Vos équipes utilisent déjà l'IA. C'est le point de départ honnête de cet article : dans la plupart des PME, ChatGPT, Copilot ou Gemini sont entrés par la porte de service, sans décision, sans compte professionnel, souvent depuis un téléphone personnel. Un commercial y colle un appel d'offres pour le résumer. Une assistante y jette un contrat pour en tirer les échéances. Un développeur y met un extrait de base pour comprendre une erreur.
La question n'est donc jamais « faut-il autoriser l'IA ». Elle est déjà utilisée. La vraie question est : qu'est-ce qui en sort de votre entreprise, et sous quel régime ?
La mauvaise question et la bonne
La mauvaise question, c'est « ChatGPT est-il conforme au RGPD ? ». Elle n'a pas de réponse, parce que la conformité ne se juge pas au niveau de l'outil mais au niveau du traitement : quelles données, pour quelle finalité, avec quelle base légale, chez qui, pendant combien de temps.
Un même outil peut être parfaitement conforme dans un usage et parfaitement illégal dans un autre. Résumer une note interne rédigée par vous ne pose aucun problème. Envoyer le dossier médical d'un salarié dans la même fenêtre en pose plusieurs, quel que soit le fournisseur.
La bonne question tient en trois volets, et c'est le seul cadre utile pour trancher.
Question 1 — Qui est responsable de quoi
Le RGPD distingue deux rôles, et cette distinction commande tout le reste.
Vous êtes responsable de traitement. C'est vous qui décidez d'envoyer des données dans une IA, pour une finalité que vous avez choisie. Cette responsabilité ne se délègue pas : vous ne pouvez pas la reporter sur l'éditeur au motif que c'est son outil. Le fournisseur d'IA est votre sous-traitant — mais seulement s'il l'a accepté par contrat. C'est là que se joue l'essentiel, et c'est le point que presque personne ne vérifie : dans une offre grand public, l'éditeur n'est généralement pas votre sous-traitant. Il traite les données pour son propre compte, selon ses propres conditions. Vous n'avez alors aucun contrat de sous-traitance au sens de l'article 28 du RGPD, et donc aucune des garanties qu'il impose.La différence entre une offre gratuite et une offre entreprise n'est pas une question de fonctionnalités. C'est une question de régime juridique.
Question 2 — Où vont les données, et pour combien de temps
Trois éléments à établir noir sur blanc, dans les conditions contractuelles de l'offre que vous utilisez réellement — pas dans la page marketing.
Vos saisies servent-elles à entraîner le modèle ? Sur les offres grand public, c'est fréquemment le cas par défaut, parfois désactivable dans les réglages. Sur les offres professionnelles, c'est généralement exclu par contrat. L'écart de conséquence est considérable : une donnée absorbée dans un modèle d'entraînement est, en pratique, très difficile à faire effacer — c'est d'ailleurs l'une des difficultés que la CNIL elle-même souligne. Où sont-elles hébergées et traitées ? Un transfert hors de l'Union européenne n'est pas interdit, mais il doit être encadré. Vérifiez ce que prévoit votre contrat, et ne vous contentez pas d'une mention rassurante sur un site : demandez le document. Combien de temps sont-elles conservées ? Les historiques de conversation sont des données. S'ils contiennent des informations sur vos clients, ils entrent dans votre registre des traitements et dans votre politique de conservation.Question 3 — Ce que vous avez dit à vos clients
C'est l'angle mort le plus courant, et le plus facile à corriger.
Les articles 13 et 14 du RGPD imposent d'informer les personnes des destinataires de leurs données. Si vous envoyez des données clients à un fournisseur d'IA, ce fournisseur est un destinataire. Il devrait donc figurer dans votre politique de confidentialité.
Regardez la vôtre. Dans l'immense majorité des PME françaises, elle a été rédigée avant l'arrivée de l'IA générative et n'en dit pas un mot. Ce n'est pas une faute lourde, mais c'est un écart réel entre ce que vous déclarez et ce que vous faites — exactement le genre d'écart qu'un contrôle relève en premier, parce qu'il se constate en lisant une page publique.
Ce qui change le 2 août 2026
Le règlement européen sur l'intelligence artificielle — l'AI Act — est entré en vigueur le 1er août 2024, avec une application échelonnée.
Deux échéances vous concernent déjà :
Depuis le 2 février 2025, l'obligation de maîtrise de l'IA s'applique : les organisations qui déploient des systèmes d'IA doivent veiller à ce que les personnes qui les utilisent aient un niveau de compréhension suffisant. Concrètement, laisser une équipe utiliser une IA sans lui avoir jamais expliqué ce qu'elle ne doit pas y mettre n'est plus tenable. Le 2 août 2026, les obligations de transparence de l'article 50 deviennent applicables, en même temps que les pouvoirs de sanction. Elles visent notamment le fait d'informer les personnes qu'elles interagissent avec une IA, et le marquage des contenus générés.Un mot de prudence, parce que le sujet bouge : un accord dit « Digital Omnibus », intervenu entre le Conseil et le Parlement en mai 2026, réaménage une partie de ce calendrier — le marquage lisible par machine des contenus générés et les obligations sur certains systèmes à haut risque sont décalés. Ces reports ne concernent ni l'obligation de maîtrise de l'IA, ni les interdictions, ni les pouvoirs de sanction. Vérifiez l'état de publication du texte avant de fonder une décision sur une date précise — c'est un domaine où une information de six mois peut être fausse.
Un point que la plupart des articles passent sous silence
La CNIL a publié en février 2025 des recommandations sur l'IA et le RGPD. Elles sont solides et utiles — mais elles portent principalement sur le développement des systèmes d'IA : base légale de l'entraînement, provenance des données, information des personnes dont les données ont servi à construire le modèle.
Il n'existe pas, à ce jour, de guide officiel équivalent qui dirait à une PME utilisatrice : « voici les huit choses à faire avant d'autoriser ChatGPT dans vos équipes ». C'est précisément pour cela que le sujet est traité de façon aussi confuse, et que l'on trouve tout et son contraire.
Ce que la CNIL rappelle clairement, en revanche, c'est que le RGPD s'applique aussi à l'utilisation des modèles, y compris au travers des invites que l'on saisit. Le fait qu'un texte soit tapé dans une fenêtre de conversation ne le sort pas du droit commun.
Vos options, concrètement
Il y en a trois, et elles ne s'excluent pas.
Encadrer l'usage grand public. Le minimum viable : une note interne d'une page qui dit ce qui peut être envoyé et ce qui ne le doit jamais — données de santé, données bancaires, pièces d'identité, informations couvertes par un secret contractuel. C'est gratuit, ça se fait en une après-midi, et ça répond déjà en partie à l'obligation de maîtrise de l'IA. Passer sur une offre professionnelle. Vous obtenez un contrat de sous-traitance, l'exclusion de l'entraînement sur vos données, et des engagements de localisation. C'est la voie la plus rapide vers un usage propre, et elle suffit dans une majorité de cas. Faire tourner l'IA chez vous. Les modèles ouverts installés sur votre propre infrastructure ont franchi, ces deux dernières années, le seuil où ils deviennent réellement utilisables pour des tâches d'entreprise : résumer, classer, extraire, répondre à partir de vos documents. La donnée ne sort alors jamais de votre réseau, ce qui fait disparaître d'un coup la question du transfert, celle de l'entraînement et celle de la conservation chez un tiers.Cette troisième voie n'est pas la bonne réponse pour tout le monde — elle demande une machine, une mise en place et un minimum de maintenance. Elle devient pertinente dès lors que vous traitez des données sensibles, que vous êtes dans un secteur réglementé, ou que le volume rend l'abonnement par utilisateur plus coûteux que l'infrastructure.
Par où commencer cette semaine
Quatre gestes, dans cet ordre, sans budget :
Aucun de ces quatre points ne demande un prestataire. Ils suffisent à sortir de la zone grise, et ils vous mettront en position de décider sereinement si une IA hébergée chez vous a du sens pour votre activité.
---
*Cet article décrit le cadre applicable à sa date de publication et ne constitue pas un conseil juridique. Sur un traitement sensible ou un secteur réglementé, faites valider votre analyse par un conseil spécialisé ou votre DPO.*