Table des matières
TL;DR — Points clés
À retenir de cet article
- Le RGPD ne vise pas l'IA mais les données personnelles qu'elle traite
Dès qu'un prompt contient un nom, un email ou une donnée identifiante, le RGPD s'applique.
- L'AI Act européen classe les usages par niveau de risque
Recrutement, éducation et décisions RH sont classés en « risque élevé » — obligations renforcées.
- Pas de données personnelles dans les versions grand public
ChatGPT/Gemini/Claude gratuits peuvent réutiliser vos conversations ; exigez une version Enterprise avec DPA.
- Les versions Enterprise offrent un Data Processing Agreement (DPA)
Copilot M365 avec EU Data Boundary, Mistral via OVHcloud et ChatGPT Enterprise sont les voies RGPD-compatibles.
- La formation des équipes est la première ligne de défense
La fuite RGPD la plus fréquente est une saisie accidentelle de données sensibles par un collaborateur non formé.
Utiliser ChatGPT, Copilot ou Mistral en entreprise soulève des questions légitimes de conformité RGPD. Ces outils envoient-ils vos données à des serveurs étrangers ? Quelles données peut-on y saisir ? Quelles sont les obligations de l’entreprise vis-à-vis de ses collaborateurs et de ses clients ?
En 2026, il est tout à fait possible d’utiliser l’IA générative en conformité avec le RGPD — à condition de choisir les bons outils, de définir des règles d’usage claires et de former ses équipes. Ce guide vous donne les clés pratiques.
RGPD et IA : le cadre légal en 2026
Qu’est-ce que le RGPD impose concernant l’utilisation de l’IA ?
Le RGPD (Règlement Général sur la Protection des Données) ne s’applique pas à l’IA en tant que technologie, mais aux données personnelles traitées via ces outils. Concrètement, dès lors que vous saisissez dans un outil IA des informations permettant d’identifier une personne physique (nom, email, données RH, données clients…), le RGPD s’applique.
Les obligations principales pour les entreprises :
- Base légale : vous devez avoir une raison valable pour traiter ces données (intérêt légitime, contrat, consentement)
- Finalité : les données ne peuvent être utilisées que dans le but déclaré
- Minimisation : ne saisir que les données strictement nécessaires
- Sécurité : garantir que les données ne sont pas accessibles à des tiers non autorisés
- Transparence : informer les personnes concernées que leurs données sont traitées via IA
Qu’est-ce que l’AI Act européen et comment s’articule-t-il avec le RGPD ?
L’AI Act est le premier cadre réglementaire mondial dédié à l’intelligence artificielle, entré en vigueur en 2024 et applicable progressivement jusqu’en 2026. Il classe les systèmes d’IA par niveau de risque :
- Risque inacceptable (interdit) : reconnaissance faciale en temps réel dans les espaces publics, manipulation comportementale
- Risque élevé (obligations strictes) : IA dans le recrutement, l’éducation, les décisions RH, le crédit
- Risque limité (obligations de transparence) : chatbots, génération de contenu — l’utilisateur doit être informé qu’il interagit avec une IA
- Risque minimal (sans obligation spécifique) : filtres anti-spam, recommandations de contenu
Pour la plupart des usages professionnels de ChatGPT, Copilot ou Mistral, on se situe en risque limité à minimal. Les obligations sont gérables.
Quels outils IA sont conformes RGPD pour les entreprises françaises ?
Comment évaluer la conformité RGPD d’un outil IA ?
Quatre critères essentiels :
- Localisation des données : où sont hébergés les serveurs ? Les données de l’UE doivent rester dans l’UE ou dans des pays ayant un niveau de protection adéquat
- DPA signé : l’outil propose-t-il un Data Processing Agreement (accord de traitement des données) conforme au RGPD ?
- Opt-out de l’entraînement : vos données de conversation sont-elles utilisées pour entraîner le modèle ? Une option d’opt-out est-elle disponible ?
- Conservation des données : combien de temps les conversations sont-elles conservées ?
Tableau comparatif des outils IA et RGPD
| Outil | Serveurs UE | DPA disponible | Entraînement opt-out | Version entreprise recommandée |
|---|---|---|---|---|
| ChatGPT (OpenAI) | Non (US par défaut) | Oui (version Enterprise) | Oui (Enterprise) | ChatGPT Enterprise ou Team |
| Copilot M365 | Oui (EU Data Boundary) | Oui | Oui | Copilot M365 avec EU Data Boundary |
| Gemini (Google) | Oui (avec Workspace) | Oui | Oui (Workspace) | Google Workspace Enterprise |
| Mistral AI | Oui (France) | Oui | Oui | Mistral API via OVHcloud |
| Claude (Anthropic) | Non (US) | Oui (Enterprise) | Oui | Claude Enterprise |
Recommandation : pour les données les plus sensibles, privilégier Copilot M365 avec EU Data Boundary ou Mistral via OVHcloud (hébergement France, souveraineté garantie).
Les 5 règles d’or pour utiliser l’IA en conformité RGPD
Règle 1 — Ne jamais saisir de données personnelles dans les versions grand public
ChatGPT gratuit, Gemini gratuit, Claude.ai gratuit : dans ces versions, vos conversations peuvent être lues par les équipes de l’éditeur et utilisées pour améliorer les modèles. Règle absolue : jamais de données personnelles (clients, salariés, prospects) dans ces outils.
Données interdites dans les versions grand public :
- Noms et prénoms + coordonnées
- Données RH (salaires, évaluations, arrêts maladie)
- Données clients avec identifiants
- Numéros de contrat ou de dossier permettant une identification
Règle 2 — Utiliser les versions entreprise avec DPA signé
Les versions entreprise (ChatGPT Enterprise, Copilot M365, Mistral API) incluent un contrat de traitement des données (DPA) qui engage contractuellement l’éditeur sur la protection de vos données. C’est la condition sine qua non pour traiter des données sensibles via IA.
Règle 3 — Pseudonymiser avant de saisir
Quand vous devez analyser des données avec l’IA, remplacez les données directement identifiantes par des codes ou des pseudonymes.
Exemple : plutôt que “Analyse le contrat de Marie Dupont, DRH chez Société X”, saisir “Analyse le contrat du candidat A pour le poste P dans l’entreprise E”.
Règle 4 — Mettre à jour le registre des traitements
Le RGPD impose à toute entreprise de tenir un registre des activités de traitement. L’utilisation d’outils IA pour traiter des données personnelles doit y figurer avec : la finalité, les données traitées, les destinataires, la durée de conservation et les mesures de sécurité.
Règle 5 — Former et sensibiliser les équipes
La conformité RGPD avec l’IA est un problème humain autant que technique. La fuite de données la plus fréquente en entreprise est la saisie accidentelle de données sensibles par un collaborateur non informé des règles. La formation est la première ligne de défense.
Construire une politique IA d’entreprise conforme RGPD
Que doit contenir une politique d’usage des outils IA ?
Une politique IA d’entreprise efficace couvre :
- Les outils autorisés : liste blanche des outils IA validés (avec ou sans données personnelles)
- Les données interdites : catégories de données qui ne doivent jamais être saisies dans des outils IA
- Les procédures de pseudonymisation : comment anonymiser avant de saisir
- Les droits des personnes : comment répondre aux demandes d’accès ou de suppression si des données ont été traitées via IA
- Les sanctions : conséquences d’un manquement (responsabilité individuelle et sanctions CNIL potentielles)
Comment la CNIL encadre-t-elle l’IA en France ?
La CNIL (Commission Nationale de l’Informatique et des Libertés) a publié en 2023-2024 plusieurs recommandations sur l’IA, et a mené des contrôles sur les principaux fournisseurs (OpenAI notamment). Ses positions clés :
- Les outils IA grand public ne peuvent pas être utilisés pour traiter des données personnelles sans mesures appropriées
- Les entreprises qui déploient des systèmes IA à fort impact RH doivent réaliser une AIPD (Analyse d’Impact relative à la Protection des Données)
- La transparence vis-à-vis des salariés sur l’utilisation de l’IA dans les processus RH est obligatoire
Conclusion
Le RGPD n’interdit pas l’IA en entreprise — il l’encadre. En 2026, il est parfaitement possible de déployer des outils d’IA générative en conformité totale, à condition de choisir les bonnes versions (entreprise, pas grand public), de définir des règles d’usage claires et de former les équipes.
La formation est le maillon le plus important de cette chaîne. Le Passeport IA de Levier IA intègre un module complet sur la conformité RGPD et l’AI Act, adapté aux situations concrètes rencontrées par vos équipes au quotidien.
Chiffres-clés
Données sourcées
13 fiches
pratiques IA publiées par la CNIL entre avril 2024 et juin 2025, avec des recommandations sectorielles santé/éducation/travail prévues en 2026.
4 % du CA
mondial (ou 20 M€) : sanction maximale prévue par l'article 83 du RGPD en cas de violation grave.
Selon Article 83 du RGPD — Conditions générales pour imposer des amendes administratives
4 niveaux
de risque dans l'AI Act européen : inacceptable, élevé, limité, minimal. La plupart des usages professionnels de ChatGPT/Copilot relèvent de risque limité ou minimal.
Questions fréquentes
Vos questions sur ce sujet
Peut-on utiliser ChatGPT pour analyser des CV ou présélectionner des candidats ?
Oui, sous conditions strictes. L'AI Act classe l'analyse de CV en « risque élevé ». Obligations : réaliser une AIPD (Analyse d'Impact sur la Protection des Données), informer les candidats, ne jamais laisser l'IA décider seule du rejet, conserver la traçabilité. Utilisez obligatoirement une version Enterprise avec DPA signé (ChatGPT Enterprise, Copilot M365 EU Data Boundary, Mistral via OVHcloud).
Un salarié peut-il refuser que ses données RH soient traitées via IA ?
Oui, dans certains cas. Le RGPD accorde aux salariés un droit d'opposition lorsque le traitement est fondé sur l'intérêt légitime de l'entreprise. L'information préalable est obligatoire (affichage et notice individuelle), et le refus doit être examiné au cas par cas par le DPO. L'employeur ne peut pas sanctionner un salarié qui exerce légitimement ce droit d'opposition.
Que risque une entreprise en cas d'usage non conforme de l'IA avec des données personnelles ?
Les sanctions CNIL peuvent atteindre 4 % du chiffre d'affaires annuel mondial ou 20 millions d'euros (article 83 du RGPD, le montant le plus élevé s'applique). Au-delà des sanctions financières, le risque de réputation est souvent plus impactant pour les PME. La CNIL publie régulièrement les sanctions pour dissuasion, ce qui amplifie l'impact médiatique des violations.
Mistral AI est-il plus conforme RGPD que ChatGPT ou Claude ?
Mistral AI présente des avantages structurels : société française, modèles entraînés en Europe, hébergement possible sur OVHcloud (France), engagement contractuel explicite sur la souveraineté des données. C'est un avantage réel pour les entreprises qui traitent des données sensibles ou qui sont soumises à des contraintes sectorielles (santé, finance, défense, collectivités territoriales, OIV).
Faut-il une AIPD (Analyse d'Impact) pour déployer un outil IA en entreprise ?
Oui si l'outil traite des données à caractère sensible ou impacte les droits des personnes (RH, santé, éducation, scoring financier). L'AIPD est obligatoire avant le déploiement selon l'article 35 du RGPD. La CNIL met à disposition un logiciel PIA gratuit et un modèle d'AIPD pour les outils IA. Une AIPD dure généralement 2 à 4 semaines pour un outil IA en entreprise.
Sources et références
Les données et affirmations de cet article sont sourcées auprès d'autorités publiques et d'études peer-reviewed.
- CNIL — Les fiches pratiques IA (avril 2024 – juin 2025) « 13 fiches pratiques couvrant le développement et l'usage de systèmes d'IA au regard du RGPD. »
- CNIL — Programme de travail de la CNIL pour 2026 (2026) « Recommandations sectorielles santé, éducation et travail prévues pour 2026. »
- CNIL — Règlement européen sur la protection des données — Article 83 du RGPD — Conditions générales pour imposer des amendes administratives
- Commission européenne — AI Act — Regulatory framework for AI
- CNIL — Outil PIA pour les Analyses d'Impact
Prêt à former vos équipes à l'IA ?
Le Passeport IA est une formation de 7 heures qui rend vos collaborateurs autonomes avec les outils d'IA. Finançable OPCO.