IA et RGPD : ce que tout dirigeant doit savoir en 2026

Or, dès qu’un salarié saisit un prompt ou soumet un fichier à ce type de service, il traite des données à caractère personnel, ce qui déclenche l’application du RGPD. Au sein de cet article, nous allons voir ce qu’implique concrètement le sujet « IA et RGPD » pour une entreprise, ce que recommande la CNIL, quels risques encadrer et comment se mettre en conformité avant l’entrée en application de l’AI Act au 2 août 2026. Face à cet empilement d’obligations, un nombre croissant de dirigeants s’appuient sur un DPO externalisé comme Dipeeo pour piloter l’ensemble : registre des traitements, AIPD, charte d’usage de l’IA et encadrement des sous-traitants.

IA et RGPD : de quoi parle-t-on exactement ?

Le Règlement général sur la protection des données ne cite pas l’intelligence artificielle. Il encadre le traitement de toute donnée à caractère personnel, c’est-à-dire toute information se rapportant à une personne physique identifiée ou identifiable : un nom, une adresse e-mail, un numéro de téléphone, une adresse IP, une photo, un extrait de conversation client. Dès qu’un outil d’IA manipule ce type d’informations, le RGPD s’applique.

Trois moments concentrent les risques :

• l’entraînement du modèle, quand le fournisseur constitue son jeu de données ;
• l’usage quotidien, quand un salarié soumet un prompt contenant des informations sur des tiers ;
• la sortie du modèle, quand la réponse générée reproduit ou révèle des données personnelles.

En tant que dirigeant, vous n’avez pas de prise directe sur la phase d’entraînement (elle relève du fournisseur), mais vous êtes pleinement responsable des deux autres. Six principes structurent votre obligation : finalité, minimisation, exactitude, limitation de conservation, sécurité et transparence.

À noter : un simple copier-coller d’un e-mail client dans un ChatGPT gratuit constitue déjà un traitement de données personnelles, avec transfert vers un tiers, hors Union européenne dans la plupart des cas.

IA et RGPD : quelles sont les recommandations de la CNIL ?

La CNIL a publié depuis 2024 une série de fiches pratiques dédiées à l’IA qui constituent la référence officielle pour toute entreprise. Elle a ensuite finalisé début 2025 ses recommandations sur le développement des systèmes d’IA et détaillé sa position dans de nouvelles recommandations dédiées à une innovation responsable.

Trois points doivent retenir l’attention d’un dirigeant :

• La base légale. Toute utilisation de données personnelles doit reposer sur une base légale prévue à l’article 6 du RGPD. La CNIL a publié des recommandations spécifiques sur l’intérêt légitime qui posent trois conditions cumulatives : un intérêt réel, la nécessité du traitement, et une mise en balance favorable aux personnes concernées ;
• L’analyse d’impact (AIPD). Elle est obligatoire pour les usages d’IA impliquant du profilage à grande échelle, un traitement automatisé avec effet juridique, des données sensibles ou une surveillance de personnes. Sont concernés notamment : le tri automatisé de CV, le scoring d’assurance, la détection de fraude ou tout chatbot médical ;
• L’IA générative. La CNIL rappelle qu’un prompt est un traitement à part entière. Elle recommande d’utiliser les versions professionnelles (Enterprise, Business, Team) qui offrent des garanties contractuelles renforcées, et d’interdire l’usage des versions grand public gratuites avec des données professionnelles sensibles.

IA et RGPD : quels risques pour votre entreprise ?

Cinq scénarios reviennent régulièrement dans les contrôles et les signalements.

Le premier est la fuite de données clients dans un prompt. Un commercial colle un e-mail nominatif dans un ChatGPT gratuit ; l’information sort de l’entreprise et peut être conservée ou consultée par des tiers.

Le deuxième concerne les transferts hors Union européenne. La plupart des grands modèles sont hébergés aux États-Unis. Depuis l’invalidation du Privacy Shield en 2020 et l’adoption du Data Privacy Framework en 2023, ces transferts ne sont conformes que si le fournisseur est certifié DPF ou si vous mettez en place des garanties supplémentaires (clauses contractuelles types, analyse d’impact des transferts).

Le troisième est la sous-traitance non encadrée. Un fournisseur d’IA qui traite vos données pour votre compte est un sous-traitant au sens de l’article 28 du RGPD. Un contrat spécifique (Data Processing Agreement) doit être signé. Il figure par défaut dans les versions professionnelles, jamais dans les versions gratuites.

Le quatrième porte sur les biais et les décisions automatisées. Un modèle utilisé pour trier des candidatures ou noter des dossiers peut produire des décisions discriminatoires. L’article 22 du RGPD impose alors une supervision humaine et la possibilité pour la personne concernée de contester la décision.

Le cinquième est la sanction financière et réputationnelle. Le RGPD prévoit des amendes pouvant atteindre 20 000 000 € ou 4 % du chiffre d’affaires annuel mondial. En pratique, les amendes prononcées contre des TPE-PME restent plus mesurées (de quelques milliers à quelques centaines de milliers d’euros), mais elles s’accompagnent d’obligations correctrices publiées sur le site de la CNIL, avec un coût de réputation souvent supérieur à celui de l’amende elle-même.

IA et RGPD : ce que change l’AI Act au 2 août 2026

Le règlement européen sur l’intelligence artificielle (AI Act) est entré en vigueur le 1er août 2024. Il s’applique par vagues successives :

• 2 février 2025 : interdiction des systèmes d’IA à risque inacceptable et obligation de formation à l’IA pour les collaborateurs concernés (article 4) ;
• 2 août 2025 : obligations pour les modèles d’IA à usage général (GPAI), qui pèsent sur les fournisseurs comme OpenAI, Google ou Mistral ;
• 2 août 2026 : entrée en application des obligations pour les systèmes d’IA à haut risque et pour les déployeurs (les entreprises qui utilisent ces systèmes) ;
• 2 août 2027 : application complète à l’ensemble des dispositions restantes.

Pour un dirigeant de PME, l’échéance à retenir est celle du 2 août 2026. À cette date, toute entreprise qui déploie un système d’IA classé à haut risque (RH, éducation, accès aux services essentiels, contrôle biométrique) devra tenir un registre, informer les personnes concernées, garantir une supervision humaine et coopérer avec les autorités de contrôle.

Remarque : l’AI Act et le RGPD ne se substituent pas l’un à l’autre. Ils se cumulent. Le socle documentaire est en grande partie commun (registre des traitements, AIPD, politique de sécurité, formation des équipes).

IA et RGPD : comment se mettre en conformité ?

La mise en conformité peut être structurée en six étapes.

Cartographier, encadrer, sécuriser

Vous devez d’abord identifier les usages d’IA déjà présents dans l’entreprise (le « shadow AI »), puis rédiger une charte d’usage de deux à trois pages précisant ce qui est permis, ce qui est interdit, et à qui s’adresser en cas de doute. Cette charte est diffusée, signée et annexée au règlement intérieur. Il faut ensuite basculer les outils sur leur version professionnelle (Enterprise, Business, Team) pour bénéficier des garanties contractuelles, puis encadrer chaque fournisseur par un contrat de sous-traitance conforme à l’article 28.

Documenter et former

Le registre des traitements doit intégrer chaque nouvel usage de l’IA (finalité, catégories de données, destinataires, durée de conservation, mesures de sécurité). Pour les usages sensibles, une AIPD documentée s’impose. La CNIL met à disposition un logiciel PIA gratuit pour structurer cette analyse. Enfin, l’article 4 de l’AI Act impose depuis février 2025 une obligation générale de formation des collaborateurs qui utilisent des outils d’IA.

Désigner un référent, internaliser ou externaliser

Le RGPD impose la désignation d’un délégué à la protection des données (DPO) pour les autorités publiques, les traitements à grande échelle de données sensibles et les activités de suivi systématique. Hors ces cas, la désignation reste facultative mais vivement recommandée dès qu’une entreprise manipule les données de ses clients, prospects ou salariés.

Trois options s’offrent au dirigeant :

• recruter un DPO en interne (55 000 à 90 000 € par an charges comprises, adapté aux structures de plus de 200 salariés ou aux secteurs sensibles) ;
• nommer un référent RGPD non-DPO parmi les salariés (juriste, DAF, DSI), solution économique mais souvent limitée en expertise ;
• faire appel à un DPO externe.

La troisième option, l’externalisation à un DPO externe, reste la plus rapide et la plus économique pour la majorité des TPE-PME. Un forfait mensuel de 200 à 700 € selon la taille de l’entreprise couvre l’ensemble des livrables (registre des traitements, AIPD, charte d’usage de l’IA, contrats de sous-traitance, notification d’incident), sans commune mesure avec le coût d’un recrutement à temps plein. La conformité produite est opposable en cas de contrôle CNIL.

Le sujet « IA et RGPD » n’est pas hors de portée d’une PME. Un cadrage minimal (charte, versions professionnelles, contrats de sous-traitance, registre à jour, référent désigné) sécurise la grande majorité des usages et prépare sereinement l’échéance du 2 août 2026.