IA et RGPD : ce que vous pouvez faire de vos données

« On aimerait bien, mais le RGPD. » La phrase revient à chaque rendez-vous. Elle cache le plus souvent une inquiétude légitime et une confusion sur ce qui est réellement interdit. Mise au point — sans être juristes, avec ce qu'on observe sur le terrain.

Ce que le RGPD ne dit pas

Il n'interdit pas l'IA. Il encadre le traitement de données personnelles : il faut une base légale, une finalité claire, le minimum de données nécessaire, une durée de conservation, et savoir qui y accède. Un agent IA branché sur votre CRM est un traitement comme un autre : il entre dans votre registre, il se documente.

Les trois questions à se poser avant de brancher quoi que ce soit

1. Quelles données partent, exactement ? Un nom de client dans un devis n'a pas le même poids qu'un dossier médical ou un litige salarial.
2. Où vont-elles ? Chez un fournisseur européen, hors Union, ou nulle part parce que le modèle tourne chez vous.
3. Sont-elles réutilisées ? C'est le point à vérifier noir sur blanc dans le contrat : vos contenus ne doivent pas servir à entraîner un modèle.

La vraie fuite de données en entreprise, ce n'est pas l'agent qu'on installe. C'est le collaborateur qui colle un contrat dans un outil gratuit depuis son téléphone.

Les cas où l'IA privée devient la seule réponse

• Vous êtes tenu au secret professionnel : santé, droit, expertise comptable.
• Vos clients vous imposent contractuellement de ne rien traiter hors de votre infrastructure.
• Vous manipulez des secrets industriels dont la fuite serait irréparable.

Dans ces cas, un modèle installé sur vos serveurs règle le problème à la racine : les données ne sortent pas, il n'y a pas de sous-traitant à auditer, et vous gardez la maîtrise des mises à jour.

La règle interne qui manque presque partout

Une page, affichée, connue de tous : ce qui peut être soumis à une IA, ce qui ne doit jamais l'être, quels outils sont autorisés, et qui valide en cas de doute. C'est le livrable le plus utile — et le moins cher — de tout projet IA. On l'écrit systématiquement lors de nos formations.