Outils d'IA conformes au RGPD : la vérification pratique
Trois éléments vérifiables, quatre questions à poser à l'éditeur et une liste en sept étapes : déployer l'IA sans hériter d'un risque juridique.
Un outil d'IA conforme au RGPD se reconnaît à trois éléments vérifiables : un contrat de sous-traitance signé, un traitement dans l'UE et un engagement écrit que vos saisies ne serviront pas à entraîner les modèles d'un tiers. Un logo de certification sur le site d'un éditeur ne prouve rien. Clarifiez ces trois points avant le déploiement et la discussion avec l'autorité de contrôle n'aura jamais lieu.
L'essentiel en bref
- Aucun outil n'est conforme en tant que produit : seule l'est la combinaison outil, type de données et finalité.
- Sans contrat de sous-traitance au sens de l'art. 28 du RGPD, chaque saisie de données personnelles est un transfert sans base.
- Depuis le 2 février 2025, le règlement sur l'IA impose à tout déployeur un niveau minimal de maîtrise de l'IA dans l'équipe, outils courants compris.
- La localisation du serveur ne décide de rien si l'éditeur accède au contenu lors du support ou de l'entraînement.
- Un registre de deux pages des outils utilisés sert davantage, en pratique, que n'importe quel avis juridique externe.
Qu'est-ce qui rend un outil d'IA conforme au RGPD ?
Ce n'est jamais l'outil qui est conforme, mais l'usage précis. Le même modèle de texte peut être anodin pour rédiger un article et inadmissible pour évaluer des candidatures. La question n'est donc jamais « cet outil est-il autorisé ? » mais « quelles données j'y mets, dans quel but, et qui les voit ensuite ? ».
Quatre points de contrôle en découlent, et l'éditeur peut les documenter. Un : existe-t-il un contrat de sous-traitance signable, et nomme-t-il les sous-traitants ultérieurs ? Deux : où les données sont-elles traitées, et que se passe-t-il lors d'une demande d'assistance – quelqu'un hors UE accède-t-il à vos contenus ? Trois : vos saisies servent-elles à l'entraînement, et cela peut-il être exclu par contrat plutôt que par un interrupteur dans le compte ? Quatre : combien de temps les invites et les sorties sont-elles conservées, et pouvez-vous exiger leur effacement ?
Ces points sont volontairement sobres, car ils se prouvent. Un éditeur qui y répond fournit des documents : un contrat, une liste de centres de données, une durée de conservation. Celui qui renvoie à des promesses de sécurité n'a pas répondu. L'écart se voit à peine en rendez-vous commercial et saute aux yeux lors d'un contrôle.
Les réponses arrivent en général en quelques jours. Si l'une reste ouverte, c'est déjà le résultat : l'outil ne convient pas aux données personnelles. Il peut rester utile pour des contenus anonymisés ou purement internes. Les catégories qui valent la peine pour une petite structure sont détaillées dans notre panorama des outils d'IA vraiment rentables pour les petites entreprises.
Quelles obligations le règlement sur l'IA impose-t-il aux entreprises utilisatrices ?
La plupart des PME ne sont pas fournisseurs mais déployeurs, et pour un déployeur la liste est courte. Vous devez savoir à quoi sert le système, écarter les usages interdits, faire contrôler les résultats par des personnes et veiller à ce que vos équipes comprennent l'essentiel du système. Cette obligation de compétence, issue de l'article 4 du règlement (UE) 2024/1689 sur l'IA, s'applique depuis le 2 février 2025.
| Votre rôle | Ce qui en découle | Depuis quand |
|---|---|---|
| Déployeur : vous utilisez le système d'un tiers | Maîtrise de l'IA dans l'équipe, finalité claire, contrôle humain des résultats | depuis le 2 février 2025 |
| Pratiques interdites, comme la reconnaissance d'émotions au travail | Usage prohibé, quelle que soit la taille de l'entreprise | depuis le 2 février 2025 |
| Usage à haut risque, comme la présélection de candidatures | Documentation supplémentaire ; surveillance et sanctions pleinement applicables | à partir du 2 août 2026 |
| Fournisseur : vous mettez votre propre système sur le marché | Obligations complètes de risque, documentation et conformité | par étapes |
Cette obligation est souvent surestimée, donc reportée. Il ne s'agit pas de savoir programmer, mais de comprendre comment un système arrive à ses résultats, où il est fiable et où il ne l'est pas. Une séance d'une heure, une page de règles d'usage quotidien et un interlocuteur désigné suffisent dans une entreprise de quinze personnes. Notez la date et les participants : l'obligation devient alors démontrable.
La distinction avec le RGPD compte : le règlement sur l'IA encadre le produit et son risque, le RGPD encadre les données personnelles. Les deux s'appliquent en parallèle. Un outil peut être sans enjeu au regard du règlement sur l'IA et rester inadmissible au regard du RGPD – le cas le plus fréquent en pratique.
Pourquoi la sous-traitance est-elle le point critique avec les outils d'IA ?
Parce que c'est là que presque tous les contrôles échouent. Dès que vous saisissez des données personnelles dans un système tiers, l'éditeur les traite pour votre compte, et l'article 28 du règlement général sur la protection des données exige alors un contrat au contenu défini. Sans lui, le traitement est dépourvu de base, même si rien n'a techniquement dérapé.
La sous-traitance via des outils d'IA diffère du logiciel classique sur trois points. L'éditeur recourt souvent à d'autres prestataires pour la puissance de calcul, qui doivent figurer au contrat. Les saisies ne sont pas structurées : personne ne sait à l'avance quelles données entrent réellement. Et le traitement n'est pas reproductible, ce qui rend les demandes d'accès et d'effacement techniquement lourdes.
Le contrat se vérifie vite quand on sait quoi chercher. Il doit indiquer l'objet et la durée du traitement, le type de données et les personnes concernées, les mesures techniques et organisationnelles, les règles pour les autres prestataires et l'obligation d'effacer ou de restituer à la fin. S'il manque un point, le contrat est incomplet et la responsabilité reste chez vous.
En pratique : réglez la question contractuelle avant que la première équipe n'utilise l'outil en production. Un compte gratuit ouvert un vendredi après-midi est le même fait juridique qu'un achat d'entreprise, sans le contrat. C'est ainsi que naissent les dossiers que personne ne peut reconstituer. Si vous refondez vos processus, découpez les flux de données proprement dès le départ : c'est le cœur de toute automatisation par l'IA qui tient dans la durée.
À quoi ressemble une liste de contrôle protection des données au quotidien ?
Elle tient en sept étapes et se traite en une demi-journée par outil. L'ordre compte : la finalité d'abord, le produit ensuite.
- Écrivez la finalité en une phrase : quelle tâche récurrente l'outil doit-il reprendre ?
- Nommez les types de données : la saisie contient-elle des noms, des données clients, de santé ou de candidature ?
- Demandez le contrat de sous-traitance et vérifiez la liste des sous-traitants ultérieurs.
- Excluez l'usage pour l'entraînement par contrat, pas seulement par un réglage du compte.
- Complétez le registre : outil, finalité, types de données, base légale, durée de conservation.
- Formez l'équipe : ce qui peut entrer, ce qui ne peut pas, et qui valide le résultat avant usage.
- Fixez les accès et les durées de conservation, et posez une date de revue dans l'agenda.
La cinquième étape est celle que l'on saute le plus souvent, et la première sur laquelle une autorité de contrôle interroge. Le registre des traitements n'est pas une formalité : c'est le seul endroit où l'on retrouve quel outil travaille avec quelles données. Un tableau de cinq colonnes suffit, monté en une heure.
Pour l'appréciation de fond, la conférence allemande des autorités indépendantes de protection des données a publié un guide sur l'intelligence artificielle et la protection des données, à poser comme grille à côté de cette liste. Pour démarrer, la liste suffit : elle force une décision par outil et rend visibles les outils réellement utilisés.
Quelles erreurs coûtent le plus de temps aux petites entreprises ?
L'erreur la plus coûteuse est le débat de principe. On commande un avis sur « l'IA dans l'entreprise » alors que cinq outils tournent déjà sans contrat. L'ordre inverse est le bon : recenser d'abord ce qui est utilisé, décider ensuite outil par outil.
La deuxième erreur est de se fier à la localisation du serveur. « Hébergé à Francfort » ne dit rien sur qui consulte les données lors d'une assistance, ni sur les sous-traitants mobilisés pour le calcul. Cela figure au contrat, pas dans la fiche produit.
La troisième erreur porte sur la sortie, non sur l'entrée. Un modèle peut produire une réponse plausible mais fausse ; si elle parvient aux clients sans contrôle, le dommage commercial est réel, indépendamment du RGPD. Chaque usage en production a donc besoin d'une personne désignée qui valide. Notre article sur les chatbots IA dans le service client montre à quoi cela ressemble côté client. Pour la sécurité technique, l'office fédéral allemand de la sécurité informatique réunit des recommandations pour un usage sûr de l'IA.
Un quatrième point vient de nos propres données de projet 2025 et 2026 : les entreprises choisissent trop tôt un outil unique et trop tard des règles claires. Deux ou trois cas d'usage bien délimités portent plus loin qu'un déploiement large que personne n'utilise après quatre semaines.
Questions fréquentes sur les outils d'IA conformes au RGPD
Faut-il un contrat de sous-traitance pour chaque outil d'IA ?
Uniquement lorsque des données personnelles y entrent. Pour un outil qui ne traite que du contenu anonyme, il n'est pas requis, mais consignez cette limite par écrit : en pratique, elle s'efface vite.
Suffit-il de désactiver l'entraînement dans les réglages ?
Non. Un réglage de compte peut changer à la mise à jour suivante et ne vaut pas preuve en cas de litige. Demandez l'engagement dans le contrat ou dans les conditions de sous-traitance.
Le règlement sur l'IA vaut-il aussi pour une entreprise de dix personnes ?
Oui. Les obligations tiennent au rôle et au risque de l'application, pas à la taille. Pour une petite structure : assurer la compétence dans l'équipe, écarter les usages interdits, contrôler les résultats.
Que faire si un outil est déjà utilisé sans aucun contrôle ?
Recenser, évaluer, décider – dans cet ordre et sans chercher de coupable. Éteindre un outil est sans risque ; laisser tourner un outil que personne ne connaît ne l'est pas.
Déployer des outils d'IA conformes au RGPD — mit ZeuZ IT
Nous suivons l'ordre décrit plus haut : inventaire des outils utilisés, évaluation par finalité, revue contractuelle, et seulement ensuite le raccordement technique à vos processus. Nous disons ouvertement quand un projet ne justifie pas l'effort : un outil qui fait gagner deux heures par mois et en coûte quatre en contrôle, nous ne le recommandons pas.
Nous travaillons à prix fixe, de sorte que le coût est arrêté avant le démarrage. Indiquez-nous lors d'un premier échange court la tâche précise où vous voulez utiliser l'IA : nous répondons par une évaluation en matière de protection des données et un prix fixe pour le déploiement.