Le RGPD-IA désigne l’application des règles du RGPD aux systèmes d’IA qui traitent des données personnelles. Il ne remplace pas l’AI Act : les deux cadres peuvent s’appliquer en parallèle selon le traitement, la finalité et le rôle de l’organisation.
Les enjeux principaux
Base légale du traitement (consentement, intérêt légitime). Information des personnes concernées. Droit d’opposition. Limitation aux données strictement nécessaires. Hébergement et localisation des données.
Données dans les prompts
Mettre des données personnelles dans un prompt constitue un traitement soumis au RGPD. Il n’y a transfert hors Espace économique européen que si les flux, accès ou sous-traitants concernés le caractérisent ; la région déclarée doit être vérifiée dans le DPA et la documentation du fournisseur.
Solutions de conformité
Minimiser ou anonymiser réellement les données lorsque c’est possible, choisir une offre et des paramètres adaptés, documenter les flux, la base légale, les durées et les sous-traitants. Le consentement n’est qu’une base légale possible parmi d’autres et l’hébergement local ne suffit pas à lui seul.
Les 6 risques RGPD spécifiques à l’IA générative
(1) Transferts hors EEE, à vérifier selon les flux et sous-traitants, avec le mécanisme de transfert approprié. (2) Réutilisation pour l’entraînement, selon l’offre et les réglages. (3) Conservation dans les historiques, journaux ou sauvegardes. (4) Décisions fondées exclusivement sur un traitement automatisé avec effet juridique ou similaire, visées par l’article 22. (5) Profilage, selon la manière dont les données servent à évaluer une personne. (6) Catégories particulières de données, soumises à l’article 9 et à l’une de ses exceptions, pas nécessairement au seul consentement.
Les bonnes pratiques minimales pour une PME française
(a) Charte IA interne précisant les usages autorisés et interdits. (b) Minimisation et anonymisation réelle lorsque possible ; retirer quelques identifiants n’est souvent qu’une pseudonymisation. (c) Vérification de l’offre, du DPA, des réglages de réutilisation et de conservation, sans présumer qu’une offre Enterprise suffit. (d) Cartographie des usages, données, finalités, bases légales, destinataires et durées. (e) Mise à jour de l’information des personnes lorsque le traitement l’exige.
Que dit la CNIL en 2026
La CNIL a publié plusieurs guides depuis 2024 sur l’IA : "Les recommandations pour le développement d’IA respectueux du RGPD", "Le bac à sable Données et IA", et plusieurs fiches pratiques par cas d’usage (santé, RH, scoring). Ses positions clés en 2026 : (1) la base légale "intérêt légitime" peut couvrir l’usage IA en interne, sous conditions ; (2) l’entraînement de modèles sur des données scrapées du web reste très encadré ; (3) le droit à l’information des personnes est renforcé pour les usages IA. Toutes ces publications sont accessibles sur cnil.fr/fr/intelligence-artificielle.
Les pièges à éviter
Erreurs courantes en entreprise
Coller des données RH dans ChatGPT public
CV, fiches de paie ou comptes-rendus d’entretien sont des données personnelles. Avant tout usage dans un assistant IA, vérifiez la finalité, la base légale, le contrat, les réglages, les flux et la conservation. Une offre Enterprise ou un modèle hébergé en France n’est pas conforme par nature.
Ne pas informer les personnes concernées
Si vous utilisez de l’IA pour traiter des données candidats, clients, salariés, vous devez les informer. Une mise à jour de la politique de confidentialité + un paragraphe explicite dans les communications RH/client suffisent souvent.
Confondre "anonymisation" et "pseudonymisation"
Remplacer "Marie Dupont" par "Candidate 47" est de la pseudonymisation, toujours soumise au RGPD. Une vraie anonymisation (irréversible, impossible à ré-identifier) est rare en pratique. Mieux vaut sécuriser le traitement plutôt que d’espérer "anonymiser".
Quand ne PAS l’utiliser
Le RGPD ne s’applique pas si vous ne traitez aucune donnée personnelle, par exemple une IA qui aide à rédiger des documents techniques internes, à générer du code, ou à traduire des contenus publics. Pour tous ces usages, vous restez libre dans le cadre du RGPD (mais l’IA Act peut s’appliquer pour d’autres raisons).
🇫🇷 Contexte français
En France, la CNIL est l’autorité compétente pour le RGPD et publie des recommandations sur les systèmes d’IA. Ses dispositifs d’accompagnement ne constituent pas une validation générale de conformité. Sources à consulter : cnil.fr/fr/intelligence-artificielle et les pages officielles du bac à sable lorsqu’un appel est ouvert. Informations vérifiées le 13 juillet 2026.
Questions fréquentes
Le RGPD s’applique-t-il à ChatGPT ?
Le RGPD s’applique à votre traitement dès que des données personnelles sont concernées. Aucune offre n’est conforme par nature : vérifiez la finalité, la base légale, le DPA, les sous-traitants, les transferts éventuels, la conservation et les réglages de réutilisation avant un usage professionnel.
Puis-je utiliser une IA pour trier des CV en France ?
Cela dépend de la finalité et du fonctionnement. Il faut notamment déterminer une base légale, informer les candidats, prévenir les discriminations et vérifier l’article 22 si la décision est exclusivement automatisée avec un effet significatif. Certains systèmes destinés au recrutement relèvent du haut risque AI Act ; faites confirmer la classification et le calendrier applicable.
Quelle est la différence entre RGPD et IA Act ?
Le RGPD (2018) protège les données personnelles, il s’applique dès qu’une donnée identifie ou peut identifier une personne. L’IA Act (2024/1689) régule les systèmes d’IA, il s’applique selon le niveau de risque du système, indépendamment des données utilisées. Les deux s’appliquent en parallèle pour un système IA traitant des données personnelles.
Comment se mettre en conformité RGPD pour l’IA en 2 semaines ?
Un inventaire initial peut être lancé rapidement, mais aucun délai standard ne garantit la conformité. Il faut cartographier les traitements, qualifier les bases légales et les risques, vérifier les fournisseurs et transferts, puis prioriser les mesures avec le DPO ou un conseil selon la complexité.
Exemple concret
Une équipe RH copie-colle des CV dans un assistant public sans avoir vérifié le contrat, les réglages, la conservation ni l’information des candidats. Ce traitement de données personnelles doit être encadré avant usage.
À retenir
RGPD-IA n’est pas une nouvelle réglementation : c’est l’application du RGPD aux usages IA. Une cartographie factuelle est nécessaire avant de conclure à la conformité ou à la non-conformité.