IA générative et RGPD : cinq règles, et une formation, avant de laisser vos équipes utiliser un assistant

La question n'est plus de savoir si vos collaborateurs utilisent un assistant d'IA générative, mais dans quelles conditions. Une clause de contrat collée dans un outil grand public, un dossier client résumé par un assistant en ligne : ces gestes peuvent constituer un traitement de données personnelles mal encadré, voire une violation du secret professionnel ou d'une obligation de confidentialité. La CNIL recommande de partir d'un besoin concret, de définir les usages autorisés et interdits selon les risques, et de mettre en place une gouvernance adaptée.

IA générative et RGPD : l'essentiel

• Choisir les outils après avoir examiné le rôle du fournisseur, la réutilisation des données, la conservation, la sécurité et les transferts.
• Interdire la saisie de certaines données tant qu'un usage précis et ses garanties n'ont pas été validés.
• Mettre à jour le registre, la base légale et l'information des personnes lorsque c'est nécessaire.
• Encadrer les décisions automatisées et maintenir un contrôle humain effectif.
• Prendre des mesures adaptées pour développer la maîtrise de l'IA du personnel, au titre de l'article 4 de l'AI Act.

1. Distinguer les outils autorisés des autres

Un contrat professionnel ne suffit pas, à lui seul, à rendre un usage conforme. Avant d'autoriser un outil, examinez le rôle du fournisseur (sous-traitant ou responsable de traitement, selon les finalités), la réutilisation éventuelle des contenus, notamment pour l'entraînement, la durée de conservation, les sous-traitants ultérieurs, la sécurité et les contrôles d'accès, ainsi que les éventuels transferts hors de l'Union européenne. Lorsque le fournisseur agit comme sous-traitant, un contrat conforme à l'article 28 du RGPD est nécessaire. La charte d'usage nomme ensuite les outils autorisés pour les données professionnelles et les usages interdits.

2. Définir ce qui ne doit pas être saisi sans validation

Certaines informations appellent une interdiction de saisie tant qu'un usage précis et ses garanties n'ont pas été validés : données de santé et autres catégories particulières de données (article 9 du RGPD), données relatives aux condamnations et aux infractions (article 10), informations couvertes par le secret professionnel, informations soumises à une obligation contractuelle de confidentialité, éléments permettant d'identifier un client. Le traitement de ces données n'est pas interdit par principe : il obéit à des conditions plus strictes, à vérifier au cas par cas.

Retirer les noms ne suffit pas toujours. Des données pseudonymisées restent des données personnelles, car un recoupement peut permettre de réidentifier la personne, et le secret professionnel peut continuer de s'appliquer. Seule une véritable anonymisation fait sortir les données du champ du RGPD.

3. Documenter la base légale et informer

L'usage d'un assistant pour traiter des données de clients ou de salariés est un traitement, ou une nouvelle modalité d'un traitement existant. Lorsque c'est nécessaire, mettez à jour le registre des traitements, vérifiez la base légale et complétez l'information des personnes concernées. Une analyse d'impact est obligatoire lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, notamment dans les cas prévus par le RGPD et les listes publiées par la CNIL. Le caractère sensible des données ou la grande échelle sont des critères à apprécier parmi d'autres ; leur combinaison conduit généralement à réaliser l'analyse. Les fiches pratiques de la CNIL sur l'IA détaillent ces points.

4. Garder l'humain dans la boucle

L'article 22 du RGPD vise les décisions fondées exclusivement sur un traitement automatisé, y compris le profilage, qui produisent des effets juridiques à l'égard d'une personne ou l'affectent de manière significative de façon similaire. Elles ne sont permises que dans trois cas : lorsqu'elles sont nécessaires à la conclusion ou à l'exécution d'un contrat, lorsqu'elles sont autorisées par le droit de l'Union ou d'un État membre qui prévoit des garanties appropriées, ou avec le consentement explicite de la personne. Dans le premier et le dernier cas, la personne doit au minimum pouvoir obtenir une intervention humaine, exprimer son point de vue et contester la décision.

Pour sortir de ce régime, l'intervention humaine doit être effective : une validation de pure forme, sans pouvoir réel de modifier le résultat, ne suffit pas. En pratique : relecture systématique, vérification des sources, traçabilité de qui a validé quoi. Ces règles s'appliquent dès aujourd'hui. L'AI Act ajoutera, pour les systèmes à haut risque de l'annexe III, comme ceux utilisés pour le recrutement ou l'évaluation de la solvabilité de personnes physiques, des obligations de contrôle humain à partir du 2 décembre 2027, date fixée par le règlement (UE) 2026/1744, sous réserve des dispositions transitoires.

5. Former, puis vérifier

Une charte non expliquée a peu de chances d'être appliquée. Chaque collaborateur doit comprendre pourquoi ces règles existent, savoir reconnaître une donnée à protéger et connaître la procédure en cas d'erreur. L'article 4 de l'AI Act impose aux entreprises qui utilisent des systèmes d'IA de prendre des mesures adaptées pour développer la maîtrise de l'IA de leur personnel : formation, accompagnement ou consignes d'usage, selon les rôles. La Commission européenne précise que des salariés qui utilisent ChatGPT doivent être informés de ses risques, comme les hallucinations. Ces actions font aussi partie des mesures organisationnelles attendues au titre du RGPD.

L'objectif n'est ni de tout autoriser ni de tout interdire, mais de définir les usages autorisés et interdits selon les risques.

Se former avec La Fakto

La Fakto propose plusieurs formations sur ces sujets : « RGPD », « RIA, le règlement relatif à l'intelligence artificielle », « Intelligence artificielle : maîtriser les fondamentaux pour passer à l'action » et, pour les juristes et cabinets, « IA juridique : les outils qui transforment le métier du droit ». Chaque formation s'appuie sur des cas pratiques, commence par une évaluation d'entrée et se termine par une évaluation de sortie, qui permettent d'observer la progression aux questions testées. La réussite, selon les critères de La Fakto, donne lieu à une attestation conservée dans Okto.

Questions fréquentes sur l'IA générative et le RGPD

Peut-on utiliser ChatGPT avec des données clients ?

Pas sans analyse préalable. L'usage suppose un outil dont le rôle, la réutilisation des données, la conservation, la sécurité et les transferts ont été examinés, un contrat adapté (article 28 du RGPD si le fournisseur est sous-traitant), des données minimisées, une base légale, une information des personnes et le respect du secret professionnel. Pour les données sensibles ou couvertes par un secret, la saisie doit rester interdite tant que l'usage précis et ses garanties n'ont pas été validés.

Faut-il une analyse d'impact pour utiliser un assistant d'IA ?

Elle est obligatoire lorsque le traitement est susceptible d'engendrer un risque élevé, notamment dans les cas prévus par le RGPD et les listes de la CNIL. La combinaison de plusieurs critères, comme des données sensibles traitées à grande échelle, conduit généralement à la réaliser.

Former les salariés à l'IA générative est-il obligatoire ?

L'article 4 de l'AI Act impose aux entreprises qui utilisent un système d'IA de prendre des mesures adaptées pour développer la maîtrise de l'IA de leur personnel. La formation en est un moyen courant, mais ni durée, ni format, ni certification ne sont imposés.