Avant de commencer : de quoi parle-t-on
Le RGPD est le règlement européen sur la protection des données personnelles. Il concerne les entreprises établies dans l’Union européenne, et celles qui traitent des données de personnes qui s’y trouvent. La nLPD est la loi suisse sur la protection des données. Une entreprise du Jura, de Bâle ou d’Alsace qui travaille avec des clients des deux côtés de la frontière peut être concernée par les deux textes.
Utiliser l’IA ne change pas la nature de vos obligations : vous restez responsable des données que vous traitez. Ce qui change, c’est que de nouvelles données circulent, souvent vers de nouveaux prestataires. C’est là qu’il faut regarder de près.
Ce qui suit est une liste de vérifications pratiques, pas un avis juridique. Les règles évoluent et leur application dépend de votre situation. Pour une réponse adaptée, consultez les ressources de la CNIL en France ou du Préposé fédéral à la protection des données et à la transparence (PFPDT) en Suisse, ou un professionnel du droit.
Les vérifications à mener
Prenez chaque usage de l’IA séparément (tri des emails, préparation de devis, lecture de documents) et passez-le au crible des questions suivantes.
Quelles données envoyez-vous ?
Listez précisément ce que l’outil reçoit : le texte entier des emails, les pièces jointes, les noms et coordonnées, des numéros de commande, des informations de santé ou de paie. Certaines catégories de données sont plus sensibles que d’autres et demandent une prudence particulière. Si vous ne savez pas ce qui part, c’est le premier point à éclaircir.
Minimisez
Ne transmettez que ce qui est nécessaire à la tâche. Pour classer un email, l’outil n’a pas toujours besoin des pièces jointes. Pour préparer un devis, il n’a pas besoin de l’historique complet du client. Retirer ou masquer les données inutiles réduit les risques sans nuire au résultat.
Qui traite les données ?
Identifiez chaque prestataire : le fournisseur du modèle d’IA, l’hébergeur, l’intégrateur. Chacun agit en général comme sous-traitant pour votre compte. Vérifiez qu’un contrat encadre ce traitement, ce que le prestataire a le droit de faire des données, et s’il les réutilise pour entraîner ses propres modèles.
Où sont-elles hébergées ?
Demandez dans quels pays les données sont stockées et traitées. Un transfert hors de l’Union européenne ou hors de Suisse est encadré par des règles spécifiques. Quand c’est possible, un hébergement en Europe simplifie souvent la démarche.
Combien de temps sont-elles conservées ?
Renseignez-vous sur la durée de conservation chez chaque prestataire, et fixez la vôtre. Des données qui ne servent plus devraient être supprimées.
Informer, documenter, sécuriser
Les vérifications techniques ne suffisent pas. Quelques démarches internes complètent le tableau.
- Informer les personnes concernées : mettez à jour votre politique de confidentialité pour mentionner l’usage d’outils d’IA et les prestataires impliqués.
- Tenir votre registre des traitements à jour : ajoutez chaque nouvel usage, sa finalité, les données concernées et les destinataires.
- Limiter les accès : seules les personnes qui en ont besoin accèdent aux outils et aux données.
- Garder un humain dans la boucle : une décision qui touche une personne (refus, sanction, tarif individuel) ne devrait pas être laissée à l’outil seul.
- Prévoir la marche à suivre en cas d’incident : qui prévenir, et comment.
- Former l’équipe : chacun doit savoir ce qu’il peut coller ou non dans un outil d’IA grand public.
Un piège fréquent : les outils grand public
Le risque ne vient pas toujours d’un projet structuré. Il vient souvent d’un collaborateur qui copie un email client, un contrat ou une liste de prix dans un assistant en ligne gratuit, pour gagner du temps. Personne n’a vérifié les conditions d’utilisation, ni où partent ces données.
Mieux vaut fixer une règle simple et la partager : quels outils sont autorisés, pour quels usages, et quelles données ne doivent jamais y être saisies. C’est souvent la mesure la plus utile, et la moins coûteuse.
Notre manière de travailler
Quand nous mettons en place un assistant IA ou une automatisation, nous partons de ces mêmes questions. Seules les données nécessaires sont transmises, l’hébergement est choisi avec vous, y compris en Europe, et vous restez propriétaire de vos données et de vos accès. Les actions qui engagent l’entreprise, comme l’envoi d’un email, d’un devis ou d’une facture, passent par une validation humaine.
Nous vous aidons à documenter les flux de données pour votre registre et votre politique de confidentialité. En revanche, nous ne remplaçons pas un conseil juridique : pour toute question d’interprétation, nous vous orienterons vers la CNIL, le PFPDT ou votre conseil.