strategie et-management
IA et RGPD : ce que doit vérifier un dirigeant
Lister les questions à se poser avant de laisser entrer des données clients dans un outil IA.
6 min de lecture
4,7sur 5634 votes
- 6,6Klecteurs
- 31en ce moment
- 275partages
Utiliser une intelligence artificielle en entreprise ne rend pas le dirigeant passif face au RGPD. Dès qu’un outil reçoit, analyse, classe ou produit des informations relatives à des clients, salariés, candidats ou prospects identifiables, il faut examiner le traitement de données. La priorité consiste à savoir quelles données entrent dans l’outil, pour quelle finalité, qui y accède et quelles garanties entourent le prestataire. Un déploiement utile commence donc par une cartographie simple, avant les prompts, les connecteurs et les automatisations.
Pour concilier IA et RGPD, un dirigeant doit vérifier avant tout usage la nature des données envoyées, la justification du traitement, les engagements du fournisseur, la sécurité et la place conservée à une décision humaine. Les usages liés au recrutement, à l’évaluation ou à une décision importante appellent une vigilance renforcée.
IA et RGPD : commencer par qualifier l’usage réel
Un même logiciel peut présenter des situations très différentes. Demander à une IA de reformuler un texte fictif n’a pas le même impact que lui transmettre un historique client, des candidatures ou des comptes rendus d’entretien. Le bon point de départ consiste à décrire le flux concret : l’utilisateur, les données saisies, la réponse attendue, les destinataires et l’action prise à partir du résultat.
Cette description évite une erreur fréquente : ne regarder que l’outil acheté. Une fonctionnalité d’IA intégrée à un CRM, à une messagerie ou à un logiciel RH mérite la même attention qu’un service autonome. Les essais gratuits et les usages individuels doivent aussi être recensés. Ils peuvent faire sortir des informations de l’entreprise sans validation préalable.
La question centrale est la suivante : une personne peut-elle être identifiée directement ou indirectement à partir des éléments transmis ? Un nom est évidemment concerné, mais une adresse électronique professionnelle, un identifiant de dossier, un verbatim d’appel ou plusieurs indices combinés peuvent également relever des données personnelles.
Définir une finalité précise avant d’envoyer des données à l’IA
Le RGPD demande de ne pas traiter des données sans objectif déterminé. Pour un projet d’IA, une formule vague comme « améliorer la productivité » est rarement suffisante à elle seule. Il est plus opérationnel de préciser le résultat attendu : résumer les demandes reçues par le service client, assister la rédaction de réponses, extraire des informations d’un document ou préparer une analyse soumise ensuite à validation.
Cette précision aide à limiter les données. Si l’outil doit dégager les thèmes récurrents de réclamations, il n’est pas nécessaire de lui transmettre l’ensemble du dossier commercial. Une anonymisation ou une pseudonymisation peut parfois réduire l’exposition, sans dispenser de vérifier si le risque de réidentification reste acceptable.
- Déterminer les catégories de personnes concernées.
- Identifier les données réellement nécessaires à la tâche.
- Prévoir une durée de conservation cohérente avec l’objectif.
- Écarter les données sensibles lorsque l’usage ne les exige pas.
Lorsque l’entreprise s’appuie sur une base légale, celle-ci doit être choisie avant la mise en œuvre. Le consentement n’est pas une réponse automatique à toutes les situations. Le choix dépend du contexte, de la finalité et des droits des personnes. Une validation par le responsable compétent ou le délégué à la protection des données est utile lorsque le cas est incertain.
Contrôler le fournisseur d’IA et le parcours des informations
Un prestataire ne fait pas disparaître les responsabilités de l’entreprise. Il faut comprendre son rôle, les instructions qu’il reçoit, les mesures de sécurité proposées et le devenir des données. Le contrat et la documentation doivent notamment permettre de savoir si les contenus saisis servent à entraîner ou améliorer le service, quels autres prestataires interviennent et comment les données sont supprimées ou restituées en fin de relation.
| Point à examiner | Question pratique à poser | Décision attendue |
|---|---|---|
| Données transmises | Quels champs, fichiers ou conversations atteignent l’outil ? | Réduire le périmètre au nécessaire. |
| Hébergement | Où les données sont-elles traitées et conservées ? | Documenter le parcours et les garanties. |
| Réutilisation | Le fournisseur utilise-t-il les contenus pour ses propres finalités ? | Paramétrer ou refuser l’usage non souhaité. |
| Sécurité | Qui peut accéder aux espaces, exports et clés de connexion ? | Appliquer des droits d’accès adaptés. |
| Fin du contrat | Comment récupérer ou effacer les données ? | Prévoir une procédure vérifiable. |
La sécurité ne relève pas seulement du contrat. Les collaborateurs doivent savoir quelles informations ne doivent jamais être placées dans un prompt. Une charte d’usage courte, accompagnée d’exemples métier, vaut mieux qu’une règle générale ignorée. Les accès nominatifs, l’authentification renforcée et la désactivation rapide d’un compte lors d’un départ complètent ce cadre.
Préserver l’information des personnes et le contrôle humain
La transparence est déterminante lorsque l’IA intervient dans une relation avec une personne. Clients, salariés, candidats ou prospects doivent pouvoir comprendre, selon le cas, que leurs données sont utilisées dans un processus assisté par IA et connaître les éléments utiles sur la finalité, les catégories de données et leurs droits.
Une attention particulière s’impose lorsqu’une décision peut produire un effet juridique ou affecter sensiblement une personne. La CNIL rappelle que les personnes disposent d’une protection contre certaines décisions entièrement automatisées. Dans les processus de recrutement, d’évaluation ou de sélection, un score généré par un outil ne devrait donc pas devenir une exclusion mécanique. Il faut organiser un examen réel par une personne habilitée, capable de comprendre le dossier, d’expliquer la décision et de la réviser.
À lire aussi
Le contrôle humain ne se limite pas à cliquer sur « valider ». Il suppose du temps, une marge d’appréciation et des informations suffisantes pour contredire une recommandation de la machine. Cette exigence réduit aussi le risque de reproduire des biais présents dans les données ou dans les paramétrages.
Évaluer les risques avant les usages d’IA les plus sensibles
Certains projets justifient une analyse plus approfondie. Une analyse d’impact relative à la protection des données, souvent appelée AIPD, est requise lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Les projets combinant un volume important de données, un suivi des personnes, des données sensibles ou une décision automatisée méritent d’être examinés très tôt.
L’AIPD ne doit pas être vue comme une formalité de fin de projet. Elle permet de décrire les risques, de décider des mesures de réduction et de vérifier que le projet peut avancer dans des conditions raisonnables. Elle peut s’articuler avec la documentation demandée pour l’IA, mais elle doit comporter les éléments propres au RGPD.
Installer une gouvernance IA adaptée à la taille de l’entreprise
Le dirigeant n’a pas besoin de créer une bureaucratie disproportionnée pour reprendre la main. En revanche, une règle de validation préalable des nouveaux usages, un inventaire des outils autorisés et un responsable identifié changent nettement la maîtrise du risque. Le responsable peut coordonner les équipes métier, informatique, sécurité et protection des données.
Un registre interne des cas d’usage aide à suivre les évolutions. Pour chaque outil, il peut contenir la finalité, les données admises, le propriétaire métier, le fournisseur, les paramètres de confidentialité, la date de revue et les incidents éventuels. Cette trace rend les arbitrages plus faciles lorsqu’un outil évolue ou qu’un collaborateur souhaite connecter une nouvelle source de données.
La conformité ne se résume pas à empêcher. Elle permet de distinguer les usages à faible enjeu, qui peuvent être rapidement encadrés, des usages demandant une instruction approfondie. Cette approche donne aux équipes un cadre clair pour expérimenter sans transformer chaque prompt en risque invisible.
Un salarié peut-il saisir des données clients dans une IA publique ?
Il ne faut pas l’autoriser sans analyse préalable. L’entreprise doit d’abord déterminer les données concernées, les paramètres du service, les garanties contractuelles et l’utilité réelle de l’envoi. Une version anonymisée ou un environnement approuvé peut être plus adapté.
Faut-il réaliser une AIPD pour chaque outil d’intelligence artificielle ?
Non, l’AIPD dépend du niveau de risque du traitement, pas du seul fait qu’une IA est utilisée. Elle devient nécessaire lorsqu’un risque élevé pour les personnes est susceptible d’exister. En cas de doute, une évaluation documentée avec les personnes compétentes est prudente.
Un résultat généré par IA peut-il servir à écarter un candidat ?
Un résultat automatisé ne doit pas conduire à une éviction sans contrôle adapté. Les décisions ayant un impact important sur une personne demandent une vigilance particulière, de l’information et la possibilité d’un véritable réexamen humain.
Qui porte la responsabilité RGPD lorsqu’un fournisseur d’IA est utilisé ?
L’entreprise qui détermine pourquoi et comment les données sont utilisées conserve des responsabilités. Le rôle exact de chaque acteur doit être identifié et encadré par une documentation et des engagements appropriés.
L’auteur
Directeur des systèmes d’information
Je réponds aux questions des lecteurs, surtout sur mon domaine : données, sécurité et conformité.
Voir tous ses articlesVotre avis compte
Cet article vous a-t-il été utile ?
4,7sur 5634 votes
Commentaires
Soyez le premier à réagir.
