Guides

Assistants d'IA en entreprise et RGPD : ce que vos équipes peuvent y saisir, et à quelles conditions

Par Thiago de Jesus Freire, délégué à la protection des données externe, Hermetics

Mis à jour le 13 novembre 2026

Ce guide donne une information générale, à jour à la date indiquée ; il ne remplace pas l'examen de votre situation par votre délégué à la protection des données ou par votre conseil.

Vos équipes peuvent utiliser un assistant d'IA, mais y saisir des données à caractère personnel de clients ou de salariés est un traitement, dont votre entreprise reste responsable. Avant de l'autoriser, il vous faut une finalité, une base légale, un contrat avec le prestataire et la connaissance de ce qu'il fait des données saisies. Tant que ces points ne sont pas réglés, la règle sûre est de n'y saisir aucune information qui permette d'identifier une personne.

Pourquoi le RGPD s'applique

Le RGPD appelle « traitement » toute opération appliquée à des données à caractère personnel, notamment l'utilisation, la communication par transmission ou toute autre forme de mise à disposition (article 4, point 2)¹. Coller dans un assistant d'IA un courriel de client, un CV ou un tableau de paie en est un.

Le responsable du traitement est l'organisme qui détermine les finalités et les moyens du traitement (article 4, point 7)¹. C'est votre entreprise, pas le salarié qui a ouvert l'outil. Elle doit pouvoir démontrer que le traitement respecte le règlement (article 24)¹. Si son personnel fait un mauvais usage de l'outil, c'est en général sa responsabilité qui est engagée (source : CNIL, questions-réponses citées)³.

Neuf questions à régler avant d'autoriser un usage

1. La finalité. Les données sont collectées pour des finalités déterminées, explicites et légitimes (article 5, paragraphe 1, point b)¹. « Gagner du temps » n'est pas une finalité ; « rédiger les réponses aux réclamations » en est une.
2. La base légale. Un traitement n'est licite que s'il remplit une des six conditions de l'article 6, paragraphe 1, comme l'exécution d'un contrat ou l'intérêt légitime¹.
3. La minimisation. Les données sont limitées à ce qui est nécessaire (article 5, paragraphe 1, point c)¹.
4. Le contrat avec le prestataire. Celui qui traite des données pour votre compte est un sous-traitant (article 4, point 8). Il doit présenter des garanties suffisantes, et un contrat prévoit notamment qu'il n'agit que sur vos instructions documentées et qu'il supprime ou renvoie les données au terme de la prestation (article 28, paragraphes 1 et 3)¹.
5. Les transferts hors de l'Union. Un transfert vers un pays tiers suppose une décision d'adéquation de la Commission ou, à défaut, des garanties appropriées, comme des clauses types (chapitre V, articles 44 à 46)¹.
6. La réutilisation des données saisies. Lisez les conditions du contrat : le prestataire peut-il réutiliser ce que vos équipes saisissent ? Si oui, il agit pour cet usage comme responsable du traitement (article 4, point 7), et il vous revient de décider, au cas par cas, d'interdire la saisie de toute donnée à caractère personnel ou de certaines catégories seulement, ou de vous opposer à cette réutilisation (source : CNIL, questions-réponses citées)³.
7. La sécurité. Les mesures sont adaptées au risque, et toute personne qui agit sous votre autorité ne traite les données que sur votre instruction (article 32, paragraphes 1 et 4)¹. Les comptes ouverts avec une adresse électronique personnelle sont à éviter (source : CNIL, questions-réponses citées)³.
8. L'information des personnes. Les destinataires et les transferts hors de l'Union font partie de ce que vous devez dire aux personnes (article 13 ; article 14 lorsque les données ne viennent pas d'elles)¹.
9. Le registre et l'analyse d'impact. La fiche de l'activité mentionne les catégories de destinataires et les transferts (article 30, paragraphe 1)¹. Une analyse d'impact est effectuée avant le traitement lorsqu'il est susceptible d'engendrer un risque élevé, en particulier par le recours à de nouvelles technologies (article 35, paragraphe 1)¹.

Deux repères pour l'analyse d'impact. Chaque autorité de contrôle publie la liste des traitements qui en exigent une (article 35, paragraphe 4)¹. Et les lignes directrices européennes retiennent neuf critères, parmi lesquels l'usage innovant, les données sensibles et la décision automatisée : lorsqu'au moins deux sont remplis, l'analyse est en principe requise (source : CNIL, fiche citée)⁴.

Données sensibles et données de salariés

Le traitement des catégories particulières de données est interdit par principe, notamment : la santé, l'appartenance syndicale, les opinions politiques, les convictions religieuses, l'origine raciale ou ethnique, l'orientation sexuelle, les données génétiques, et les données biométriques servant à identifier une personne. Les exceptions sont limitativement énumérées (article 9)¹. Un arrêt maladie ou un dossier d'inaptitude n'ont donc rien à faire dans un assistant d'IA tant qu'une de ces exceptions n'est pas établie.

Les données de salariés et de candidats demandent la même prudence. Les États membres peuvent prévoir des règles plus spécifiques pour les relations de travail (article 88)¹. Notre conseil de praticiens : aucun usage portant sur des salariés nommés sans validation préalable.

Aucune décision laissée à l'outil

Toute personne a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé qui produit des effets juridiques à son égard ou l'affecte de manière significative de façon similaire. Les exceptions sont étroites et, pour deux d'entre elles, la personne garde au moins le droit d'obtenir une intervention humaine, d'exprimer son point de vue et de contester la décision (article 22)¹. Le règlement donne lui-même l'exemple de pratiques de recrutement en ligne sans aucune intervention humaine (considérant 71)¹.

Ces outils peuvent produire des résultats inexacts qui paraissent plausibles. Leurs réponses se relisent d'un œil critique et se vérifient (source : CNIL, questions-réponses citées)³.

Ce que le règlement sur l'IA ajoute

Le règlement (UE) 2024/1689 appelle « déployeur » l'organisme qui utilise un système d'IA sous sa propre autorité, hors activité personnelle à caractère non professionnel (article 3, point 4)². C'est votre cas.

Son article 4 porte sur la maîtrise de l'IA. Le chapitre dont il fait partie s'applique depuis le 2 février 2025 (article 113)². Sa rédaction a été modifiée en 2026. Dans la version consolidée au 27 juillet 2026, les déployeurs prennent des mesures pour favoriser le développement de la maîtrise de l'IA par leur personnel, en tenant compte de ses connaissances, de son expérience, de sa formation et du contexte d'utilisation ; le texte précise que cette obligation ne les contraint pas à garantir un niveau donné pour chaque individu². Notre conseil de praticiens : une formation courte, adaptée aux usages réels, et une trace écrite.

Ce règlement ne remplace rien de ce qui précède : il énonce que le RGPD reste applicable aux données à caractère personnel (article 2, paragraphe 7)². Ses autres obligations varient selon les systèmes et les rôles et ne sont pas traitées ici : le tri de candidatures, par exemple, figure parmi les usages à haut risque (annexe III, point 4)².

Une règle interne en cinq points

Encadrer l'usage par une charte interne qui définit les usages autorisés et les usages interdits est une recommandation de l'autorité française (source : CNIL, questions-réponses citées)³. En voici une version courte ; son contenu est notre conseil de praticiens.

1. Ce qui ne se colle jamais. Les données sensibles, les dossiers de salariés et de candidats, les pièces d'identité, les coordonnées bancaires, les réclamations nominatives.
2. Ce qui se colle après anonymisation. Un texte dont on a retiré tout ce qui permet d'identifier quelqu'un, directement ou indirectement. Des initiales ne suffisent pas : des données pseudonymisées, qu'une information supplémentaire permet de rattacher à une personne, restent des données à caractère personnel (considérant 26)¹.
3. Les outils autorisés. Une liste courte, avec des comptes professionnels et une réponse écrite aux neuf questions.
4. Qui valide un nouvel usage. Une personne nommée, avec l'avis du délégué à la protection des données si vous en avez un.
5. Une relecture humaine, toujours. Aucune réponse générée n'est envoyée ni appliquée à une personne sans relecture par quelqu'un qui en répond.

Les erreurs fréquentes

• Croire que l'interdiction suffit. Sans explication, elle est contournée avec des comptes personnels, hors de tout contrat.
• Autoriser un outil au lieu d'un usage. La finalité, la base légale et l'analyse d'impact se décident usage par usage.
• Oublier le registre et les mentions. Un nouveau prestataire est un nouveau destinataire, à inscrire et à annoncer.

En cas de doute, posez la question à votre délégué à la protection des données ou à votre autorité de contrôle avant le premier essai.