RGPD et IA en entreprise : déployer en conformité sans ralentir

Le RGPD n'est pas un obstacle au déploiement de l'IA : c'est un cadre. Les entreprises qui l'intègrent dès la conception de leurs projets IA avancent plus vite que celles qui découvrent les contraintes en cours de route. Voici le cadre pratique que nous appliquons chez Quantum Consulting.

Ce que le RGPD implique concrètement pour un projet IA

Le RGPD s'applique dès lors que votre projet IA traite des données à caractère personnel, ce qui inclut la plupart des cas d'usage métier (données clients, collaborateurs, partenaires). Les obligations principales :

• Base légale du traitement : consentement, contrat, obligation légale ou intérêt légitime : vous devez en avoir une
• Minimisation des données : n'envoyez au modèle que ce qui est strictement nécessaire
• Durée de conservation : les données utilisées pour entraîner ou fine-tuner ne peuvent pas être conservées indéfiniment
• Droit à l'explication : pour les décisions automatisées à impact significatif (recrutement, crédit), vous devez pouvoir expliquer le résultat
• Registre des traitements : tout nouveau traitement IA doit être documenté

Le vrai risque : envoyer des données personnelles à un LLM externe

Quand vous copiez-collez un contrat client dans ChatGPT ou envoyez des CVs à une API externe, vous transférez des données personnelles à un tiers, potentiellement localisé hors UE. Cela peut être légal, mais cela nécessite des garanties :

• Un accord de traitement des données (DPA) signé avec le fournisseur du LLM
• Des clauses contractuelles types (CCT) si le serveur est aux USA
• Une mention dans votre registre des traitements

Les trois architectures selon votre niveau de sensibilité

Niveau 1 : données peu sensibles (marketing, contenu public)

API externe (OpenAI, Anthropic, Google) avec DPA signé. C'est suffisant pour la plupart des cas d'usage de génération de contenu, de résumé de documents publics, ou de support client sur des sujets non-confidentiels.

Niveau 2 : données métier sensibles (contrats, RH, finances)

Deux options viables : API avec anonymisation/pseudonymisation avant envoi (on remplace les noms, emails, n° de sécurité sociale par des tokens avant d'envoyer au modèle) ou déploiement dans votre cloud privé (Azure OpenAI, AWS Bedrock) avec des données qui ne sortent pas de votre périmètre.

Niveau 3 : données critiques (santé, données judiciaires, secret défense)

Modèle on-premise obligatoire. Les LLM open-source hébergés sur votre infrastructure (Mistral, Llama, Gemma) ou des modèles souverains français (Mistral AI, CentraleSupélec) sont la seule option conforme pour ces usages.

La checklist conformité IA minimale

• DPA signé avec chaque fournisseur de LLM utilisé
• Registre des traitements mis à jour avec les nouveaux traitements IA
• Politique d'usage IA interne communiquée aux collaborateurs
• Processus d'anonymisation pour les données sensibles envoyées à des API externes
• Formation des utilisateurs aux risques de divulgation involontaire
• PIA (Privacy Impact Assessment) si traitement à grande échelle ou données sensibles

L'IA Act européen : ce qui change en 2025-2026

Le règlement européen sur l'IA (AI Act) entré en vigueur en 2024 ajoute des obligations au-delà du RGPD pour les systèmes IA à "haut risque" (santé, emploi, éducation, infrastructure critique). Si votre usage entre dans ces catégories, des exigences spécifiques de transparence, de supervision humaine et de documentation s'appliquent.

Pour la majorité des PME, les cas d'usage courants (génération de contenu, analyse documentaire, chatbot support) ne tombent pas dans les catégories à haut risque, mais mieux vaut vérifier.

Articles liés : choisir entre Claude et GPT-4o selon vos contraintes de conformité, et automatiser vos processus RH dans le respect du RGPD.