IA et RGPD : ce que votre PME peut (vraiment) confier à ChatGPT.

Répondons d'abord à la question que vous êtes venu poser : oui, une PME peut utiliser ChatGPT, ou Claude, ou Copilot, dans le cadre du RGPD. Le règlement européen n'interdit aucun outil d'intelligence artificielle. Ce qu'il encadre, c'est le traitement des données personnelles : ce que vous mettez dedans, dans quelle version de l'outil, et avec quelles précautions. Trois règles suffisent à couvrir l'immense majorité des usages quotidiens : classer ses données avec un feu tricolore, travailler sur une offre professionnelle plutôt que sur un compte gratuit, et pseudonymiser ce qui doit l'être.

Cet article est le point d'entrée de tout ce que nous publions sur la conformité de l'IA en PME. Il détaille les trois règles, puis les quatre obligations que même les entreprises attentives oublient, ce que le règlement européen sur l'IA ajoute, ce que la CNIL sanctionne dans les faits, et ce que votre juriste doit valider avant que vous ne figiez quoi que ce soit.

Ce que le RGPD interdit, et ce qu'il n'interdit pas

Commençons par lever le malentendu qui bloque le plus de projets. Le RGPD ne dit rien de l'intelligence artificielle en tant que technologie : il ne l'autorise pas, il ne l'interdit pas, il ne la mentionne pas. Ce qu'il régit, ce sont les traitements de données personnelles, c'est-à-dire toute opération portant sur une information qui permet d'identifier une personne physique, directement ou indirectement. Un outil d'IA n'est, de ce point de vue, qu'un traitement de plus.

La conséquence est libératrice pour un dirigeant : la question à se poser n'est jamais « ai-je le droit d'utiliser cet outil ? », mais « quelles données est-ce que j'y mets, et à quel titre ? ». Une PME qui fait reformuler sa page produit par un assistant IA ne traite aucune donnée personnelle : le RGPD ne la concerne pas sur ce geste. La même PME qui dépose un fichier de 400 contacts clients dans le même outil réalise un traitement de données personnelles, avec tout ce que cela implique.

La CNIL a explicitement posé ce cadre. Dans ses questions-réponses sur l'utilisation d'un système d'IA générative, elle rappelle que le règlement s'applique dès que des données personnelles entrent dans le système ou en sortent : vos prompts compris, les fichiers déposés compris, les réponses générées comprises. C'est le point de départ de tout le reste, et c'est aussi ce qui rend le tri indispensable avant de coller le texte, et non après.

Deuxième précision, souvent absente des articles sur le sujet : le RGPD s'intéresse aux données personnelles, pas aux données confidentielles. Votre grille tarifaire, votre méthode de chiffrage, le mémoire technique que vous préparez pour un appel d'offres ne sont pas des données personnelles ; ils n'en sont pas moins un actif de l'entreprise, dont la sortie non maîtrisée est un vrai sujet. Les deux logiques se traitent ensemble, mais elles ne relèvent pas du même texte, et c'est pourquoi une politique interne doit couvrir les deux. Nous y revenons plus bas.

Règle n°1 · Le feu tricolore des données

C'est le réflexe que nous enseignons dès la première heure de formation, parce qu'il remplace un texte de 99 articles par une question que chacun peut se poser avant de coller quoi que ce soit dans un chatbot : cette information est-elle verte, orange ou rouge ?

Vert, les données publiques : allez-y

Tout ce qui est déjà accessible à n'importe qui : le contenu de votre site web, vos plaquettes commerciales, une réglementation, un article de presse, la description publique d'un concurrent, un avis d'appel d'offres. Aucune donnée personnelle, aucun secret. C'est le terrain de jeu naturel de l'IA : reformuler une page produit, résumer un cahier des charges public, comparer deux textes officiels. Aucune précaution particulière, quel que soit l'outil.

Un point d'attention tout de même, parce qu'il surprend : une donnée publique peut rester une donnée personnelle. Le profil professionnel en ligne d'un prospect est public, il n'en est pas moins nominatif. Le rassembler et l'exploiter à grande échelle constitue un traitement, avec obligation d'information de la personne. « Public » ne veut pas dire « hors RGPD ».

Orange, les données internes : offre professionnelle et bon sens

Les informations qui appartiennent à l'entreprise sans identifier une personne : un processus interne, une grille tarifaire, un modèle de devis, des chiffres agrégés, un brouillon de note de service. Ces données ne relèvent pas du RGPD tant qu'elles ne sont pas nominatives, mais elles relèvent de la confidentialité de l'entreprise. La règle : elles n'entrent que dans un outil en offre professionnelle, jamais dans un compte gratuit personnel. Une comptable qui fait analyser une balance âgée anonymisée, une assistante qui fait reformuler une procédure interne : orange, autorisé, dans le bon outil.

Rouge, les données nominatives et sensibles : stop, ou pseudonymisation

Tout ce qui identifie directement une personne physique : nom associé à une situation, coordonnées, données bancaires, et à plus forte raison les catégories dites sensibles au sens du RGPD, santé, opinions, appartenance syndicale, vie personnelle. Un dossier RH, le CV d'un candidat, la réclamation nominative d'un client, un échéancier de paiement avec les noms : rouge. Ces données ne se collent jamais telles quelles dans un outil d'IA, même en offre professionnelle, sans réflexion préalable. C'est ici que la pseudonymisation change tout, et c'est pourquoi le parcours Ressources humaines est celui où nous passons le plus de temps sur ce sujet : les RH manipulent les données les plus protégées de l'entreprise.

Grille pédagogique 8 Academy, construite à partir des recommandations de la CNIL sur le déploiement de l'IA générative (voir sources). Elle ne remplace pas l'avis de votre DPO sur vos traitements réels.

Un exemple par métier pour fixer les idées : le commercial qui prépare un argumentaire à partir du site d'un prospect travaille en vert, et le parcours Commercial en fait un geste quotidien. La comptabilité qui fait rédiger une relance de facture type, sans nom ni montant réel, travaille en orange. La RH qui voudrait faire trier trente CV nominatifs par un chatbot est en rouge, et doit s'arrêter, ou transformer sa demande. C'est aussi le premier réflexe que nous installons sur le traitement de la boîte mail avec l'IA, parce qu'un fil d'e-mails contient presque toujours du rouge.

Règle n°2 · Compte gratuit ou offre professionnelle : ce n'est pas le même contrat

C'est le point que la plupart des PME découvrent en formation, et il est décisif. Les versions grand public gratuites des chatbots peuvent, selon leurs conditions d'utilisation et les réglages par défaut, exploiter vos conversations pour améliorer leurs modèles. Les offres professionnelles (Team, Enterprise, API, Workspace) s'engagent contractuellement à ne pas entraîner leurs modèles sur les contenus de leurs clients professionnels. Ce n'est pas une nuance technique : c'est la différence entre confier un document à un prestataire sous contrat et le laisser sur une table de café.

Il y a un point juridique derrière, et il est plus fort que l'argument commercial. Quand un outil d'IA traite des données personnelles pour votre compte, son éditeur est votre sous-traitant au sens de l'article 28 du RGPD, et il vous faut un acte contractuel qui l'encadre : finalités, mesures de sécurité, sous-traitants ultérieurs, sort des données en fin de contrat, localisation des traitements. Les offres professionnelles fournissent cet accord ; un compte personnel gratuit, non. Sans ce document, ce n'est pas seulement risqué, c'est incomplet au regard du texte.

Concrètement, cela veut dire trois choses. D'abord, l'entreprise choisit et paie les outils de ses équipes : le compte personnel d'un salarié alimenté avec des données de l'entreprise est précisément le shadow AI qu'il faut faire sortir de l'ombre, et nous avons consacré un article entier à pourquoi l'interdire aggrave le problème plutôt que de le résoudre. Ensuite, ce choix se documente : quel éditeur, quelle offre, quelles garanties, où sont hébergées les données. Si vous hésitez entre les grands outils du marché, notre comparatif ChatGPT, Claude ou Copilot, lequel pour quelle équipe détaille les offres professionnelles de chacun, et notre panorama des outils d'IA utiles en PME élargit la vue au-delà des assistants conversationnels.

Enfin, pour les données les plus sensibles, il existe une troisième voie : les solutions hébergées en Europe ou installées chez vous. La CNIL elle-même, dans ses recommandations, oriente vers des systèmes « locaux, sécurisés et spécialisés » pour les traitements les plus délicats. C'est un arbitrage de coût et de qualité autant que de conformité, que nous détaillons dans notre analyse de l'IA souveraine et de ce qu'elle change vraiment pour une PME. Disons-le franchement : dans la grande majorité des PME, cette troisième voie n'est pas justifiée, et un compte professionnel avec accord de sous-traitance couvre déjà le besoin pour une charge d'administration sans comparaison. Elle se défend quand une contrainte nommée l'impose : secret professionnel, données de santé, clause d'un contrat client, travail hors ligne. C'est le tri que nous faisons dans notre article sur l'IA installée sur vos propres serveurs.

Un dernier point, parce qu'il est presque toujours sauté : souscrire une offre professionnelle ne suffit pas, il faut encore la régler. Les garanties contractuelles ne se traduisent pas toutes automatiquement dans l'interface, et un administrateur peut imposer à tout le monde ce qu'un utilisateur pourrait sinon désactiver : conservation des conversations, partages publics, connecteurs vers vos fichiers, mémoire entre sessions. Les douze réglages à faire dans vos comptes avant d'ouvrir l'IA à vos équipes prennent une heure et se font une fois.

Comparatif de principe établi en juillet 2026. Les engagements contractuels des éditeurs évoluent : vérifiez les conditions de l'offre que vous payez au moment où vous la payez, c'est un contrôle de dix minutes.

Règle n°3 · La pseudonymisation, le geste qui débloque presque tout

Voici la bonne nouvelle de cet article : dans la vraie vie d'une PME, l'écrasante majorité des cas « rouges » se transforment en cas « oranges » par un geste simple, retirer ce qui identifie la personne avant de soumettre le texte à l'IA. C'est ce que le RGPD appelle la pseudonymisation.

La réclamation de Mme Martin devient « une cliente se plaint d'un retard de livraison de trois semaines sur une commande de volets ». Le chatbot n'a pas besoin de savoir qui est Mme Martin pour proposer une réponse structurée, ferme et empathique : c'est le contexte du problème qui compte, pas l'identité. Le litige avec un fournisseur devient « le fournisseur conteste la pénalité prévue à l'article 7 du contrat ». La demande RH devient « un salarié en contrat à durée indéterminée depuis quatre ans demande un passage à temps partiel ». Dans chaque cas, la valeur ajoutée de l'IA est intacte, le risque a fortement baissé.

Trois précisions honnêtes, parce que ce geste est souvent survendu.

• La pseudonymisation n'est pas l'anonymisation. Une donnée pseudonymisée reste une donnée personnelle au sens du RGPD : elle ne vous sort pas du champ du règlement, elle réduit le risque. Le registre des traitements reste dû.
• Il faut généraliser aussi le contexte. « Notre seul client à Strasbourg qui commande des volets » identifie la personne aussi sûrement que son nom. Le réflexe complet consiste à flouter le nom et les détails qui permettent de remonter jusqu'à lui.
• Certaines données restent rouges même pseudonymisées. Les données de santé, en particulier : un dossier médical « anonymisé à la main » n'a rien à faire dans un chatbot généraliste. Dans le doute, on s'abstient et on demande au référent.

Un mot d'efficacité, enfin. Le geste devient indolore si l'IA connaît déjà votre contexte d'entreprise : plus besoin de réexpliquer qui vous êtes et ce que vous vendez à chaque prompt, donc moins de tentation de coller le fil d'origine tel quel. C'est tout l'objet de la méthode du second cerveau, trois fichiers texte qui évitent de tout réexpliquer.

Les quatre obligations qu'on oublie

Les trois règles ci-dessus règlent le geste quotidien. Elles ne règlent pas la partie documentaire, et c'est précisément là que les entreprises attentives se font prendre. Quatre points, dans l'ordre de fréquence des oublis.

1 · Le registre des traitements. Dès qu'un outil d'IA traite des données personnelles pour une finalité de l'entreprise (relation client, recrutement, gestion du personnel), ce traitement doit figurer au registre, avec sa finalité, sa base légale, les catégories de données, les destinataires, la durée de conservation et les transferts hors Union européenne. Il ne s'agit pas d'ajouter un registre « IA » : il s'agit de mettre à jour les fiches existantes en mentionnant l'outil.

2 · L'information des personnes. Vos clients, candidats et salariés doivent savoir que leurs données peuvent être traitées avec l'aide d'un outil d'IA, et cette mention doit apparaître dans votre politique de confidentialité, la nôtre est publique, vous pouvez juger sur pièces. Pour les salariés, l'information des représentants du personnel s'ajoute quand un outil touche à l'organisation du travail, et le règlement européen sur l'IA la rend expressément obligatoire, avant mise en service, pour les systèmes à haut risque sur le lieu de travail.

3 · La sous-traitance et les transferts. Vérifiez où sont traitées les données de l'offre que vous payez, et récupérez l'accord de sous-traitance de l'éditeur. Un traitement hors Union européenne n'est pas interdit, il demande un mécanisme d'encadrement. C'est un point de dix minutes qui évite un point d'interrogation dans un audit client.

4 · La violation de données et le délai de 72 heures. Si des données personnelles fuient (par un compte compromis, un partage de conversation mal réglé, un fichier déposé au mauvais endroit) l'entreprise doit notifier la CNIL sous 72 heures dès lors que la violation présente un risque pour les personnes. Ce délai est la raison pour laquelle il ne faut jamais sanctionner un salarié qui signale vite : une équipe qui a peur de parler signale tard, et c'est le retard qui coûte le plus cher. Encore faut-il que quelqu'un sache quoi faire dans l'heure qui suit le signalement : sécuriser une PME qui utilise l'IA quand personne n'y tient le rôle de DSI donne le protocole d'incident, dans l'ordre des gestes.

Ces quatre points ne demandent pas de compétence juridique poussée. Ils demandent qu'une personne en soit responsable, ce qui nous amène directement au rôle du référent IA, sa charge réelle et le profil qui fonctionne en PME.

Ce que l'AI Act ajoute au RGPD

Le RGPD encadre les données ; le règlement européen sur l'IA, l'AI Act, règlement (UE) 2024/1689, encadre les usages. Les deux se cumulent, ils ne se remplacent pas. Pour une PME qui utilise des outils du marché, trois points concentrent l'essentiel.

L'obligation de maîtrise de l'IA, article 4. Depuis le 2 février 2025, les entreprises qui utilisent des systèmes d'IA doivent prendre des mesures en faveur d'un niveau suffisant de maîtrise de l'IA chez leur personnel, en tenant compte du contexte et des usages, et sans seuil de taille : les PME sont incluses. Les autorités nationales de surveillance du marché peuvent en contrôler l'application à partir du 2 août 2026. Nous avons décortiqué le texte, les définitions et les sanctions réelles dans notre article sur ce que l'AI Act exige vraiment en matière de formation, y compris l'allègement apporté à cet article par le règlement (UE) 2026/1744 de juillet 2026.

Le recrutement et l'évaluation sont des usages à haut risque. Utiliser l'IA pour trier des candidatures, évaluer des candidats ou noter des salariés fait basculer dans la catégorie des systèmes à haut risque du règlement : supervision humaine confiée à des personnes ayant la compétence et l'autorité nécessaires, information préalable des salariés et de leurs représentants, critères explicites. Cela ne veut pas dire « interdit », cela veut dire « jamais en pilote automatique ». Si le sujet est ouvert chez vous, lisez d'abord ce que l'IA peut et ne peut pas faire dans un processus de recrutement. Et sachez que l'emploi n'est qu'un des huit domaines listés par l'annexe III du règlement : la question « suis-je concerné ? » se tranche usage par usage, avec deux distinctions qui font tout le travail, celle entre préparer une décision et la prendre, celle entre fournisseur et déployeur, ce dernier ne portant que six obligations et non la conformité complète de l'outil. Notre autodiagnostic annexe III fait passer vos usages en revue dans cet ordre.

La transparence, elle, n'a pas été reportée. L'article 50 du règlement s'applique au 2 août 2026 : une personne qui interagit avec un système d'IA doit en être informée, et un contenu généré artificiellement doit pouvoir être identifié comme tel. Pour une PME, cela concerne surtout deux dispositifs très concrets : le robot conversationnel du site, et le répondeur intelligent. Si vous envisagez le second, ce que tient réellement un agent vocal IA au téléphone, et ce que la loi lui impose d'annoncer vaut d'être lu avant la souscription, pas après le premier appel mécontent.

Les échéances ne sont pas celles qu'on croit. Le règlement (UE) 2026/1744, publié au Journal officiel de l'Union européenne le 24 juillet 2026, a reporté l'application du régime des systèmes à haut risque (au 2 décembre 2027 pour l'annexe III), mais pas l'obligation de maîtrise de l'IA, qui court depuis février 2025. C'est le contresens le plus répandu de l'été 2026, et il conduit des dirigeants à croire qu'ils ont deux ans de plus alors qu'ils sont déjà concernés ; nous avons repris le calendrier échéance par échéance dans un article dédié. Le vocabulaire de tout cela est volontairement opaque ; notre lexique traduit en langage courant les termes qui reviennent, de « déployeur » à « haut risque ».

Ce que la CNIL sanctionne réellement

Beaucoup de contenus sur ce sujet agitent le montant maximal des amendes RGPD. Regardons plutôt les décisions réelles, qui racontent une histoire différente et plus utile. En 2025, la CNIL a prononcé 83 sanctions pour 486,8 millions d'euros d'amendes, auxquelles s'ajoutent 143 mises en demeure. Le montant a été multiplié par près de neuf en un an (il était de 55,2 millions d'euros en 2024), mais le nombre de sanctions est resté stable (87 en 2024). Autrement dit, ce n'est pas le volume des sanctions qui a explosé, ce sont deux décisions très lourdes sur les cookies, à 325 et 150 millions d'euros, qui concernent de très grands acteurs.

Regardons les motifs plutôt que les montants, car c'est là que se trouve l'information utile. Sur 2025, la CNIL a sanctionné 21 organismes sur les traceurs, 16 sur la vidéosurveillance des salariés, 14 sur une sécurité des données insuffisante (mots de passe trop faibles, comptes partagés), 14 pour absence de réponse à ses demandes, et 14 pour non-respect des droits d'accès, d'opposition ou d'effacement. Traduisons pour un dirigeant : ce qui se sanctionne en pratique, ce sont des défauts d'hygiène, la surveillance excessive des équipes et la négligence sur les accès. Un déploiement d'IA sans comptes nominatifs, sans cadre écrit et sans information des salariés cumule précisément ces deux familles.

Autorité de sanction, la CNIL est d'abord une autorité de conseil, et ses ressources sont gratuites. Elle a publié des fiches pratiques sur l'IA puis des recommandations dédiées au déploiement de l'IA générative dont la ligne directrice est simple : partir d'un besoin concret, établir la liste des usages autorisés et interdits, informer les équipes sur les limites des outils, former les utilisateurs, impliquer le délégué à la protection des données, et privilégier des systèmes locaux et spécialisés pour les données les plus sensibles. Rédigées pour être lisibles par des non-juristes, ce sont les premières pages à mettre entre les mains de votre référent. Pour le volet sécurité (mots de passe, hameçonnage, fuites) le réflexe équivalent est cyber.gouv.fr, le site de l'agence nationale de la sécurité des systèmes d'information.

La réponse opérationnelle : une politique IA d'une page

Tout ce qui précède se condense en un document. Pas vingt pages de politique de sécurité que personne n'ouvre : une page affichée, présentée en réunion et signée par chacun.

Les six erreurs que nous voyons le plus

Elles reviennent presque à l'identique d'une entreprise à l'autre.

Erreurs constatées en diagnostic, confrontées aux recommandations de la CNIL sur le déploiement de l'IA générative.

Deux de ces erreurs méritent un article à elles seules, et elles en ont un : l'interdiction et le shadow AI qu'elle nourrit, et le panorama plus large des erreurs de déploiement de l'IA en PME. Une troisième, plus insidieuse, tient à ce que les données confidentielles n'ont pas de gendarme : personne ne vous sanctionnera d'avoir laissé fuir votre méthode de chiffrage, et c'est pourtant ce qui vous coûtera le plus cher.

Ce que cet article n'est pas

Un mot important. Les trois règles ci-dessus constituent un cadre de bon sens, celui que nous enseignons et appliquons, pas un avis juridique. Chaque entreprise a ses spécificités : secteur réglementé, sous-traitance en cascade, transferts hors Union européenne, conventions collectives, exigences de clients grands comptes. Avant de figer votre politique IA, faites-la relire par votre juriste, votre avocat ou votre délégué à la protection des données si vous en avez un : c'est une relecture d'une page, pas un chantier, et c'est lui qui a le dernier mot sur votre situation particulière. La même prudence vaut pour tout ce qui engage l'entreprise par écrit, ce que nous détaillons dans ce que l'IA prépare en matière juridique, et ce que seul un professionnel du droit valide.

Et il faut ajouter une réserve sur les outils eux-mêmes : les engagements contractuels des éditeurs et leurs politiques de conservation changent, parfois de trimestre en trimestre. Une phrase de cet article sur ce que fait tel éditeur de vos données serait périmée avant votre prochain audit. Le réflexe durable n'est pas de mémoriser un état du marché, c'est de savoir quelle clause chercher dans les conditions de l'offre que vous payez. Pour ne pas repartir de zéro chaque fois, nous tenons à jour un comparateur des outils d'IA pour PME sur les quatre points qui décident vraiment : pays de l'éditeur, lieu d'hébergement, entraînement sur vos contenus, prix par poste. C'est la page à rouvrir au moment de renouveler un abonnement, pas au moment de le choisir pour la première fois.

Car c'est la vraie conclusion : la conformité ne se joue pas dans le document, elle se joue dans les gestes quotidiens de la personne qui s'apprête à coller un texte dans un chatbot. Vert, orange ou rouge ? Offre professionnelle ? Nom retiré, contexte généralisé ? Trois questions, deux secondes, et votre PME utilise l'IA l'esprit tranquille.

Pour situer votre point de départ avant tout échange, le test de maturité IA en dix questions prend cinq minutes, et la page de la formation IA pour PME détaille le socle commun et les déclinaisons par métier. Si vous préférez la vue d'ensemble, tout part de notre guide complet de l'IA en PME, et le budget se chiffre avec notre estimation de ce que coûte réellement l'IA dans une PME.

Questions fréquentes