---
title: "Le RGPD et l'IA"
description: "Ce que le RGPD demande quand une IA traite des données personnelles."
url: https://meridal.fr/apprendre/rgpd-et-ia/
language: fr
written: 2026-10-08
verified: 2026-10-08
license: CC BY 4.0
---

[Apprendre](https://meridal.fr/apprendre/) › [Les règles](https://meridal.fr/apprendre/dossier/regles/)

Comprendre · Niveau 2, Pratiquer · 12 minutes

# Le RGPD et l'IA

Quand un salarié confie des données personnelles à un assistant d'IA, le RGPD s'applique : l'entreprise en répond, l'éditeur agit pour elle sous contrat, et certains usages demandent une analyse d'impact ou une personne pour décider. Ce que recommande la CNIL, mode d'accès par mode d'accès.

Écrit le 8 octobre 2026 · Vérifié le 8 octobre 2026

## Vous saurez

- Dire qui est responsable des données confiées à un assistant d'IA
- Savoir quel contrat lire avant de confier des données personnelles
- Reconnaître les usages qui demandent une analyse d'impact, ou une décision humaine
- Choisir un mode d'accès selon les données en jeu, d'après la CNIL

## Dans le parcours

[Les règles et les risques](https://meridal.fr/apprendre/parcours/regles/)

Étape 2 sur 7

- [← Avant Données confiées à une IA](https://meridal.fr/apprendre/donnees-confiees-a-une-ia/)
- [↑ Plus général Règlement européen sur l'IA : obligations en vigueur](https://meridal.fr/apprendre/reglement-europeen-a-retenir/)
- [↓ Plus concret Une base de savoir que l'assistant consulte avant de répondre](https://meridal.fr/realisations/base-de-savoir/)
- [→ Ensuite Le secret professionnel et l'IA](https://meridal.fr/apprendre/secret-professionnel/)

Rappel de la page précédente

Répondez de tête, puis ouvrez. [Les données confiées à une IA](https://meridal.fr/apprendre/donnees-confiees-a-une-ia/)

**1 Une offre d'équipe et un compte personnel du même assistant traitent-ils vos données de la même façon ?**

Non. Les offres d'équipe s'engagent par contrat à ne pas entraîner leurs modèles sur vos échanges ; la plupart des comptes personnels le font par défaut, sauf si l'utilisateur le refuse.

**2 Un salarié colle un contrat client dans un assistant. Qu'est-ce qui décide de ce que devient ce texte ?**

L'offre et ses réglages : entraînement, durée de conservation, lieu de stockage, partage. Le texte a quitté l'entreprise dès l'envoi ; les réglages décident du reste.

L'essentiel

1. Quand un salarié confie des données personnelles à un assistant d'IA pour son travail, l'entreprise est responsable du traitement ; la CNIL le rappelle, d'où la formation des équipes.
2. L'éditeur d'une offre d'équipe traite ces données pour elle, en sous-traitant : un contrat doit l'y lier, et c'est ce contrat qu'il faut lire avant.
3. Données de clients ou de salariés, documents sensibles : la CNIL juge en général préférable un outil installé chez soi ; dans le nuage, un contrat avec l'hébergeur et l'éditeur, et un transfert hors de l'Union encadré.
4. Un traitement à risque élevé demande une analyse d'impact avant de commencer ; un usage courant d'un assistant ne l'est pas à lui seul.
5. Une décision qui produit des effets juridiques sur une personne ne peut pas reposer uniquement sur un traitement automatisé : une personne décide.

## Problème

Une chargée de clientèle colle dans un assistant le courriel d'un client mécontent, avec son nom, son adresse et le détail de sa commande, pour préparer une réponse. Un responsable des ressources humaines lui fait résumer des entretiens annuels. Ces textes contiennent des données personnelles. Qui en répond, à quelles conditions, et que faut-il avoir vérifié avant ? Pour la CNIL, c'est en général l'organisation qui porte la responsabilité juridique d'un mauvais usage par ses salariés.

## Principe

Le RGPD distingue deux rôles. Le **responsable du traitement** décide pourquoi et comment des données personnelles sont traitées : c'est l'entreprise dont le salarié se sert de l'assistant pour son travail. Le **sous-traitant** les traite pour son compte : c'est l'éditeur d'une offre d'équipe. Le responsable ne peut faire appel qu'à des sous-traitants qui présentent des garanties suffisantes, liés par un contrat qui fixe ce qu'ils font des données.

Avec un compte personnel, ce cadre manque : l'éditeur applique ses conditions grand public, et peut se servir des échanges pour améliorer ses modèles, sauf refus de l'utilisateur. L'entreprise ne maîtrise plus ce que deviennent les données.

Offre d'équipe ou compte personnel, réglage par réglage : [les réglages de confidentialité](https://meridal.fr/apprendre/reglages-de-confidentialite/).

## Fonctionnement

![Le salarié confie des données personnelles à l'assistant ; l'entreprise est responsable du traitement ; l'éditeur, sous-traitant, est lié par un contrat ; un transfert hors de l'Union doit être encadré ; une décision à effets juridiques reste à une personne.](https://meridal.fr/assets/apprendre/medias/apprendre-rgpd-roles.svg)

*Qui répond de quoi, du salarié à l'éditeur.*

La CNIL a publié ses réponses sur l'usage d'un système d'IA générative par une organisation. Elles se lisent selon le mode d'accès :

| Le mode d'accès | Ce que recommande la CNIL |
|---|---|
| Un service grand public, avec des adresses professionnelles dédiées | Envisageable pour des usages non confidentiels, avec des garde-fous : aucun compte personnel, la réutilisation des données désactivée |
| Un outil hébergé dans le nuage | Un contrat de sous-traitance avec l'hébergeur et, le cas échéant, avec le fournisseur de l'IA |
| Des données transférées hors de l'Union | Encadrer aussi le traitement par le destinataire, hébergeur hors de l'Union ou fournisseur non européen |
| Un accès par programme (API) | Le contrôle est presque entièrement chez le fournisseur : éviter autant que possible d'y faire passer des données personnelles |
| Un outil installé chez soi | En général préférable et plus sûr quand on y met des données de clients ou de salariés, ou des documents sensibles |

**L'analyse d'impact.** Un traitement susceptible d'engendrer un risque élevé, notamment par une technologie nouvelle, demande une analyse d'impact avant de commencer. La CNIL la présume nécessaire pour les usages à haut risque du règlement sur l'IA et pour le profilage ou la décision automatisée de sa liste ; elle précise qu'utiliser l'IA n'est pas en soi un usage « innovant ».

**La décision automatisée.** Une personne a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, profilage compris, qui produit des effets juridiques la concernant ou l'affecte de façon similaire.

**Les États-Unis.** Le cadre de 2023 pour les transferts vers les entreprises américaines certifiées a été confirmé par le Tribunal de l'Union le 3 septembre 2025 ; un pourvoi est pendant devant la Cour de justice depuis le 31 octobre 2025.

## Exemple détaillé

**Le courriel d'un client**, à résumer pour préparer une réponse : trois façons de faire. La situation est fabriquée pour l'exemple.

| Le même courriel de client | Ce qui se passe | Verdict |
|---|---|---|
| Collé dans un compte personnel | Conditions grand public, entraînement possible, aucun contrat avec l'entreprise | **Non** |
| Collé dans une offre d'équipe, contrat de sous-traitance lu, réglages faits | L'éditeur traite pour l'entreprise, dans les limites du contrat | **Oui** |
| Nom, adresse et numéro de commande remplacés par des repères avant l'envoi | L'assistant prépare la réponse sans savoir de qui il s'agit ; on remet les données à la fin | **Mieux encore** |

**Dans un projet réel**, la protection se construit dans l'outil lui-même : qui peut s'y connecter, ce qu'il ne doit jamais montrer, où il est hébergé.

Réalisation · cabinet de cession d'une trentaine de personnes, 2026

Une base de savoir qui écarte les fiches confidentielles avant de répondre

Un connecteur hébergé en France sert à toute l'équipe les fiches du cabinet ; on s'y connecte avec son compte Microsoft du cabinet, et les fiches confidentielles sont exclues avant toute réponse. Une revue de sécurité a précédé l'ouverture.

Défauts de sécurité corrigés avant l'ouverture à l'équipe : 4 défauts Source : inventaire des réalisations de Meridal, d'après la revue de sécurité de juillet 2026. Limite : un seul mainteneur.

[Lire la réalisation](https://meridal.fr/realisations/base-de-savoir/)

## Risques

| Le risque | Ce qui l'expose | La parade |
|---|---|---|
| Données hors de tout contrat | Des comptes personnels pour le travail | Une offre d'équipe, et une charte qui dit ce qu'on peut confier ; la CNIL recommande une telle charte |
| Décision automatisée sur une personne | Un outil qui écarte seul des candidats, des clients, des salariés | Une personne décide ; l'outil propose |
| Traitement à risque sans analyse d'impact | Profilage, évaluation de salariés, données de santé | L'analyse d'impact avant de commencer |
| Outil déployé sans consulter le comité social et économique | Une technologie nouvelle introduite dans le travail des salariés | La consultation, avant le déploiement : en février 2025, à Nanterre, un juge a suspendu des outils d'IA déployés avant l'avis du comité |
| Modèle entraîné sur des données collectées illicitement | Un modèle dont l'éditeur ne documente pas les données | Le comité européen de la protection des données estime que cela peut affecter la licéité de son usage ; préférer les éditeurs qui documentent |

Les amendes du RGPD montent jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial, le plus élevé des deux. Une réforme du RGPD, dite « omnibus des données », est en discussion à Bruxelles ; elle n'est pas adoptée au 8 octobre 2026.

## Mise en place

1. **Repérer les usages qui touchent des données personnelles** : la colonne « données sensibles » de [la liste des tâches](https://meridal.fr/apprendre/liste-des-taches/).
2. **Lire le contrat de sous-traitance de l'éditeur** : ce qu'il fait des données, où, avec quels sous-traitants, combien de temps. Microsoft, Google et OpenAI en publient un pour leurs offres d'équipe ; chez Anthropic, les conditions commerciales.
3. **Régler l'outil** : entraînement, conservation, partage ; voir [les réglages de confidentialité](https://meridal.fr/apprendre/reglages-de-confidentialite/).
4. **Faire l'analyse d'impact** si l'usage présente un risque élevé : profilage, salariés, santé.
5. **Écrire la charte** et former l'équipe : ce qu'on peut confier, ce qu'on retire avant d'envoyer ; voir [la charte d'usage](https://meridal.fr/apprendre/charte-d-usage-de-l-ia/).
6. **Consulter le comité social et économique**, s'il y en a un, avant de déployer un outil dans le travail des salariés.

## Exercice

Pour chaque situation, qu'est-ce qui manque ? Les situations sont fabriquées pour l'exercice.

1. Le service des ressources humaines fait résumer les entretiens annuels par son abonnement personnel.
2. Un outil classe les candidatures et envoie seul un refus aux moins bien notées.
3. L'entreprise prend une offre d'équipe sans avoir lu ce que l'éditeur fait des données.
4. Un assistant branché sur les dossiers de santé des salariés est ouvert à l'équipe de la paie.

**Ouvrir la correction**

**1. Un cadre**Des données de salariés dans un compte personnel : une offre d'équipe sous contrat, et une charte.

**2. Une personne qui décide**Une décision aux effets importants ne peut pas être entièrement automatisée ; c'est aussi un usage à haut risque pour le règlement sur l'IA.

**3. La lecture du contrat de sous-traitance**Avant, pas après.

**4. Une analyse d'impact, et des droits d'accès**Des données de santé : risque élevé ; et l'équipe de la paie n'a pas à les voir.

## Vérification

**1 Comprendre Qui est responsable des données personnelles que vos salariés confient à un assistant d'IA ?**

L'entreprise, responsable du traitement ; l'éditeur d'une offre d'équipe agit en sous-traitant, dans les limites de son contrat.

**2 Comprendre Avant de confier des données personnelles à un outil d'IA, quel document vérifier ?**

Le contrat de sous-traitance de l'éditeur : ce qu'il fait des données, où, avec quels sous-traitants, et combien de temps.

**3 Appliquer Un outil trie seul les candidatures et écarte les moins bonnes. Qu'est-ce que le RGPD y oppose ?**

Le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé qui affecte la personne de façon importante : une personne doit décider.

## Lectures suivantes

↑ Plus général [Règlement européen sur l'IA : obligations en vigueur Retenir · Niveau 1 · 5 minutes](https://meridal.fr/apprendre/reglement-europeen-a-retenir/)

← Avant [Données confiées à une IA Comprendre · Niveau 1 · 8 minutes](https://meridal.fr/apprendre/donnees-confiees-a-une-ia/)

Vous êtes ici

Le RGPD et l'IA

→ Ensuite [Le secret professionnel et l'IA Comprendre · Niveau 2 · 12 minutes](https://meridal.fr/apprendre/secret-professionnel/)

Les règles et les risques · étape 3 sur 7

↓ Plus concret [Une base de savoir que l'assistant consulte avant de répondre Réalisation](https://meridal.fr/realisations/base-de-savoir/)

[Tout le dossier « Les règles »](https://meridal.fr/apprendre/dossier/regles/)

Les pages qui renvoient ici

- [Hébergement en Europe](https://meridal.fr/apprendre/hebergement-en-europe/)
- [Le règlement européen sur l'IA pour une PME](https://meridal.fr/apprendre/reglement-europeen-ia/)
- [Le secret professionnel et l'IA](https://meridal.fr/apprendre/secret-professionnel/)

**Limites et sources**

Cette page explique le cadre ; elle ne remplace pas l'avis de votre délégué à la protection des données ou de votre conseil.

Les recommandations de la CNIL de 2024 et 2025 portent surtout sur le développement des systèmes d'IA ; ses réponses sur l'usage d'une IA générative par une organisation sont celles citées ici.

1. [Règlement (UE) 2016/679](https://eur-lex.europa.eu/legal-content/FR/TXT/PDF/?uri=CELEX:32016R0679) ; [CNIL, questions-réponses sur l'IA générative](https://www.cnil.fr/fr/les-questions-reponses-de-la-cnil-sur-lutilisation-dun-systeme-dia-generative) ; [CNIL, analyse d'impact](https://www.cnil.fr/fr/realiser-une-analyse-dimpact-si-necessaire) ; [Comité européen de la protection des données, avis 28/2024](https://www.edpb.europa.eu/news/news/2024/edpb-opinion-ai-models-gdpr-principles-support-responsible-ai_en) ; [Affaire C-703/25 P](https://eur-lex.europa.eu/eli/C/2025/6610/oj/eng).
2. Le relevé complet : `apprendre/recherches/2026-10-08-regles.json`.

Écrit par Meridal, avec l'aide de l'IA ; chaque fait vérifié à sa source et relu avant publication. Texte et schémas sous licence [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.fr) : reprenez-les en citant Meridal. Le code sous licence MIT.

Service correspondant

L'IA pour toute l'équipe

1 650 € à 4 250 €, puis sur devis

[Voir le service](https://meridal.fr/offre/#ia-equipe)

## Un premier échange de 30 minutes

En visio et sans frais : vous décrivez votre situation, nous vous indiquons ce qui est réalisable, avec quels outils et pour quel ordre de prix. Vous pouvez aussi nous écrire ; chaque message reçoit une réponse écrite.

[Réserver 30 minutes](https://meridal.fr/contact/#reserver) [Écrire un message](https://meridal.fr/contact/)