RGPD et IA : ce qu'un dirigeant doit vérifier avant de signer

Les six questions à poser

Posez-les dans cet ordre, par écrit si possible. Une réponse évasive sur l'une d'elles suffit à écarter un prestataire.

• Où sont hébergées mes données ? Réponse attendue : un pays nommé, et une entreprise nommée. « Dans le cloud » n'est pas une réponse.
• Mes données servent-elles à entraîner un modèle ? Réponse attendue : non, et c'est écrit au contrat. C'est le point qui distingue un usage professionnel d'un usage grand public.
• Qui sont les sous-traitants ? Réponse attendue : une liste. Un fournisseur de modèle, un hébergeur, éventuellement un service de messagerie. Pas davantage.
• Y a-t-il un contrat de sous-traitance au sens de l'article 28 ? Réponse attendue : oui, fourni avant signature, pas après.
• Combien de temps les données sont-elles conservées ? Réponse attendue : une durée chiffrée, et une procédure de suppression.
• Que se passe-t-il si j'arrête ? Réponse attendue : vos données vous sont rendues dans un format lisible, et l'outil vous reste.

Ce qui change pour une profession réglementée

Pour un cabinet d'avocat, un expert-comptable ou un professionnel de santé, la question n'est plus seulement le RGPD mais le secret professionnel, qui est plus exigeant et pénalement sanctionné.

Deux garanties supplémentaires deviennent alors pertinentes. La première est l'installation du modèle sur votre propre infrastructure, de sorte qu'aucune donnée ne transite chez un fournisseur externe. La seconde est le cloisonnement des accès à l'intérieur de l'outil, calqué sur celui de vos dossiers : ce qu'un collaborateur ne peut pas voir aujourd'hui, il ne doit pas le voir davantage demain.

Le point que presque personne ne vérifie

La réversibilité. Beaucoup de contrats promettent l'export des données et oublient l'outil lui-même. Vous récupérez alors un fichier, mais pas ce qui le rendait utile.

Demandez explicitement ce qu'il advient du code source si vous partez. C'est aussi un bon test d'intention : un prestataire qui compte vous retenir par la contrainte plutôt que par le service refusera.

Ce que cela donne chez nous

Pour être cohérents avec ce que nous venons d'écrire, voici nos propres réponses : hébergement en France, aucune réutilisation pour l'entraînement, modèle installable chez vous quand le dossier l'exige, contrat de sous-traitance fourni avant signature, exports disponibles à tout moment et code source cédé sans frais à la sortie.

Ce site lui-même applique le même principe : aucun cookie, aucune mesure d'audience, aucune requête vers un tiers pendant votre lecture.

Le registre des traitements, en pratique

Ajouter un outil d'IA à votre entreprise crée un traitement de données, qui doit figurer dans votre registre. En pratique, cela représente une ligne : la finalité, les catégories de données, les destinataires, la durée de conservation et les mesures de sécurité.

Deux points sont souvent oubliés. L'information des personnes d'abord : si l'outil traite des données de clients ou de salariés, votre mention d'information doit le refléter, ce qui se règle en deux phrases. L'analyse d'impact ensuite, obligatoire seulement dans certains cas, notamment le traitement à grande échelle de données sensibles ou l'évaluation systématique de personnes.

Un outil qui prépare un devis ou lit une facture fournisseur ne relève généralement pas de l'analyse d'impact. Un outil qui évaluerait des candidats ou des salariés, oui. Dans le doute, la question se pose au cadrage, pas après la mise en service.

Les cinq mentions à exiger dans le contrat

Une promesse commerciale n'engage personne. Ces cinq points doivent figurer par écrit, dans le contrat ou son annexe de sous-traitance.

• La localisation de l'hébergement, avec le pays et le prestataire nommés.
• L'interdiction d'utiliser vos données pour entraîner un modèle, formulée sans réserve ni exception.
• La liste des sous-traitants ultérieurs, et l'obligation de vous informer avant tout ajout.
• Les durées de conservation et la procédure de suppression en fin de contrat.
• Les conditions de réversibilité : format des exports, délai de restitution, et sort du code source.

Ce qui n'est pas une garantie

Certaines formules rassurent sans rien promettre. Elles reviennent si souvent qu'il vaut la peine de les nommer.

« Conforme RGPD » ne veut rien dire en soi : la conformité s'apprécie sur un traitement précis, pas sur un produit. « Données chiffrées » décrit un transport, pas un usage, et n'empêche nullement la réutilisation de vos documents. « Serveurs européens » sans nom d'hébergeur ni pays laisse la porte ouverte à des transferts.

La bonne réaction est toujours la même : demandez que la formule soit remplacée par un fait vérifiable. Un prestataire sérieux le fait volontiers, parce que c'est déjà sa pratique.

Questions fréquentes

Faut-il une analyse d'impact (AIPD) ?

Rarement pour les usages que nous construisons. L'AIPD s'impose pour les traitements à risque élevé, par exemple l'évaluation systématique de personnes ou le traitement à grande échelle de données sensibles. Chiffrer un devis ou lire une facture fournisseur n'entre pas dans ces cas. Nous le vérifions pendant le cadrage.

Faut-il informer les salariés ?

Oui, dès lors que l'outil touche à leur travail ou à leurs données. C'est une obligation d'information, pas une demande d'autorisation. En pratique, une note interne et une mention dans le registre suffisent, et cela facilite l'adoption plutôt que de la freiner.

Un modèle installé chez nous, cela veut dire quoi concrètement ?

Que le modèle tourne sur une infrastructure que vous contrôlez, et qu'aucun document ne sort de chez vous vers un fournisseur externe. C'est plus coûteux qu'un modèle mutualisé, donc nous le réservons aux dossiers qui l'exigent réellement, comme certaines matières couvertes par le secret professionnel.