Le RGPD et l'IA

Une chargée de clientèle colle dans un assistant le courriel d'un client mécontent, avec son nom, son adresse et le détail de sa commande, pour préparer une réponse. Un responsable des ressources humaines lui fait résumer des entretiens annuels. Ces textes contiennent des données personnelles. Qui en répond, à quelles conditions, et que faut-il avoir vérifié avant ? Pour la CNIL, c'est en général l'organisation qui porte la responsabilité juridique d'un mauvais usage par ses salariés.

Le RGPD distingue deux rôles. Le responsable du traitement décide pourquoi et comment des données personnelles sont traitées : c'est l'entreprise dont le salarié se sert de l'assistant pour son travail. Le sous-traitant les traite pour son compte : c'est l'éditeur d'une offre d'équipe. Le responsable ne peut faire appel qu'à des sous-traitants qui présentent des garanties suffisantes, liés par un contrat qui fixe ce qu'ils font des données.

Avec un compte personnel, ce cadre manque : l'éditeur applique ses conditions grand public, et peut se servir des échanges pour améliorer ses modèles, sauf refus de l'utilisateur. L'entreprise ne maîtrise plus ce que deviennent les données.

La CNIL a publié ses réponses sur l'usage d'un système d'IA générative par une organisation. Elles se lisent selon le mode d'accès :

L'analyse d'impact. Un traitement susceptible d'engendrer un risque élevé, notamment par une technologie nouvelle, demande une analyse d'impact avant de commencer. La CNIL la présume nécessaire pour les usages à haut risque du règlement sur l'IA et pour le profilage ou la décision automatisée de sa liste ; elle précise qu'utiliser l'IA n'est pas en soi un usage « innovant ».

La décision automatisée. Une personne a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, profilage compris, qui produit des effets juridiques la concernant ou l'affecte de façon similaire.

Les États-Unis. Le cadre de 2023 pour les transferts vers les entreprises américaines certifiées a été confirmé par le Tribunal de l'Union le 3 septembre 2025 ; un pourvoi est pendant devant la Cour de justice depuis le 31 octobre 2025.

Le courriel d'un client, à résumer pour préparer une réponse : trois façons de faire. La situation est fabriquée pour l'exemple.

Dans un projet réel, la protection se construit dans l'outil lui-même : qui peut s'y connecter, ce qu'il ne doit jamais montrer, où il est hébergé.

Les amendes du RGPD montent jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial, le plus élevé des deux. Une réforme du RGPD, dite « omnibus des données », est en discussion à Bruxelles ; elle n'est pas adoptée au 8 octobre 2026.

1. Repérer les usages qui touchent des données personnelles : la colonne « données sensibles » de la liste des tâches.
2. Lire le contrat de sous-traitance de l'éditeur : ce qu'il fait des données, où, avec quels sous-traitants, combien de temps. Microsoft, Google et OpenAI en publient un pour leurs offres d'équipe ; chez Anthropic, les conditions commerciales.
3. Régler l'outil : entraînement, conservation, partage ; voir les réglages de confidentialité.
4. Faire l'analyse d'impact si l'usage présente un risque élevé : profilage, salariés, santé.
5. Écrire la charte et former l'équipe : ce qu'on peut confier, ce qu'on retire avant d'envoyer ; voir la charte d'usage.
6. Consulter le comité social et économique, s'il y en a un, avant de déployer un outil dans le travail des salariés.

Pour chaque situation, qu'est-ce qui manque ? Les situations sont fabriquées pour l'exercice.

1. Le service des ressources humaines fait résumer les entretiens annuels par son abonnement personnel.
2. Un outil classe les candidatures et envoie seul un refus aux moins bien notées.
3. L'entreprise prend une offre d'équipe sans avoir lu ce que l'éditeur fait des données.
4. Un assistant branché sur les dossiers de santé des salariés est ouvert à l'équipe de la paie.