IA et RGPD en PME : obligations, AI Act et bonnes pratiques
Dès qu'un outil d'intelligence artificielle traite des données personnelles (noms, e-mails, échanges clients, CV, données de salariés), le RGPD s'applique : finalité définie, base légale, minimisation des données, information des personnes, sécurité, contrat avec chaque sous-traitant, et parfois analyse d'impact. Depuis 2024, le règlement européen sur l'IA (AI Act) s'y ajoute avec une logique par niveau de risque : certaines pratiques sont interdites, les obligations de transparence s'appliquent depuis le 2 août 2026, et celles des systèmes à haut risque, comme ceux utilisés pour le recrutement, ont été reportées au 2 décembre 2027. Pour une PME, la conformité se construit dès la conception du projet, pas après sa mise en service.
Pourquoi le RGPD s'applique-t-il à un projet IA ?
Le RGPD encadre tout traitement de données personnelles, quelle que soit la technologie utilisée. Un agent IA qui lit les e-mails de vos clients, un outil qui résume des comptes rendus d'entretien, un assistant qui rédige des relances à partir de votre CRM : chacun traite des données personnelles, souvent en les transmettant à un fournisseur de modèle d'IA.
La CNIL a publié une page de synthèse, IA : comment être en conformité avec le RGPD ?, qui rappelle comment les principes du règlement s'appliquent aux systèmes d'IA : définir une finalité, choisir une base légale, minimiser et documenter les données, limiter leur conservation, permettre l'exercice des droits et prévoir une intervention humaine en cas de décision automatisée. Elle renvoie vers des fiches pratiques sur chacun de ces points.
Quelles obligations du RGPD pour un projet IA en PME ?
| Obligation | Article du RGPD | Ce que cela veut dire pour un projet IA |
|---|---|---|
| Finalité et principes | Article 5 | Écrire à quoi sert l'outil ; ne pas réutiliser les données pour un autre usage sans analyse |
| Base légale | Article 6 | Contrat, intérêt légitime, consentement, obligation légale… à choisir et à documenter avant de commencer |
| Données sensibles | Article 9 | Santé, opinions, origine : régime d'interdiction avec exceptions, à éviter dans un outil courant |
| Information des personnes | Articles 13 et 14 | Mettre à jour vos mentions d'information pour couvrir le nouvel usage |
| Droits des personnes | Articles 15 à 21 | Pouvoir retrouver, rectifier, supprimer ou exporter les données d'une personne, y compris dans l'outil IA |
| Décision automatisée | Article 22 | Une décision produisant des effets juridiques ou significatifs ne doit pas reposer uniquement sur l'IA, sauf exceptions encadrées |
| Protection dès la conception | Article 25 | Intégrer minimisation, accès restreints et durées de conservation dans la conception de l'outil |
| Sous-traitants | Article 28 | Un contrat avec chaque prestataire qui traite les données pour vous, fournisseur de modèle compris |
| Registre des traitements | Article 30 | Inscrire le traitement : finalité, catégories de données, destinataires, durées, mesures de sécurité |
| Sécurité | Article 32 | Chiffrement, contrôle des accès, sauvegardes, journalisation |
| Violations de données | Articles 33 et 34 | Notifier la CNIL dans les 72 heures après en avoir pris connaissance, et les personnes si le risque est élevé |
| Analyse d'impact | Article 35 | Obligatoire quand le traitement présente un risque élevé pour les droits des personnes |
Trois points méritent une attention particulière dans une PME.
Le registre, même dans une petite structure
L'article 30 prévoit une exemption pour les organisations de moins de 250 personnes, mais elle est étroite : elle ne s'applique pas si le traitement n'est pas occasionnel, s'il comporte un risque pour les personnes ou s'il porte sur des données sensibles. Un outil IA utilisé tous les jours sur vos données clients n'est pas occasionnel. Tenez le registre.
Les sous-traitants, maillon souvent oublié
Quand vous envoyez des données à un service d'IA, ce fournisseur agit le plus souvent comme sous-traitant. Il vous faut un contrat conforme à l'article 28, une connaissance de l'endroit où les données sont traitées, et des garanties si elles quittent l'Union européenne (décision d'adéquation ou clauses contractuelles types, au titre du chapitre V du règlement). Vérifiez aussi si le fournisseur réutilise vos données pour entraîner ses modèles, et si vous pouvez le refuser.
L'analyse d'impact, quand le risque est élevé
La CNIL détaille sur sa page consacrée à l'analyse d'impact relative à la protection des données (AIPD) les cas où elle est requise. Un outil qui évalue des personnes, croise de nombreuses sources ou traite des données de salariés à grande échelle doit faire l'objet de cette analyse avant sa mise en service.
Les sanctions prévues par l'article 83 du RGPD peuvent atteindre 20 millions d'euros ou, pour une entreprise, une fraction de son chiffre d'affaires annuel mondial si ce montant est plus élevé. La CNIL peut aussi ordonner la suspension d'un traitement, ce qui, pour un outil devenu central, revient à arrêter un processus.
Ce que l'AI Act change pour une PME
Le règlement européen sur l'intelligence artificielle, dit AI Act (règlement (UE) 2024/1689), ne remplace pas le RGPD. Il s'y ajoute, avec une logique par niveau de risque. Il distingue les fournisseurs, qui développent ou mettent sur le marché un système d'IA, et les déployeurs, qui l'utilisent dans le cadre de leur activité. La plupart des PME sont des déployeurs.
Un calendrier modifié en 2026
Le règlement (UE) 2026/1744, dit omnibus numérique sur l'IA, publié au Journal officiel de l'Union le 24 juillet 2026, a modifié plusieurs échéances. Le calendrier qui en résulte :
| Échéance | Ce qui s'applique |
|---|---|
| 2 février 2025 | Interdiction de certaines pratiques (manipulation, notation sociale, certaines reconnaissances d'émotions au travail, entre autres) et obligation relative à la maîtrise de l'IA |
| 2 août 2026 | Application générale du règlement, dont les obligations de transparence de l'article 50 (les fournisseurs de systèmes génératifs mis sur le marché avant cette date ont jusqu'au 2 décembre 2026 pour le marquage des contenus) |
| 2 décembre 2027 | Obligations des systèmes à haut risque listés à l'annexe III (recrutement, gestion des salariés, accès au crédit, entre autres) |
| 2 août 2028 | Obligations des systèmes à haut risque intégrés à des produits déjà réglementés (annexe I) |
Le règlement de 2026 a aussi réécrit l'article 4 sur la maîtrise de l'IA : fournisseurs et déployeurs doivent prendre des mesures pour soutenir la maîtrise de l'IA des personnes qui utilisent ces systèmes. Concrètement, former et informer les équipes qui se servent des outils reste attendu. Pour replacer ces échéances parmi les autres évolutions attendues, voyez notre article sur l'IA en PME en 2026-2027.
Ce qui concerne directement une PME
- La transparence. Une personne qui échange avec un chatbot ou un agent doit savoir qu'elle parle à une IA, sauf si c'est évident. Les contenus truqués (images, sons, vidéos) générés par IA doivent être signalés comme tels.
- Le haut risque, si vous l'utilisez. Un outil de tri de candidatures ou d'évaluation des salariés relève de l'annexe III. Le déployeur doit notamment assurer une surveillance humaine, conserver les journaux et informer les salariés concernés. L'échéance a été repoussée, pas supprimée : mieux vaut concevoir ces usages dès maintenant avec ces exigences.
- Le reste, sans obligation spécifique. Un agent qui relance des factures ou classe des e-mails n'est pas à haut risque au sens de l'AI Act. Le RGPD, lui, continue de s'appliquer pleinement.
Pour la majorité des usages d'une PME (relances, tri d'e-mails, préparation de documents, CRM), l'AI Act demande surtout de la transparence et de la formation. Le gros des obligations vient du RGPD, qui s'applique déjà.
Comment mener un projet IA conforme, étape par étape
- Cartographier les données. Quelles données l'outil lira-t-il, d'où viennent-elles, qui y a accès aujourd'hui, combien de temps sont-elles conservées ? Notre guide pour préparer ses données avant un projet IA détaille cet inventaire.
- Écrire la finalité et choisir la base légale. Une phrase précise (« préparer les relances des factures échues ») et une base documentée, souvent le contrat ou l'intérêt légitime pour un usage commercial courant.
- Minimiser. L'agent de relance n'a besoin ni de l'historique complet des achats ni des notes internes sur le client. Limitez les champs transmis, remplacez les noms par des identifiants quand le traitement le permet.
- Choisir les fournisseurs en connaissance de cause. Lieu d'hébergement, contrat de sous-traitance, réutilisation des données pour l'entraînement, durée de conservation des requêtes.
- Restreindre les accès de l'outil. Un compte dédié, des droits limités au strict nécessaire, une lecture seule quand l'écriture n'est pas utile.
- Garder un humain dans la boucle. Toute décision qui affecte une personne de façon importante est validée par quelqu'un. Les envois externes passent par une validation au début.
- Tracer. Chaque action de l'outil laisse une trace : ce qu'il a lu, ce qu'il a produit, qui a validé. C'est aussi ce qui permet de répondre à une demande d'accès.
- Mettre à jour la documentation. Registre, mentions d'information, et analyse d'impact si le risque est élevé.
- Prévoir la suppression. Une demande d'effacement doit pouvoir être appliquée dans l'outil IA comme dans le reste du système.
- Former les utilisateurs. Ce que l'outil fait, ce qu'il ne faut pas lui confier, comment signaler une erreur.
Une règle simple pour les équipes : ne jamais coller dans un assistant IA grand public des données de clients, de salariés ou des documents confidentiels. Fournissez plutôt un outil validé, dont le contrat et l'hébergement sont connus.
Quelques cas concrets, pour fixer les idées
| Cas d'usage | Points RGPD à traiter | AI Act |
|---|---|---|
| Agent de relance des factures | Base légale (contrat), minimisation des champs, contrat avec le fournisseur du modèle, traçabilité des envois | Pas de haut risque ; transparence si l'agent échange directement avec les clients |
| Chatbot sur le site | Information des visiteurs, durée de conservation des conversations, droits d'accès et d'effacement | Indiquer qu'il s'agit d'une IA |
| Tri de candidatures | Information des candidats, pas de décision uniquement automatisée, analyse d'impact probable, critères documentés | Haut risque (annexe III), obligations au 2 décembre 2027 |
| Résumé de réunions clients | Information des participants, conservation limitée, accès restreint aux comptes rendus | Pas de haut risque |
| Analyse prédictive des ventes | Pseudonymisation des données, environnement isolé, durée de conservation justifiée | Pas de haut risque, sauf usage pour évaluer des personnes |
Quel rôle pour l'ingénieur qui déploie l'IA ?
Un ingénieur qui travaille au contact de vos équipes, comme un Forward Deployed Engineer, est bien placé pour appliquer ces principes, parce qu'il voit les flux de données réels : quel tableur circule par e-mail, quelle boîte partagée contient des pièces d'identité, quel champ du CRM sert de bloc-notes. Il traduit les obligations en choix techniques : comptes dédiés, champs filtrés, journaux d'actions, hébergement choisi, fonctions de suppression.
Il ne remplace pas pour autant le délégué à la protection des données (DPO), quand vous en avez un, ni la décision de la direction sur la base légale et les finalités. La conformité reste une responsabilité de l'entreprise, que l'ingénieur rend applicable. Pour une vue d'ensemble de la démarche, voyez aussi notre guide pour intégrer l'intelligence artificielle sans data scientist.
Le RGPD interdit-il d'utiliser l'IA avec des données clients ?
Non. Il impose un cadre : une finalité précise, une base légale, des données limitées au nécessaire, une information des personnes, de la sécurité et un contrat avec les prestataires. Un projet IA conçu avec ces règles dès le départ est tout à fait possible.
Faut-il le consentement des clients pour utiliser l'IA sur leurs données ?
Pas nécessairement. Le consentement est une base légale parmi d'autres ; l'exécution d'un contrat ou l'intérêt légitime conviennent souvent à un usage commercial courant, à condition d'être documentés et d'informer les personnes. Le choix dépend de la finalité et doit être fait avant de commencer.
L'AI Act s'applique-t-il aux petites entreprises ?
Oui, dès qu'elles développent ou utilisent un système d'IA, sans seuil de taille. Pour la plupart des usages d'une PME, ses exigences se limitent à la transparence et à la formation des équipes. Les obligations lourdes visent les systèmes à haut risque, comme ceux qui servent au recrutement.
Quand faut-il réaliser une analyse d'impact (AIPD) ?
Quand le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, par exemple l'évaluation de personnes, le croisement de nombreuses sources ou le traitement à grande échelle de données sensibles. La CNIL publie les listes de traitements pour lesquels elle est requise ou non.
Peut-on utiliser un modèle d'IA hébergé hors de l'Union européenne ?
C'est possible si le transfert est encadré : décision d'adéquation pour le pays concerné ou clauses contractuelles types, et contrat de sous-traitance conforme. Vérifiez aussi la durée de conservation des données par le fournisseur et leur éventuelle réutilisation pour l'entraînement.
La conformité comme critère de conception
Un projet IA conforme ne coûte pas beaucoup plus cher qu'un projet qui ne l'est pas, à condition d'y penser au moment de la conception : données minimales, accès restreints, fournisseurs connus, validation humaine, traces et documentation. Le RGPD fixe l'essentiel des règles, l'AI Act ajoute la transparence et, pour quelques usages, des obligations renforcées dont le calendrier a été décalé en 2026. Chez Tellao, nos agents IA sont conçus avec ces contraintes dès le départ, et c'est votre équipe qui valide ce qui part. Pour faire le point sur un projet en cours ou à venir, demandez un audit gratuit de vos processus.
