemple fin de trimestre, pour boucler l’inventaire et la mise à jour du registre des traitements.

ChatGPT gratuit est-il utilisable en toute sécurité dans une PME ?

La version gratuite grand public réutilise généralement les prompts pour entraîner ses modèles, ce qui pose un problème de confidentialité dès qu’une donnée personnelle ou sensible est saisie. Une offre professionnelle avec garanties contractuelles reste préférable dès qu’un usage régulier se met en place dans l’entreprise.

Une PME de 20 salariés doit-elle nommer un DPO pour utiliser l’IA ?

La nomination d’un délégué à la protection des données n’est obligatoire que dans certains cas précis, notamment pour un traitement à grande échelle de données sensibles. Beaucoup de PME choisissent néanmoins de désigner un référent interne ou externe pour piloter la conformité IA sans attendre ce seuil légal.

Faut-il un accord écrit avec chaque fournisseur d’IA utilisé ?

Oui, dès que le fournisseur traite des données personnelles pour votre compte, un accord de traitement des données conforme à l’article 28 du RGPD doit être signé. Ce document précise les instructions, la durée de conservation et les mesures de sécurité appliquées.

Un outil d’IA open source dispense-t-il des obligations RGPD ?

Non, l’origine open source du modèle ne change rien aux obligations légales. L’entreprise reste responsable des données qu’elle injecte dans le système et des décisions prises à partir de ses résultats.

Quel est le premier document demandé en cas de contrôle CNIL sur l’IA ?

Le registre des traitements incluant une section spécifique dédiée à l’intelligence artificielle constitue généralement la première pièce exigée, suivie de l’analyse d’impact et des preuves de révision humaine effective.