IA en entreprise et RGPD : les règles à respecter avant de déployer un outil

L’adoption de l’intelligence artificielle en entreprise ne supprime aucune des obligations relatives aux données personnelles.

Lorsqu’un salarié transmet à un outil d’IA un CV, un contrat, une fiche de paie, un fichier client ou un dossier commercial, il peut communiquer des informations permettant d’identifier directement ou indirectement une personne.

Ces usages doivent respecter les principes du règlement général sur la protection des données : licéité, transparence, finalité déterminée, exactitude et limitation des informations collectées à ce qui est nécessaire.

La question ne consiste donc pas seulement à choisir un logiciel performant. Elle porte sur les données qui lui sont confiées, les conditions dans lesquelles elles sont conservées et la manière dont ses résultats sont utilisés.

Pourquoi l’IA crée un risque particulier pour les données personnelles

Les outils d’intelligence artificielle peuvent intervenir dans plusieurs fonctions de l’entreprise :

• analyse de candidatures et de CV ;
• rédaction de contrats et de documents ;
• gestion de fichiers clients ;
• analyse de dossiers ;
• production de textes, d’images ou de vidéos ;
• automatisation de tâches administratives.

Ces opérations peuvent conduire les salariés à importer dans un service extérieur des données personnelles, sensibles ou confidentielles.

Juritravail identifie trois risques principaux : la possible réutilisation des informations par le fournisseur, leur transmission par des salariés insuffisamment formés et leur exposition en cas de faille de sécurité.

Selon les chiffres repris par Juritravail à partir du rapport annuel de la CNIL, l’autorité a reçu 6 167 notifications de violations de données personnelles en 2025, contre 5 630 l’année précédente, soit une hausse de 9,5 %.

Ces données portent sur l’ensemble des violations déclarées à la CNIL. Les sources fournies ne précisent pas quelle part est directement liée à des systèmes d’intelligence artificielle.

Le RGPD s’applique aussi aux outils fournis par des entreprises étrangères

Une entreprise ne peut pas considérer qu’elle échappe au RGPD si celle-ci choisit un logiciel développé ou hébergé hors de France.

Le règlement s’applique aux traitements de données personnelles réalisés dans le cadre des activités d’un responsable de traitement établi dans l’Union européenne, que le traitement technique soit ou non effectué sur le territoire européen.

Avant de sélectionner une solution, l’entreprise doit donc examiner ses conditions d’utilisation, sa politique de confidentialité, l’emplacement des serveurs, ses durées de conservation et ses antécédents en matière de sécurité.

Juritravail recommande de réaliser un audit avant de choisir un outil d’IA destiné à un usage professionnel.

La mention « version professionnelle » ou « version entreprise » ne dispense pas de cette vérification. Les sources ne permettent pas d’affirmer qu’un outil particulier serait conforme dans toutes ses configurations et pour tous les usages.

Minimiser les données transmises à l’intelligence artificielle

Le principe de minimisation impose de ne traiter que les informations nécessaires à l’objectif poursuivi.

Une entreprise qui utilise une IA pour analyser des candidatures n’a pas nécessairement besoin de communiquer le nom, l’adresse, le numéro de téléphone ou la photographie des candidats.

Juritravail recommande, dans cet exemple, de retirer les informations permettant de les identifier. Cette précaution réduit la quantité de données personnelles traitées et peut également limiter certains risques de discrimination entre les profils.

La même logique peut être appliquée aux autres documents internes. Un contrat, une facture ou un compte rendu peut être expurgé des noms, coordonnées, numéros de compte et informations confidentielles avant d’être transmis à un modèle.

La minimisation ne consiste pas seulement à supprimer des champs. L’entreprise doit également limiter la durée de conservation et empêcher que les données soient réutilisées pour un objectif différent de celui annoncé.

Anonymiser ne signifie pas seulement supprimer un nom

Le Comité européen de la protection des données a adopté, le 7 juillet 2026, de nouvelles lignes directrices sur l’anonymisation.

Une donnée n’est considérée comme anonyme que si elle ne concerne plus une personne physique identifiée ou identifiable. Cette appréciation dépend du contexte et des moyens raisonnablement susceptibles d’être utilisés pour retrouver l’identité d’une personne.

Le CEPD propose trois critères pour vérifier qu’une anonymisation est suffisamment solide :

1. l’impossibilité d’isoler un enregistrement individuel ;
2. l’impossibilité de relier plusieurs enregistrements concernant la même personne ;
3. l’impossibilité de déduire de nouvelles informations sur cette personne.

Lorsque l’un de ces critères n’est pas satisfait, une analyse complémentaire est nécessaire.

Remplacer un nom par un numéro ou supprimer une adresse électronique ne suffit donc pas nécessairement. D’autres informations contenues dans le fichier peuvent permettre une réidentification.

Les lignes directrices sur l’anonymisation sont soumises à consultation publique jusqu’au 30 octobre 2026. Elles ne doivent donc pas être présentées comme une version définitivement arrêtée.

Le web scraping pour entraîner une IA reste soumis au RGPD

Le CEPD a également publié des lignes directrices consacrées au moissonnage de données, plus souvent désigné par l’expression anglaise « web scraping ».

Cette technique consiste à extraire automatiquement un grand nombre d’informations depuis des sites internet ou des bases accessibles en ligne.

Le fait qu’une information soit publiquement accessible ne la fait pas automatiquement sortir du champ du RGPD. Le règlement s’applique dès lors que le moissonnage comprend la collecte, le stockage, l’organisation ou l’extraction de données personnelles.

Le responsable du traitement doit notamment examiner :

• la base juridique de la collecte ;
• la finalité poursuivie ;
• la quantité de données extraite ;
• la transparence à l’égard des personnes ;
• l’exactitude des informations ;
• la présence éventuelle de données sensibles.

La CNIL présente les nouvelles lignes directrices européennes sur l’anonymisation et le moissonnage destiné à l’IA générative. Le CEPD recommande notamment d’utiliser des sources fiables, de conserver l’horodatage des données et de les valider avant leur utilisation pour entraîner une intelligence artificielle.

Les données sensibles nécessitent une vigilance supplémentaire

Certaines informations bénéficient d’une protection renforcée.

Il s’agit notamment des données relatives à la santé, aux opinions politiques, aux convictions religieuses, à l’appartenance syndicale, à la génétique ou à la biométrie.

Le CEPD rappelle que leur traitement est en principe interdit, sauf si une base juridique et une exception prévues par le RGPD peuvent être mobilisées.

Il n’existe pas d’exemption générale permettant de collecter ces données au motif qu’elles seraient nécessaires à l’entraînement d’un modèle. Chaque situation doit être examinée individuellement.

Pour une entreprise utilisatrice, la mesure la plus directe consiste à interdire l’introduction de données sensibles dans les outils non expressément validés pour cet usage.

Le DPO doit être associé au projet avant son lancement

La conformité ne peut pas être vérifiée uniquement après la mise en production.

Dynamique Entrepreneuriale recommande d’intégrer la protection des données dès la conception du projet d’IA.

Cette démarche, désignée sous le terme de « protection des données dès la conception », suppose d’associer le délégué à la protection des données, ou DPO, aux équipes techniques et opérationnelles.

Le DPO peut notamment intervenir pour :

• identifier les données traitées ;
• vérifier la finalité et la base juridique ;
• évaluer la nécessité d’une analyse d’impact ;
• contrôler les durées de conservation ;
• documenter les mesures de sécurité ;
• examiner les contrats conclus avec les fournisseurs.

Dynamique Entrepreneuriale insiste également sur la nécessité de documenter les sources de données, les traitements effectués et les mesures de sécurité, ainsi que de maintenir une intervention humaine pour les décisions ayant des conséquences importantes.

L’entreprise reste responsable des décisions prises avec l’aide d’une IA

Une intelligence artificielle peut produire une recommandation, classer des candidatures ou signaler un risque. Elle ne transfère pas automatiquement la responsabilité de la décision au fournisseur du logiciel.

Le maintien d’un contrôle humain permet de vérifier la pertinence des données utilisées, de détecter des erreurs et de contester un résultat incohérent.

Cette intervention prend une importance particulière lorsque l’IA participe à une décision concernant un recrutement, une évolution professionnelle, un crédit ou l’accès à un service.

Dynamique Entrepreneuriale présente cette organisation comme un système dans lequel la machine formule une recommandation et l’humain conserve la validation finale.

Les sources fournies ne permettent toutefois pas d’affirmer qu’une validation humaine suffirait, à elle seule, à rendre conforme n’importe quel système automatisé.

Une charte IA pour encadrer les salariés

Le risque ne vient pas seulement du logiciel officiellement choisi par la direction.

Un salarié peut utiliser un compte personnel sur une plateforme publique et y copier des documents internes sans que l’entreprise en soit informée.

Juritravail recommande d’élaborer une charte consacrée à l’utilisation de l’IA. Celle-ci peut définir :

• les outils autorisés ;
• les catégories de données interdites ;
• les documents qui doivent être anonymisés ;
• les vérifications à réaliser avant et après l’utilisation ;
• les règles de confidentialité ;
• les responsabilités de chaque service ;
• les conditions d’utilisation de comptes personnels.

L’entreprise doit également informer, sensibiliser et former ses collaborateurs. Juritravail recommande de rappeler que les obligations de confidentialité et de respect de la propriété intellectuelle continuent de s’appliquer lors de l’utilisation d’un outil d’IA.

Selon la nature du dispositif et ses effets sur l’organisation du travail, la consultation du comité social et économique peut également être requise avant son introduction.

IA et gestion de projet : le gain de temps ne règle pas la question des données

Les outils génératifs peuvent résumer des réunions, établir des calendriers, produire des comptes rendus ou répartir des tâches.

Dans un précédent article, Business Times s’était interrogé sur l’apport réel de l’IA dans la gestion de projet.

Ces usages peuvent conduire les équipes à transmettre des noms de salariés, des données clients, des budgets, des contrats ou des informations sur des projets non publics.

L’évaluation d’un outil ne peut donc pas reposer uniquement sur le temps économisé. Elle doit aussi porter sur la nature des informations utilisées, les personnes qui peuvent y accéder et les conditions de conservation appliquées par le fournisseur.

La CNIL peut accompagner, contrôler et sanctionner

La CNIL exerce plusieurs missions dans le domaine de l’intelligence artificielle.

Elle peut accompagner les organisations, contrôler les traitements, suivre les risques liés à la sécurité et prononcer des sanctions lorsque des violations sont constatées.

Le recours à un fournisseur extérieur n’efface pas les obligations de l’entreprise qui détermine la finalité du traitement et utilise les résultats.

En cas de violation, les conséquences peuvent être financières, juridiques et opérationnelles. Une fuite de données peut également détériorer la confiance des clients, des salariés ou des candidats.

Les vérifications à effectuer avant de déployer une IA

Avant la mise en service, une entreprise peut organiser son contrôle autour de plusieurs questions :

Quel est l’objectif précis de l’outil ?
La finalité doit être définie avant la collecte des données.

Quelles données seront utilisées ?
Les informations non nécessaires doivent être retirées.

Des données sensibles sont-elles concernées ?
Leur utilisation requiert une analyse juridique renforcée.

Où les données sont-elles stockées ?
L’entreprise doit examiner l’hébergement, les transferts et les sous-traitants.

Le fournisseur réutilise-t-il les données ?
Les conditions d’entraînement du modèle et de conservation doivent être vérifiées.

Les personnes sont-elles correctement informées ?
La transparence reste un principe central du RGPD.

Un contrôle humain est-il maintenu ?
Les résultats produits doivent pouvoir être vérifiés et contestés.

Les salariés sont-ils formés ?
Une charte inutilisée et inconnue des équipes ne suffit pas à encadrer les pratiques.

Le DPO et, le cas échéant, le CSE ont-ils été associés ?
Le projet doit être examiné avant son déploiement, et non uniquement après un incident.

Ce qu’il faut retenir sur l’IA et le RGPD

L’utilisation d’une intelligence artificielle en entreprise reste soumise aux règles habituelles de protection des données.

Le RGPD impose de définir une finalité, de limiter les informations collectées, de garantir leur exactitude, d’informer les personnes et de sécuriser les traitements.

L’anonymisation doit empêcher l’individualisation, la corrélation et l’inférence. La simple suppression d’un nom ne garantit pas qu’une personne ne puisse plus être identifiée.

Le moissonnage de données publiques peut rester soumis au RGPD lorsqu’il porte sur des données personnelles.

Pour réduire les risques, l’entreprise doit auditer ses fournisseurs, encadrer les usages des salariés, limiter les données transmises et maintenir un contrôle humain sur les résultats.

La conformité ne dépend donc pas uniquement des caractéristiques techniques du logiciel. Elle repose aussi sur l’organisation mise en place autour de son utilisation.