IA et RGPD : peut-on automatiser sans exposer ses données ?
Wissam Bouakline · Responsable des Audits & ProjetsPublié le 13 août 2026
La question arrive dans presque tous nos diagnostics, souvent à voix basse, comme un aveu : « et le RGPD, dans tout ça ? » Bonne nouvelle : oui, on peut automatiser avec l'IA en restant conforme. Mauvaise nouvelle : beaucoup d'entreprises sont déjà en infraction sans le savoir, pas à cause de leurs projets d'IA, mais de l'absence de projet.
La réponse courte
Automatiser avec l'IA en conformité RGPD est possible à trois conditions : héberger les données en Union européenne, définir contractuellement ce qui peut transiter vers des modèles d'IA et ce qui ne le doit jamais, et documenter les traitements (registre, durées de conservation, droits d'accès). Le risque principal n'est pas le projet d'IA encadré : c'est l'usage sauvage d'outils gratuits par les équipes.
Le vrai risque : l'IA que vous n'avez pas décidée
Avant de parler de vos futurs projets, parlons de ce qui se passe déjà. Dans beaucoup d'entreprises, des collaborateurs collent des e-mails clients, des devis ou des tableaux entiers dans des assistants IA gratuits pour gagner du temps. C'est compréhensible, et c'est exactement le scénario que le RGPD sanctionne : des données personnelles envoyées vers des serveurs hors Union européenne, sans base légale, sans contrat de sous-traitance, sans trace.
Un projet d'IA encadré fait l'inverse : il définit ce qui entre, ce qui sort, et où tout cela vit. Paradoxalement, automatiser proprement est souvent le premier acte de mise en conformité d'une entreprise.
Les trois conditions d'une IA conforme
Des données hébergées en Union européenne. Le socle : la base de données, les documents et les sauvegardes de votre solution vivent sur des serveurs européens, avec chiffrement au repos et en transit. C'est notre standard sur chaque projet.
Un contrat qui dit ce qui transite, et ce qui ne transite jamais. Toute la subtilité est là. Un agent IA a parfois besoin d'un modèle d'IA pour rédiger ou trier ; ce qui compte, c'est de définir précisément quelles données y passent, sous quelle forme, et lesquelles n'y passent jamais. Sur les projets les plus sensibles, nous nous engageons contractuellement à ce que les données métier ne transitent vers aucune IA cloud : le tri et la rédaction se font alors par un modèle local, qui ne sort pas de l'infrastructure.
Des traitements documentés. Registre des traitements, durées de conservation (dix ans pour le comptable, trois ans pour le pédagogique chez un organisme de formation, par exemple), droits d'accès et d'effacement outillés dans la solution, et non promis sur le papier.
Une règle que nous appliquons aussi au développement
Détail qui n'en est pas un : nos propres outils de développement utilisent l'IA pour écrire du code, jamais avec des données clients réelles. Les jeux de test sont anonymisés. C'est écrit dans nos cahiers des charges, et c'est vérifiable : un prestataire qui développe votre solution en collant votre base clients dans un assistant IA a déjà créé la fuite qu'il prétend prévenir.
Les cinq questions à poser à votre prestataire
Un moyen simple de jauger n'importe quel prestataire IA, nous compris :
« Où sont hébergées mes données, précisément ? » La réponse doit nommer une région (Union européenne), pas une marque.
« Quelles données partent vers des modèles d'IA, et lesquelles jamais ? » Si la réponse est floue, le contrat le sera aussi.
« Que se passe-t-il si je veux tout arrêter ? » Vous devez repartir avec votre code et vos données, sans frais de sortie.
« Comment mes clients exercent-ils leurs droits d'accès et d'effacement ? » La bonne réponse décrit une fonction de la solution, pas une adresse e-mail.
« Développez-vous avec mes données réelles ? » La seule bonne réponse est non.
Un exemple : la conformité cousue dans l'outil
Pour un organisme de formation, la conformité n'était pas une contrainte ajoutée au projet, elle en était une exigence de départ : archivage aux durées légales, signature électronique conforme eIDAS, piste d'audit de facturation, données en Union européenne. Quand la conformité est pensée à la conception, elle ne coûte presque rien ; rattrapée après coup, elle coûte un deuxième projet.
Lire l'étude de cas : le logiciel tout-en-un d'un organisme de formation
Questions fréquentes
ChatGPT est-il interdit en entreprise ?
Non. Ce qui est encadré, c'est d'y envoyer des données personnelles ou confidentielles sans base légale ni contrat adapté. Une charte d'usage interne (ce qu'on peut y mettre, ce qu'on ne met jamais) est le minimum ; une solution encadrée est la vraie réponse.
Faut-il un DPO pour un projet d'agent IA ?
Le DPO n'est obligatoire que dans certains cas (organismes publics, traitements à grande échelle de données sensibles). Pour une PME, un registre des traitements à jour et un projet bien cadré suffisent le plus souvent ; votre juriste ou votre expert-comptable peut confirmer votre situation.
Et vos propres pratiques, sur ce site ?
Elles sont publiques : notre politique de confidentialité détaille ce que fait la démonstration d'agent du site, qui traite quoi, et ce que nous ne conservons pas. C'est le niveau de transparence que vous êtes en droit d'exiger de tout prestataire.
Un projet d'IA et des questions sur vos données ?
Wissam Bouakline · Responsable des Audits & ProjetsElle cadre les diagnostics et chiffre les projets d'agents IA et de logiciels sur mesure d'IA Infinity.