RGPD et IA : ce qu'une PME doit savoir avant de se lancer

L’intelligence artificielle s’installe dans les PME à grande vitesse : chatbots, génération de contenu, analyse de données clients, automatisation des emails. C’est utile, souvent bluffant. Mais chaque fois qu’un outil IA touche à des données personnelles, le RGPD entre dans l’équation. Et ce point-là, on l’oublie trop souvent.

Je vais vous expliquer ce que ça change concrètement pour une PME, sans jargon juridique inutile.

Pourquoi le RGPD s’applique aussi à l’IA

Le RGPD (Règlement Général sur la Protection des Données) s’applique à tout traitement de données personnelles, quel que soit l’outil utilisé. Dès que vous faites passer des noms, des emails, des historiques d’achat ou des comportements de navigation dans un outil IA, vous traitez des données au sens du règlement.

Ce n’est pas une zone floue ou une problématique future : c’est maintenant, et la CNIL surveille. Les premières sanctions liées à l’usage de ChatGPT ou d’outils IA dans des entreprises européennes commencent à tomber. Pas uniquement contre les grandes structures : les PME sont concernées dès lors qu’elles utilisent ces technologies sans les encadrer correctement.

Ce que l’IA collecte, parfois sans que vous le sachiez

Les données personnelles au sens du RGPD

Une donnée personnelle, c’est toute information qui permet d’identifier une personne, directement ou indirectement. Prénom, email, numéro de téléphone, adresse IP, comportement sur un site web, historique d’achat : tout ça en fait partie.

Quand vous utilisez un chatbot IA sur votre site, il collecte des échanges qui peuvent contenir des données personnelles. Quand vous envoyez une liste de clients dans ChatGPT pour rédiger des relances personnalisées, vous transmettez ces données à un serveur tiers, souvent américain, sans forcément en avoir conscience.

Les cas d’usage courants et leurs risques

Un chatbot sur votre site enregistre les conversations, parfois avec des informations sensibles : situation professionnelle, problème rencontré, coordonnées. Qui stocke ces données ? Où ? Combien de temps ?

Copier-coller une liste de prospects dans un LLM public pour générer des emails personnalisés, c’est transférer des données hors UE sans base légale claire si vos clients ne sont pas informés.

Faire tourner un modèle IA sur vos fichiers CRM demande une base légale (consentement, intérêt légitime) et une mention dans votre politique de confidentialité.

Vos obligations concrètes en tant que PME

Informer vos utilisateurs

Vous devez indiquer clairement sur votre site quels outils IA vous utilisez, à quelles fins et quelle est la base légale du traitement. Ce n’est pas un détail à glisser en bas des mentions légales : c’est une obligation. Une PME qui utilise un chatbot sans l’indiquer dans sa politique de confidentialité est en infraction.

Choisir des outils conformes

Tous les outils IA ne se valent pas sur ce point. Certains stockent vos données en Europe et signent un DPA (Data Processing Agreement, ou accord de traitement de données) avec vous. D’autres opèrent depuis les États-Unis sans garanties adéquates. Avant d’adopter un outil, posez la question : où sont stockées les données ? Sont-elles utilisées pour entraîner le modèle ?

C’est aussi une question que je pose systématiquement quand j’accompagne une PME dans son consulting IA : le choix de l’outil n’est pas que fonctionnel, il est aussi juridique.

Tenir à jour votre registre des traitements

Toute PME qui traite des données personnelles de façon régulière doit tenir un registre des traitements (article 30 du RGPD). Si vous ajoutez un nouvel outil IA à votre stack, c’est un nouveau traitement à documenter : finalité, base légale, durée de conservation, sous-traitants impliqués.

C’est rébarbatif, mais c’est votre première ligne de défense en cas de contrôle de la CNIL.

Les erreurs les plus fréquentes que je rencontre

Coller des données clients dans un LLM public sans vérifier les conditions générales de l’outil. Certains utilisent vos données pour améliorer leurs modèles par défaut, sauf si vous désactivez cette option.

Ne pas mentionner l’usage d’un chatbot dans la politique de confidentialité du site, alors que c’est une obligation dès que le chatbot collecte des données.

Supposer que le prestataire web ou l’agence IA gère tout : la responsabilité reste chez le responsable de traitement, c’est-à-dire vous, le dirigeant.

Ignorer le droit d’accès et de suppression : si un client demande que ses données soient effacées, l’outil IA utilisé doit le permettre techniquement.

Si votre site est en cours de création ou de refonte, c’est le bon moment pour intégrer ces exigences dès le départ plutôt que de les corriger après coup. J’ai aussi abordé les questions pratiques de mise en place dans l’article sur le chatbot IA pour les PME, où le volet confidentialité est souvent la première chose que les dirigeants négligent.

Ce que ça implique pour votre site web

La conformité RGPD liée à l’IA ne se gère pas uniquement dans les outils : elle se gère aussi dans les pages de votre site. Politique de confidentialité à jour, bandeau cookies correctement configuré, formulaires avec les mentions obligatoires : tout ça doit refléter la réalité de vos traitements, y compris les nouveaux outils IA.

Si vous avez mis en place un outil IA et que votre site n’a pas suivi, c’est un écart à corriger. La CNIL peut contrôler une PME à la suite d’une plainte d’un simple utilisateur, sans qu’il y ait eu de violation de données. L’absence d’information suffit.

Conclusion

Le RGPD et l’IA ne sont pas incompatibles. Mais ignorer les règles parce que « tout le monde le fait » n’est pas une stratégie. Les obligations sont claires, les outils pour les respecter existent, et une mise en conformité bien faite prend quelques heures, pas des semaines.

Si vous utilisez ou envisagez d’utiliser des outils IA dans votre activité et que vous ne savez pas où vous en êtes sur le plan RGPD, c’est exactement le type de point que j’aborde dans un premier échange. Contactez-moi, on fait le point ensemble.