RGPD et IA générative : utiliser ChatGPT, Copilot ou Gemini en PME sans enfreindre le RGPD (recommandations CNIL 2026)

RGPD et IA générative : utiliser ChatGPT, Copilot ou Gemini en PME sans enfreindre le RGPD

Un commercial colle un échange de mails avec un client dans ChatGPT pour rédiger une réponse. Une assistante RH demande à Copilot de résumer trois CV. Un dirigeant fait analyser par Gemini un export de sa base clients. Aucun de ces gestes n'est malveillant. Chacun est, selon la façon dont il est fait, un traitement de données personnelles que le RGPD encadre depuis 2018.

L'AI Act fait parler de lui, mais pour une PME de 10 à 250 salariés, le premier texte qui s'applique à l'usage quotidien de l'IA générative est le RGPD. C'est aussi celui sur lequel la CNIL contrôle et sanctionne depuis des années. Ce guide explique ce que la CNIL attend, les sept règles à appliquer, et comment articuler RGPD et AI Act sans doubler le travail.

Pourquoi le RGPD est votre premier sujet IA, avant l'AI Act

Pour l'usage bureautique de ChatGPT, Copilot ou Gemini, l'AI Act (règlement (UE) 2024/1689) impose surtout deux choses : la maîtrise de l'IA du personnel (article 4, applicable depuis le 2 février 2025) et la transparence sur les chatbots et les contenus générés (article 50, applicable depuis le 2 août 2026). Les obligations lourdes du haut risque (annexe III : recrutement, évaluation des salariés, scoring) ont été reportées au 2 décembre 2027 par l'omnibus numérique.

Le RGPD, lui, ne connaît pas de niveau de risque « minimal ». Dès qu'une donnée personnelle (un nom, un mail, une voix, une photo, un numéro de dossier) entre dans un prompt, un traitement existe. Il doit avoir une finalité, une base légale, une information des personnes, une durée de conservation et un cadre contractuel avec le prestataire. Sans report ni période de grâce.

La CNIL a fait de l'intelligence artificielle le premier axe de son plan stratégique 2025-2028 et se prépare à devenir l'autorité de surveillance du marché pour plusieurs catégories de systèmes à haut risque, dont l'emploi. Le même régulateur examinera donc la licéité de vos traitements au titre du RGPD et la conformité de vos usages au titre de l'AI Act. Le calendrier complet est dans AI Act : ce qui s'applique à votre PME en 2026 (et après).

Ce que la CNIL dit aux entreprises qui utilisent une IA générative

La CNIL a publié le 18 juillet 2024 ses premières préconisations pour déployer un système d'IA générative, avec des questions-réponses à destination des organismes. Six messages en ressortent :

• Partir d'un besoin concret. Pas de déploiement « pour voir » : chaque outil est rattaché à des usages identifiés.
• Fixer des règles d'usage. Définir les usages autorisés et interdits, par exemple ne pas saisir de données personnelles et ne pas déléguer une décision à l'outil.
• Adapter le déploiement aux données. Pour des données personnelles ou sensibles, la CNIL juge un hébergement maîtrisé « généralement plus opportun et plus sécurisé ». Avec un prestataire distant : contrat de sous-traitance et encadrement des transferts hors UE.
• Vérifier si le fournisseur réutilise vos données. Si ses conditions le permettent, décider au cas par cas quelles catégories de données sont interdites.
• Former les utilisateurs. Au fonctionnement et aux limites de l'outil, et contre le biais d'automatisation : ne jamais reprendre une sortie telle quelle.
• Organiser la gouvernance. Associer le DPO si vous en avez un, le responsable sécurité et les métiers ; désigner un point de contact ; contrôler régulièrement.

Une PME de 25 salariés qui active Copilot dans Microsoft 365 est exactement l'organisme visé par ces six points.

Les 7 règles RGPD à appliquer quand vos équipes utilisent ChatGPT, Copilot ou Gemini

Règle 1 : un compte entreprise, pas un compte personnel

C'est la décision qui règle la moitié du problème. Les versions grand public sont conçues pour des particuliers : selon leurs réglages par défaut, les conversations peuvent servir à améliorer les modèles, et vous n'avez aucun contrat avec l'éditeur. Les offres professionnelles (ChatGPT Team ou Enterprise, Copilot pour Microsoft 365, Gemini dans Google Workspace, Claude for Work) s'engagent contractuellement à ne pas entraîner leurs modèles sur vos données, fournissent un contrat de sous-traitance au sens de l'article 28 du RGPD et documentent la localisation des données. Sans ce contrat, vous ne pouvez pas démontrer que votre prestataire agit selon vos instructions. Pour choisir, lisez ChatGPT, Claude, Gemini : comparatif pour PME.

Règle 2 : une liste écrite des données interdites dans les prompts

« Pas de données personnelles » est trop vague pour un commercial pressé. Écrivez la liste : coordonnées de clients et de prospects, données de salariés et de candidats (CV, entretiens, évaluations, arrêts de travail), données de santé, numéros de sécurité sociale, IBAN, mots de passe, contrats signés, prix et plans non publics. Précisez ce qui est permis : texte anonymisé, document public, donnée interne sans personne identifiable. Cette liste est la clause centrale de votre politique d'usage ; le modèle commenté est dans Charte IA d'entreprise : modèle, contenu et exemple.

Règle 3 : une finalité et une base légale par usage, inscrites au registre

Chaque usage impliquant des données personnelles doit figurer dans votre registre des traitements (article 30 du RGPD). La dispense partielle des entreprises de moins de 250 salariés tombe dès que le traitement n'est pas occasionnel : un assistant IA utilisé chaque jour par le service client n'est pas occasionnel. Concrètement, vous ajoutez une ligne « assistant IA » aux fiches existantes (relation client, recrutement, comptabilité) avec l'outil, le prestataire, les données et la base légale. Ce registre et le registre des systèmes IA de l'AI Act se nourrissent l'un l'autre : le Kit Conformité IA Act pour PME les présente côte à côte, avec les mêmes colonnes outil, usage, données, responsable.

Règle 4 : informer les personnes concernées

Salariés, candidats et clients ont le droit de savoir qu'un outil d'IA intervient dans le traitement de leurs données (articles 13 et 14). Salariés : note d'information ou mise à jour de la charte informatique, consultation du CSE si vous en avez un. Candidats : mention dans l'annonce ou l'accusé de réception. Clients : mise à jour de la politique de confidentialité. L'article 50 de l'AI Act ajoute, depuis le 2 août 2026, l'obligation d'annoncer qu'un chatbot est une IA.

Règle 5 : aucune décision entièrement automatisée

L'article 22 du RGPD interdit, sauf exceptions encadrées, de soumettre une personne à une décision fondée exclusivement sur un traitement automatisé qui produit des effets juridiques ou l'affecte significativement. Rejeter une candidature, refuser un crédit ou sanctionner un salarié sur la seule base d'une sortie d'IA est proscrit. Un humain décide et peut expliquer pourquoi. Documentez ce point d'intervention humaine : il servira aussi pour le haut risque de l'annexe III au 2 décembre 2027. Le cas du recrutement est détaillé dans IA et recrutement en PME.

Règle 6 : une analyse d'impact (AIPD) pour les usages à risque élevé

L'article 35 impose une AIPD lorsque le traitement est susceptible d'engendrer un risque élevé. En PME, les cas typiques avec l'IA générative sont l'évaluation ou le profilage de salariés et de candidats, les données de santé, la surveillance systématique (mails, images, trajets) et le croisement de bases. Si vous connectez un assistant à votre base RH ou à tout votre CRM, posez-vous la question. La CNIL rappelle qu'un déployeur qui affine un modèle ou le relie à une base contenant des données personnelles devient responsable de ce traitement.

Règle 7 : sécurité, conservation et droits des personnes

Historiques, documents téléversés, connecteurs vers la messagerie : chaque fonction crée une copie de données. Fixez une durée de conservation des historiques, limitez les connecteurs au périmètre utile, gérez les comptes comme n'importe quel accès (départ d'un salarié, double authentification). Et préparez-vous à répondre à une demande d'accès ou d'effacement : les prompts qui mentionnent un client en font partie.

Tableau : usages courants en PME et verdict RGPD

Ce tableau est une version courte de la grille d'évaluation des usages fournie dans le Kit Conformité IA Act pour PME, qui croise pour chaque outil le niveau de risque AI Act et les points de contrôle RGPD.

RGPD et AI Act : comment les deux textes s'articulent

Les deux règlements se superposent. Le RGPD protège les personnes dont les données sont traitées, quel que soit l'outil ; l'AI Act encadre le système d'IA selon son niveau de risque. Un outil de tri de CV est soumis aux deux : RGPD dès aujourd'hui, AI Act haut risque à partir du 2 décembre 2027.

Côté sanctions, le RGPD prévoit jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial. L'AI Act va jusqu'à 35 millions d'euros ou 7 % pour les pratiques interdites, le montant le plus bas des deux s'appliquant aux PME. Pour une entreprise de taille moyenne, le risque concret reste la mise en demeure de la CNIL, et le client grand compte qui demande vos documents avant de signer.

La bonne nouvelle : les livrables se recoupent. Une charte IA, une politique d'usage avec la liste des données interdites, un registre des outils, une preuve de sensibilisation et une procédure de contrôle humain répondent à la fois aux attentes de la CNIL et aux articles 4 et 50 de l'AI Act. La sensibilisation est détaillée dans Formation AI Act : l'obligation de l'article 4 en PME.

Plan de mise en conformité RGPD et IA en une demi-journée

Heure 1 : inventaire. Listez les outils d'IA utilisés, y compris les fonctions intégrées (Copilot dans Office, Gemini dans Workspace, IA de votre CRM ou de votre logiciel de paie). Pour chacun : type de compte, données saisies, contrat de sous-traitance, localisation des données.

Heure 2 : décisions. Choisissez un ou deux outils professionnels officiels et interdisez les comptes personnels pour les données de l'entreprise. Rédigez la liste des données interdites. Nommez un référent IA et associez votre DPO si vous en avez un.

Heure 3 : documents. Mettez à jour le registre des traitements, la politique de confidentialité du site et la note d'information aux salariés. Vérifiez la mention IA sur votre chatbot. Planifiez une AIPD si un usage RH, santé ou surveillance apparaît.

Heure 4 : sensibilisation. Une session de 45 minutes pour tout le personnel : ce que l'IA fait mal, les règles internes, la liste des données interdites, comment signaler un incident. Attestation signée pour chacun : c'est votre preuve au titre de l'article 4 de l'AI Act, et votre réponse à la CNIL sur la formation des utilisateurs.

Pour vérifier d'abord où vous en êtes, la checklist de conformité AI Act pour PME, gratuite, reprend les points de contrôle RGPD de cet article. Si vos usages sont déjà avancés, par exemple un assistant connecté à votre CRM ou un outil de présélection de candidats, l'Audit IA Express cartographie vos outils, vos risques RGPD et AI Act et vos priorités en une session, avec un plan d'action écrit.

FAQ – RGPD et IA générative en PME

Un salarié peut-il utiliser ChatGPT avec son compte personnel pour son travail ?

Pour des tâches sans donnée personnelle ni information confidentielle, le risque est limité. Dès qu'un prompt contient des données de clients, de salariés ou des informations internes, l'entreprise réalise un traitement sans contrat avec le prestataire et sans maîtrise de la réutilisation des données. La CNIL recommande de définir les usages autorisés et interdits par une politique interne ; un compte professionnel est la solution simple.

Le RGPD oblige-t-il à inscrire ChatGPT ou Copilot dans le registre des traitements ?

L'outil n'est pas un traitement en soi, mais chaque usage impliquant des données personnelles l'est. Vous complétez les fiches existantes (relation client, recrutement, RH) avec l'outil, le prestataire et les données concernées. La dispense des entreprises de moins de 250 salariés ne couvre pas les traitements non occasionnels.

Faut-il une AIPD pour utiliser une IA générative ?

Pas pour un usage bureautique sans données sensibles. Oui, le plus souvent, pour l'évaluation ou le profilage de salariés et de candidats, les données de santé, la surveillance systématique ou le croisement de bases. Dans le doute, documentez votre analyse : montrer que la question a été posée est déjà un élément de conformité.

La CNIL contrôle-t-elle vraiment les PME sur l'IA ?

La CNIL a placé l'IA au premier rang de son plan stratégique 2025-2028 et contrôle déjà, au titre du RGPD, les traitements RH, la surveillance des salariés et la prospection commerciale. Pour une PME, le scénario le plus probable n'est pas l'amende maximale mais une plainte d'un salarié ou d'un candidat, suivie d'une demande de documents. Un registre, une politique d'usage et une preuve de sensibilisation changent alors tout.

Pour aller plus loin

• AI Act : ce qui s'applique à votre PME en 2026 (et après)
• Charte IA d'entreprise : modèle, contenu et exemple (2026)
• Formation AI Act : l'obligation de l'article 4 en PME
• Article 50 de l'AI Act : transparence des contenus IA en PME depuis le 2 août 2026

Ce document est un modèle générique d'aide à la conformité, il ne constitue pas un conseil juridique. Adaptez-le à votre situation et faites-le valider si nécessaire.