Intelligence Artificielle et RGPD : Guide pratique pour une utilisation conforme et éthique

Un algorithme qui trie des candidatures, un outil qui score la solvabilité d’un client, un chatbot qui répond à vos prospects : ces usages de l’intelligence artificielle se sont banalisés dans les PME industrielles et de services. Mais chaque fois qu’une donnée personnelle entre dans la machine, le RGPD s’applique, sans exception ni tolérance liée à la taille de l’entreprise. Beaucoup de dirigeants découvrent tardivement qu’ils sont devenus sous-traitants ou responsables de traitement au sens du règlement, simplement en connectant un outil d’IA à leurs fichiers clients ou salariés.

Les autorités de contrôle ne font plus preuve de mansuétude sur ce terrain. La CNIL a publié depuis 2024 une série de fiches pratiques qui précisent noir sur blanc ce qu’elle attend d’une entreprise qui développe ou intègre un système d’IA. Les sanctions, elles, se chiffrent déjà en centaines de milliers d’euros pour des structures bien plus petites que les grands groupes technologiques. Ce guide détaille, poste par poste, ce que votre PME doit vérifier avant, pendant et après le déploiement d’un outil d’IA.

En bref :

• Le RGPD s’applique dès qu’une donnée personnelle est traitée par un algorithme, y compris pendant la phase d’entraînement.
• Une analyse d’impact (AIPD) devient obligatoire dès que l’outil profile ou évalue des personnes.
• L’intérêt légitime reste la base légale la plus utilisée pour l’entraînement, sous réserve d’un triple test documenté.
• La transparence et l’explicabilité des décisions automatisées ne sont plus négociables face à un client ou un salarié.
• Les amendes peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial, et jusqu’à 35 millions d’euros pour les manquements à l’AI Act.

Qu’est-ce que le RGPD change concrètement pour votre utilisation de l’IA ?

Le RGPD ne fait pas de distinction entre un traitement classique et un traitement piloté par un algorithme. Dès qu’un outil d’intelligence artificielle manipule des noms, des adresses, des numéros de salariés ou des données de production nominatives, vous devenez responsable de traitement ou sous-traitant selon votre rôle exact. Une PME industrielle qui utilise un logiciel de maintenance prédictive couplé aux plannings de ses techniciens entre déjà dans ce cadre. Le règlement européen sur l’IA, entré en vigueur par vagues depuis août 2024, ajoute une couche supplémentaire pour les systèmes classés à haut risque.

Concrètement, votre entreprise doit d’abord classer chaque outil qu’elle utilise : risque minimal, risque limité, haut risque, ou pratique interdite. Un outil de recrutement automatisé ou de notation de crédit entre presque toujours dans la catégorie haut risque. La fiche pratique publiée par la CNIL détaille précisément cette qualification, phase par phase, de l’entraînement jusqu’au déploiement opérationnel. Cette cartographie initiale conditionne toutes les obligations qui suivent.

Action concrète : listez dès maintenant tous les outils d’IA utilisés dans votre PME et notez, pour chacun, s’il traite des données de salariés, de clients ou de prospects.

Votre entreprise est-elle sous-traitant quand elle utilise un outil d’IA ?

La réponse dépend de qui décide des finalités du traitement. Si vous utilisez un logiciel de scoring RH conçu par un éditeur externe, vous êtes le responsable de traitement, et l’éditeur devient votre sous-traitant. Mais si votre PME développe elle-même un outil d’IA pour un client, ou traite les données de ce client via une plateforme d’IA, elle peut basculer du côté sous-traitant. Cette distinction n’est pas théorique : elle détermine qui signe quoi, et qui répond en cas de contrôle.

Un contrat de sous-traitance conforme à l’article 28 du RGPD devient alors obligatoire, sans quoi vous êtes en infraction directe. Ce contrat doit mentionner la nature des traitements IA effectués, les garanties de sécurité, et les conditions de recours à d’éventuels sous-traitants ultérieurs. Une entreprise de services qui confie l’annotation de ses données à un prestataire situé hors Union européenne doit également vérifier l’encadrement des transferts, via des clauses contractuelles types actualisées. Le guide dédié aux PME avant l’adoption d’outils comme ChatGPT détaille ces points de vigilance contractuelle.

Action concrète : identifiez votre statut exact pour chaque outil d’IA utilisé et vérifiez qu’un contrat article 28 existe bien avec chaque éditeur concerné.

Le cas particulier des outils grand public intégrés en interne

Beaucoup de PME utilisent des assistants conversationnels génériques pour rédiger des mails ou synthétiser des documents. Si un salarié y colle des données clients pour gagner du temps, l’entreprise perd le contrôle sur la destination de ces données. Ce cas de figure a déjà généré des incidents documentés par la CNIL en 2025, avec des mises en demeure pour défaut d’information des personnes concernées. Une charte interne d’usage de l’IA, même simple, réduit fortement ce risque.

Faut-il réaliser une analyse d’impact avant de déployer un outil d’IA ?

L’article 35 du RGPD impose une analyse d’impact relative à la protection des données dès qu’un traitement présente un risque élevé pour les personnes concernées. Un outil qui évalue, note ou profile des individus entre systématiquement dans ce cas. Une startup de recrutement a d’ailleurs écopé d’une amende de 350 000 euros en 2025 pour avoir déployé un algorithme de matching sans AIPD préalable, un précédent que toute PME doit garder en tête. L’absence de documentation aggrave presque toujours la sanction en cas de contrôle.

L’AIPD doit décrire les opérations effectuées, évaluer leur nécessité, identifier les risques concrets et lister les mesures correctrices envisagées : pseudonymisation, chiffrement, limitation des accès. Ce document n’est pas figé une fois pour toutes : il doit être mis à jour à chaque évolution significative de l’algorithme. Le guide complet pour réaliser une AIPD selon les recommandations CNIL propose une méthodologie applicable sans expertise juridique préalable.

Action concrète : avant tout déploiement d’un outil de scoring, de notation ou de tri automatisé, bloquez une demi-journée pour rédiger l’AIPD avec votre référent qualité ou informatique.

Quelle base légale choisir pour entraîner ou utiliser un algorithme ?

Le consentement individuel est souvent impraticable lorsque les données proviennent de sources multiples ou massives. Pour l’entraînement d’un modèle, l’intérêt légitime, prévu à l’article 6(1)(f), reste la base légale la plus fréquemment retenue. Encore faut-il documenter un triple test : légitimité de l’intérêt poursuivi, nécessité stricte du traitement, et mise en balance avec les droits des personnes. Une entreprise industrielle qui entraîne un modèle de détection de fraude sur ses propres factures peut invoquer cet intérêt, à condition de prouver qu’aucune donnée non pertinente n’est incluse.

Pour la phase de déploiement opérationnel auprès de clients, la base légale peut différer : contrat, obligation légale ou consentement explicite selon le contexte. C’est une erreur fréquente de croire qu’une seule base légale couvre l’ensemble du cycle de vie d’un outil d’IA. Le web scraping, souvent utilisé pour enrichir des jeux de données, n’est pas interdit en soi mais doit respecter les fichiers robots.txt, exclure les données sensibles et proposer un droit d’opposition réel. Le guide juridique 2026 sur l’intelligence artificielle et le RGPD détaille les critères retenus par la jurisprudence récente sur ce point précis.

Phase du traitement	Base légale la plus adaptée	Point de vigilance
Entraînement du modèle	Intérêt légitime (triple test)	Minimisation des données incluses
Déploiement auprès de clients	Contrat ou consentement	Information claire et accessible
Web scraping pour enrichissement	Intérêt légitime encadré	Respect des robots.txt et opposition
Décision automatisée à effet juridique	Consentement explicite ou loi	Intervention humaine garantie (art. 22)

Action concrète : pour chaque outil d’IA, notez séparément la base légale de l’entraînement et celle de l’usage opérationnel, elles ne coïncident pas toujours.

Comment garantir la transparence de vos algorithmes face à vos clients ?

Les articles 13 à 15 du RGPD imposent une information claire sur la logique d’un traitement automatisé. Un client ou un salarié doit pouvoir comprendre, sans jargon technique, les principaux facteurs ayant influencé une décision qui le concerne. Cette exigence de transparence devient particulièrement critique quand l’outil attribue un score de crédit, filtre des candidatures ou fixe un tarif personnalisé. La jurisprudence récente confirme que l’explicabilité doit être suffisante pour permettre une contestation effective de la décision.

Les modèles de deep learning fonctionnent souvent comme des boîtes noires difficiles à interpréter même pour leurs concepteurs. Des techniques comme LIME ou SHAP permettent de reconstituer les variables déterminantes d’une décision et de produire un rapport lisible. Une entreprise de services financiers a ainsi évité une action collective en 2025 en démontrant, tests à l’appui, l’absence de biais discriminatoire dans son algorithme de notation. Cette démonstration documentée vaut bien plus qu’une simple déclaration de bonnes intentions.

L’article 22 et le droit à l’intervention humaine

Toute décision produisant un effet juridique ou significatif sur une personne, prise uniquement par une machine, ouvre un droit d’opposition et d’intervention humaine. Une PME qui automatise le rejet de candidatures sur des critères algorithmiques doit prévoir un canal de recours réel, pas symbolique. Le portail dédié à l’articulation entre IA et RGPD propose des modèles de mentions d’information adaptées à ces situations.

Action concrète : rédigez une notice d’information spécifique pour chaque décision automatisée à impact significatif, et testez-la auprès d’un collaborateur non technique.

Devez-vous désigner un DPO pour piloter votre conformité IA ?

La désignation d’un délégué à la protection des données est obligatoire dès que votre activité implique un suivi régulier et systématique de personnes à grande échelle, ou le traitement de données sensibles via l’IA. Une PME industrielle qui déploie des capteurs de géolocalisation ou de reconnaissance faciale sur son site de production entre directement dans ce périmètre. Même hors obligation légale stricte, nommer un DPO volontaire rassure vos clients et vos partenaires financiers lors d’un audit ou d’une levée de fonds.

Le DPO doit désormais maîtriser à la fois le RGPD et les nouvelles obligations issues du règlement européen sur l’IA. Beaucoup de PME optent pour un DPO externalisé, une solution accessible financièrement qui apporte une double compétence juridique et technique. Le comparatif entre DPO interne et externe aide à trancher selon la taille et le budget de votre structure.

Un DPO efficace ne se contente pas de cocher des cases réglementaires. Il alerte en amont sur les projets risqués, challenge les fournisseurs d’outils d’IA et forme les équipes métiers aux bons réflexes. Cette fonction de conseil devient un véritable atout de gouvernance quand elle est intégrée dès la phase de sélection d’un nouvel outil, plutôt que consultée après coup.

Action concrète : vérifiez si votre activité déclenche l’obligation légale de DPO, et sinon, évaluez le coût d’un DPO externalisé pour sécuriser vos projets IA à venir.

Quelles sanctions encourez-vous en cas de non-conformité ?

Les amendes RGPD peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel, un plafond qui suffit à fragiliser durablement une PME. Le règlement européen sur l’IA ajoute des sanctions spécifiques pouvant grimper jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires pour les pratiques interdites, comme la notation sociale ou certaines formes de reconnaissance des émotions au travail. Une décision du Conseil d’État rendue en mars 2026 a confirmé une sanction de 420 000 euros contre une startup de santé prédictive, faute d’AIPD et de droit d’opposition effectif.

Les contentieux ne viennent pas uniquement des autorités administratives. Des associations comme NOYB ou La Quadrature du Net portent des actions collectives qui aboutissent parfois à des accords transactionnels coûteux, à l’image d’un règlement de 2,3 millions d’euros obtenu en 2025 contre un éditeur de visioconférence utilisant l’IA pour analyser les émotions des participants. Ce type d’affaire montre que la sécurité des données et l’éthique du traitement pèsent autant que la conformité formelle.

Anticiper un incident reste la meilleure protection. L’article 33 du RGPD impose une notification à l’autorité de contrôle sous 72 heures en cas de violation de données. Préparer un modèle de notification à l’avance, avec un responsable désigné en interne, évite l’improvisation au moment critique. Le suivi des évolutions récentes du RGPD en France permet de rester à jour sur les décisions qui font jurisprudence.

Action concrète : rédigez dès aujourd’hui un modèle de notification d’incident et désignez nommément la personne chargée de le déclencher sous 72 heures.

Quelle checklist suivre pour sécuriser votre déploiement d’IA ?

La conformité d’un outil d’IA ne se résume pas à un document signé une fois pour toutes. Elle suppose un suivi continu, ajusté à chaque évolution technique ou réglementaire. Une PME qui structure sa démarche autour d’une checklist claire réduit fortement le risque de contrôle défavorable. Cette liste doit devenir un réflexe partagé entre la direction, le service informatique et les équipes métiers concernées.

• Classer chaque système d’IA selon son niveau de risque (minimal, limité, haut risque, interdit)
• Réaliser une AIPD dès qu’un profilage ou une évaluation de personnes est en jeu
• Tenir à jour un registre de traitement incluant la documentation technique de l’IA
• Garantir l’explicabilité des décisions automatisées et un droit d’opposition effectif
• Désigner un DPO, interne ou externe, avec une double compétence RGPD et IA
• Tester les biais potentiels de l’algorithme avant toute mise en production
• Vérifier les transferts de données hors Union européenne et les clauses contractuelles associées
• Préparer un plan de réponse à incident avec notification sous 72 heures

Un logiciel dédié à la gestion de la conformité facilite grandement le suivi de ces obligations, en centralisant registre, AIPD et documentation technique. Le comparatif des meilleurs logiciels RGPD disponibles en 2026 permet de choisir un outil adapté à la taille de votre PME. La vie privée de vos clients et de vos salariés mérite un traitement aussi rigoureux que vos indicateurs financiers.

Action concrète : imprimez cette checklist, affectez un responsable à chaque ligne et fixez une revue trimestrielle jusqu’à la prochaine levée de fonds ou audit.

Une PME doit-elle obligatoirement nommer un DPO pour utiliser l’IA ?

Ce n’est obligatoire que si l’activité implique un suivi régulier et systématique de personnes à grande échelle, ou le traitement de données sensibles. Dans les autres cas, nommer un DPO reste fortement recommandé pour sécuriser vos projets.

Quelle différence entre l’AIPD et l’évaluation des risques de l’AI Act ?

L’AIPD porte sur la protection des données personnelles au sens du RGPD, tandis que l’évaluation des risques de l’AI Act couvre les droits fondamentaux, la sécurité et la non-discrimination. Les deux démarches se complètent et peuvent être menées ensemble.

Utiliser des données publiques collectées par web scraping est-il conforme ?

Ce n’est pas automatique : une base légale valide reste nécessaire, avec documentation des sources, respect des robots.txt et exclusion des données sensibles. La jurisprudence récente restreint l’usage de données publiques sans information des personnes concernées.

Peut-on supprimer les données d’une personne d’un modèle déjà entraîné ?

Le désapprentissage technique n’est pas toujours réalisable. À défaut, des mesures compensatoires comme le filtrage des sorties ou la limitation de certaines requêtes permettent de réduire le risque de restitution de données identifiantes.

Quelles sanctions risque une PME qui néglige la conformité de son IA ?

Les amendes RGPD peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial, et jusqu’à 35 millions d’euros pour les manquements les plus graves à l’AI Act. Des actions collectives peuvent également aboutir à des accords transactionnels coûteux.