RGPD et IA : ce que vous pouvez faire de vos données

« Avec le RGPD, on ne peut rien faire. » Faux. Le RGPD n’interdit pas d’exploiter vos données clients avec l’IA : il impose de le faire proprement. La nuance change tout : la plupart des projets IA utiles en PME (priorisation commerciale, chatbot, tri de mails, réponses préparées) sont réalisables dans les clous, à condition de se poser les bonnes questions avant de commencer, pas après.

Voici le mode d’emploi RGPD et IA pour dirigeants et DPO, appuyé sur le texte du règlement et sur les recommandations en vigueur de la CNIL, vérifiés à la rédaction.

Les 4 questions à se poser avant tout projet IA sur données personnelles

1. Ai-je vraiment besoin de données personnelles ? Souvent non. Une prévision de ventes ou une analyse de marges tourne très bien sur des données agrégées ; un assistant branché sur vos procédures internes n’a besoin d’aucune identité. C’est le principe de minimisation. Et le chemin le plus court vers la conformité reste de ne pas embarquer de données personnelles du tout.
2. Pour quelle finalité précise ? « Tester l’IA sur notre base clients » n’est pas une finalité. « Prioriser les relances des factures impayées » en est une : déterminée, explicite, légitime. Sans finalité posée, impossible de choisir une base légale ou d’informer les personnes.
3. Sur quelle base légale ? C’est le cœur juridique du projet (voir ci-dessous). Elle se choisit avant le développement, pas au moment de remplir le registre.
4. Quels risques pour les personnes ? Profilage, données sensibles, volume important, personnes vulnérables : ces signaux déclenchent une analyse d’impact (AIPD). Et dans tous les cas, les personnes gardent leurs droits : information, accès, opposition.

RGPD et IA : les bases légales en pratique

Le RGPD prévoit six bases légales. En pratique, trois portent la plupart des projets IA en PME.

• L’intérêt légitime : la base la plus fréquente pour les usages internes (priorisation commerciale, tri de courriers). La CNIL admet qu’elle peut fonder le développement de systèmes d’IA, à condition de réussir la mise en balance : intérêt réel de l’entreprise, impact limité pour les personnes, garanties concrètes (minimisation, pseudonymisation, durée de conservation courte) et possibilité de s’opposer.
• L’exécution du contrat : quand le traitement est nécessaire au service rendu au client. Un chatbot qui suit une commande, par exemple.
• Le consentement : incontournable pour certains usages (prospection électronique notamment), mais fragile comme fondation d’un projet interne, puisqu’il doit rester libre, spécifique et révocable à tout moment.

Deux pièges classiques. D’abord, la réutilisation : des données collectées pour la facturation ne peuvent pas nourrir n’importe quel projet IA ; il faut vérifier la compatibilité de la nouvelle finalité avec la collecte initiale. Ensuite, la décision entièrement automatisée : refuser un crédit ou écarter une candidature sans aucune intervention humaine relève de l’article 22 du RGPD et exige des garanties renforcées. En PME, la parade est simple : l’IA propose, un humain décide.

Anonymisation ou pseudonymisation : la différence qui compte

Pseudonymiser, c’est remplacer les identifiants directs (nom, e-mail, numéro client) par des jetons ou des alias. L’opération est réversible, puisque quelqu’un détient la table de correspondance : les données restent des données personnelles et le RGPD continue de s’appliquer. C’est néanmoins une excellente mesure de protection, que la CNIL encourage.

Anonymiser, c’est rendre la réidentification impossible en pratique et de manière irréversible. Les données sortent alors du champ du RGPD et peuvent être réutilisées librement. La barre est haute. La CNIL retient trois critères : impossibilité d’isoler un individu, de relier des enregistrements le concernant, et d’inférer de nouvelles informations sur lui.

Dans les faits, beaucoup d’entreprises croient anonymiser alors qu’elles pseudonymisent. Retirer le nom d’un client de son historique d’achats ne suffit pas : la combinaison date, montant et code postal peut suffire à le retrouver. Le bon réflexe : traiter par défaut vos jeux « anonymisés » comme des données personnelles, sauf validation sérieuse du contraire.

Ce que recommande la CNIL pour l’IA

La CNIL publie des fiches pratiques consacrées au développement des systèmes d’IA, régulièrement enrichies : régime juridique applicable, définition de la finalité, choix de la base légale, analyse d’impact, sélection et minimisation des données, recours à l’intérêt légitime (y compris pour la collecte par moissonnage), information des personnes, exercice des droits, annotation et sécurité du développement. Trois idées à retenir pour une PME :

• la conformité se conçoit dès la conception du projet : la rattraper après coup coûte toujours plus cher ;
• l’AIPD n’est pas une punition : c’est l’exercice qui révèle les risques avant qu’ils ne deviennent des incidents ;
• l’information des personnes doit être adaptée à l’IA : dire que des données servent à entraîner ou alimenter un système, et comment s’y opposer.

Trois cas concrets en PME

Le scoring commercial. Prioriser vos relances ou détecter les clients à risque d’impayé sur la base de votre historique : possible, généralement sur l’intérêt légitime, avec information des personnes concernées et sans décision automatisée à effet juridique. L’IA classe, le commercial ou le credit manager décide.

Le chatbot client. Possible, avec trois garanties : minimiser ce que l’utilisateur peut laisser dans la conversation, s’appuyer sur une offre professionnelle qui n’entraîne pas ses modèles sur vos échanges (nous avons détaillé ce point dans ChatGPT en entreprise : que deviennent vos données ?), et purger les conversations selon une durée définie. Depuis août 2026, l’AI Act ajoute l’obligation de transparence : l’utilisateur doit savoir qu’il parle à une IA.

L’analyse de mails entrants. Trier et préparer des réponses : faisable, à condition de traiter la proportionnalité (les mails contiennent des données de clients et de salariés), d’informer les personnes, et de pseudonymiser avant tout appel à un modèle externe. Cette dernière précaution fait la différence.

Ce que nous constatons en mission : la pseudonymisation en amont débloque la majorité des situations. Pour un groupe de cinq sociétés qui voulait accélérer le traitement de ses courriels clients, nous avons intercalé une étape qui remplace noms, sociétés et références par des jetons avant l’appel au modèle, la table de correspondance restant dans le système du client. Le modèle ne voit jamais une identité ; les réponses sont réhydratées au retour. Conformité et utilité ne se sont pas opposées une seule fois sur ce projet.

Retenez une phrase : le RGPD ne vous demande pas de renoncer à l’IA, il vous demande un projet propre, avec une finalité claire, une base légale choisie, des données minimisées et des personnes informées. C’est un travail de cadrage de quelques jours, pas un moratoire. Pour vérifier votre point de départ, notre quiz de readiness IA prend cinq minutes, et notre page IA générative présente les usages que nous déployons.

À jour au juillet 2026 de rédaction. Textes et recommandations cités : RGPD (EUR-Lex) et publications CNIL en vigueur à cette date.

Un projet IA sur données clients en tête, et un doute sur la marche à suivre ? Réservez un appel de 30 minutes : nous validons ensemble la finalité et la base légale de votre projet, garde-fous compris. C’est l’un des livrables de notre audit IA.