Oui, à condition de maîtriser les données que vos équipes y saisissent. Une donnée personnelle confiée à une IA reste soumise au RGPD, et votre entreprise en reste responsable. Choisissez une offre professionnelle avec un contrat de sous-traitance, interdisez les données personnelles inutiles, et formalisez les règles dans une charte.
Ce que dit le RGPD, appliqué à l'IA
Le règlement général sur la protection des données (règlement (UE) 2016/679) ne parle pas d'IA, mais il s'applique dès qu'une donnée personnelle est traitée. Un nom de client dans un mail à résumer, un CV à analyser ou un compte rendu d'entretien annuel sont des données personnelles.
- Vous restez responsable du traitement. L'éditeur de l'outil d'IA agit en principe comme sous-traitant, à condition qu'un contrat le prévoie (article 28).
- Seules les données nécessaires peuvent être utilisées (principe de minimisation, article 5).
- Les transferts hors de l'Union européenne doivent être encadrés (articles 44 et suivants) : vérifiez où les données sont traitées.
- Le registre des traitements doit mentionner ces usages (article 30).
- Pour un usage à risque élevé, par exemple sur les salariés, une analyse d'impact peut être obligatoire (article 35).
Les sanctions peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial (article 83). Pour une PME, le risque le plus courant reste la fuite d'informations confidentielles, et la perte de confiance qui suit.
Les règles pratiques pour une PME
- Choisissez une offre professionnelle plutôt que des comptes gratuits personnels. Vérifiez dans le contrat que vos données ne servent pas à entraîner les modèles, où elles sont hébergées, et qu'un accord de sous-traitance est prévu.
- Fixez la liste des données interdites : données de santé, numéros d'identification, coordonnées bancaires, informations RH sur un salarié nommé, secrets d'affaires.
- Anonymisez avant de coller : « le client A », « un salarié de l'atelier ». L'IA n'a presque jamais besoin des noms.
- Gardez une relecture humaine avant tout envoi ou toute décision.
- Écrivez une charte d'une page et formez vos équipes. Elle répond aussi à l'obligation de l'AI Act de prendre des mesures pour développer la maîtrise de l'IA.
- Inscrivez les usages au registre des traitements.
La CNIL publie des ressources régulièrement mises à jour sur l'intelligence artificielle : cnil.fr.
Cette page présente des principes généraux et ne remplace pas un conseil juridique adapté à votre situation.
Une journée pour poser votre charte d'usage, former vos équipes aux bons réflexes et repérer les usages rentables, en toute sécurité.