Un coach copie les notes d’une séance dans un assistant conversationnel pour préparer sa restitution. Un DAF y dépose un export comptable afin d’identifier des écarts. Un dirigeant demande une analyse de profils clients. Ces gestes paraissent anodins, mais ils peuvent engager des données personnelles, parfois sensibles, et la responsabilité de l’organisation. Ce guide RGPD pour l’intelligence artificielle ne vise pas à freiner l’usage de l’IA. Il donne un cadre pour l’utiliser avec discernement, performance et respect de la confiance accordée par vos clients, collaborateurs et partenaires.
L’enjeu n’est pas de devenir juriste ou technicien. Il est de savoir poser les bonnes questions avant d’envoyer une information à un outil, d’organiser la décision humaine après sa réponse et de bâtir des pratiques défendables. Dans les métiers de conseil, d’accompagnement et de pilotage, la conformité devient une compétence de leadership.
Pourquoi le RGPD change la manière d’utiliser l’IA
Le RGPD s’applique dès qu’un traitement porte sur des données permettant d’identifier une personne, directement ou indirectement. Un nom, une adresse e-mail, un identifiant client, une voix enregistrée, une évaluation professionnelle ou le détail d’une situation financière peuvent entrer dans ce champ. Une donnée pseudonymisée reste généralement une donnée personnelle si vous conservez le moyen de la relier à la personne.
L’intelligence artificielle ajoute une difficulté : elle peut traiter vite, à grande échelle et selon des mécanismes parfois difficiles à expliquer. Le risque ne vient donc pas seulement du contenu du document transmis. Il peut aussi venir de la finalité de l’usage, de la conservation des conversations, de la localisation des données ou de l’influence exercée par une recommandation algorithmique sur une décision humaine.
Pour un cabinet, une direction financière ou un coach, le réflexe à adopter est simple : une information utile n’est pas automatiquement une information légitime à transmettre à une IA. La question n’est pas seulement « est-ce que cela fonctionne ? », mais « ai-je le droit de le faire, est-ce proportionné, et puis-je l’expliquer à la personne concernée ? ».
Guide RGPD pour l’intelligence artificielle : les décisions à prendre avant l’outil
La conformité ne commence pas dans les paramètres d’une plateforme. Elle commence par la définition du cas d’usage. Décrivez en quelques lignes ce que vous voulez améliorer, les personnes concernées, les données nécessaires et la valeur attendue. Cette étape évite de choisir un outil séduisant avant d’avoir clarifié le besoin métier.
Définir une finalité précise et utile
Le RGPD impose une finalité déterminée, explicite et légitime. « Tester une IA » n’en est pas une. En revanche, « préparer une première synthèse anonymisée des verbatims d’un questionnaire de satisfaction » est une finalité claire. De même, « détecter des incohérences dans un tableau de gestion sans prendre de décision automatique » délimite correctement le rôle de l’outil.
Cette précision vous aide à trier les données. Si l’objectif est de structurer une note de réunion, l’identité complète des participants est rarement nécessaire. Si l’objectif est d’analyser une tendance de trésorerie, les coordonnées personnelles de clients ou de salariés ne le sont pas davantage. L’IA doit recevoir le minimum pertinent, pas l’intégralité du dossier par défaut.
Identifier votre base légale
Tout traitement doit reposer sur une base légale. Dans la pratique professionnelle, l’exécution d’un contrat, le respect d’une obligation légale ou l’intérêt légitime sont souvent plus adaptés que le consentement. Le consentement est utile lorsqu’il est réellement libre, spécifique et révocable. Il est plus fragile dans une relation déséquilibrée, notamment entre employeur et salarié, ou lorsque la personne ne peut pas raisonnablement refuser.
Il n’existe pas de base légale universelle pour « utiliser de l’IA ». Elle dépend du traitement précis. Un expert-comptable ne mobilise pas les mêmes fondements pour respecter ses obligations professionnelles que pour envoyer une communication personnalisée. Un coach doit aussi distinguer ce qui est nécessaire à son accompagnement de ce qui relève d’une analyse complémentaire ou expérimentale.
Écarter ou protéger les données sensibles
Les données de santé, les opinions politiques, les convictions religieuses, l’appartenance syndicale, l’orientation sexuelle ou les données biométriques bénéficient d’une protection renforcée. Dans les échanges de coaching, de management ou de ressources humaines, elles peuvent apparaître sans être explicitement recherchées.
La règle opérationnelle est exigeante : ne transmettez pas ce type de contenu à une IA généraliste sans analyse approfondie, garanties appropriées et nécessité démontrée. Dans de nombreux cas, la meilleure décision reste de l’exclure du flux. Anonymiser réellement, synthétiser manuellement ou traiter le sujet hors de l’outil constitue souvent une meilleure option.
Choisir un fournisseur sans déléguer sa responsabilité
Utiliser une solution d’IA externe ne transfère pas votre responsabilité. Si vous déterminez pourquoi et comment les données de vos clients ou collaborateurs sont traitées, vous restez responsable du traitement. Le fournisseur agit souvent comme sous-traitant, mais cette qualification doit être vérifiée selon son usage réel des données.
Lisez les conditions applicables à l’offre professionnelle, pas uniquement la présentation commerciale. Cherchez notamment si les contenus sont utilisés pour entraîner les modèles, combien de temps ils sont conservés, où ils sont hébergés, comment ils sont supprimés et quelles mesures de sécurité sont prévues. Vérifiez aussi l’existence d’un accord de sous-traitance, les conditions d’assistance en cas d’exercice des droits et le cadre applicable aux transferts hors de l’Espace économique européen.
Un outil gratuit ou un compte individuel utilisé pour des dossiers professionnels est rarement un choix neutre. Il peut manquer de garanties contractuelles, de paramétrage centralisé et de visibilité sur le devenir des données. À l’inverse, une offre entreprise ne rend pas automatiquement un usage conforme. Elle apporte des moyens de contrôle, à condition de les activer et de les inscrire dans une politique interne.
Préserver une décision humaine qui compte réellement
Le RGPD encadre les décisions fondées exclusivement sur un traitement automatisé lorsqu’elles produisent des effets juridiques ou affectent significativement une personne. Refuser un candidat, classer des salariés, tarifer un client, détecter un risque de fraude ou recommander une orientation sensible peuvent entrer dans cette zone de vigilance.
Conserver « un humain dans la boucle » ne consiste pas à cliquer sur valider après avoir lu une recommandation. L’intervention humaine doit être réelle : comprendre les critères, examiner les éléments pertinents, pouvoir contredire l’outil et justifier la décision finale. C’est particulièrement décisif pour les dirigeants, managers, DAF et professionnels de l’accompagnement, dont la valeur repose sur le contexte, la relation et le jugement.
Une bonne pratique consiste à formaliser ce que l’IA peut faire seule, ce qu’elle peut préparer et ce qu’elle ne doit jamais décider. Elle peut, par exemple, classer des pièces, proposer une synthèse ou signaler une anomalie. Elle ne doit pas conclure seule sur la fiabilité d’un collaborateur, la vulnérabilité d’un client ou l’aptitude d’une personne à être accompagnée.
Construire un usage traçable dans l’organisation
Le registre des traitements doit intégrer les usages d’IA qui impliquent des données personnelles. Cette documentation n’est pas une formalité administrative. Elle oblige à rendre visible le circuit de la donnée : sa source, les personnes qui y accèdent, les destinataires, les durées de conservation et les mesures de sécurité.
Certains projets justifient une analyse d’impact relative à la protection des données, souvent appelée AIPD. C’est notamment le cas lorsqu’un dispositif présente un risque élevé, par exemple une évaluation systématique de personnes, le traitement de données sensibles à grande échelle ou une technologie innovante appliquée à des décisions importantes. En cas de doute, solliciter le délégué à la protection des données ou un conseil compétent en amont coûte bien moins cher qu’une correction tardive.
La sécurité mérite la même rigueur. Limitez les accès selon les rôles, activez l’authentification renforcée, évitez les comptes partagés, encadrez le téléchargement des documents et prévoyez une procédure en cas d’erreur d’envoi ou de fuite. Formez surtout les équipes aux situations concrètes : coller un compte rendu nominatif dans un chatbot, demander à l’IA de reformuler un e-mail contenant des données confidentielles, ou importer une liste de contacts pour segmenter une campagne.
Une méthode simple pour passer de l’intention à la pratique
Commencez par sélectionner un seul cas d’usage à fort bénéfice et à faible exposition, comme la création d’un modèle de compte rendu à partir d’informations fictives ou anonymisées. Testez le processus, pas seulement la qualité de la réponse de l’IA. Qui saisit les données ? Quelles données sont exclues ? Qui relit ? Où la sortie est-elle stockée ? Combien de temps ?
Ensuite, transformez les apprentissages en règles courtes, comprises par tous. Une charte d’usage efficace précise les catégories de données interdites, les outils autorisés, les validations requises et la conduite à tenir en cas d’incident. Elle doit soutenir l’autonomie professionnelle, non installer une culture de la peur.
Enfin, réévaluez régulièrement les usages. Les offres évoluent, les paramétrages changent, les équipes trouvent de nouveaux raccourcis et la réglementation se précise. Le RGPD, l’AI Act européen et les obligations sectorielles ne se confondent pas, mais ils convergent vers une même exigence : gouverner l’IA au lieu de la subir.
L’IA mérite mieux qu’un feu vert général ou qu’une interdiction défensive. Lorsqu’elle est cadrée par la minimisation des données, la transparence et une véritable responsabilité humaine, elle devient un levier d’augmentation professionnelle. C’est cette posture qui permet de gagner du temps sans jamais céder ce qui fait la valeur d’un expert : la confiance, le discernement et la capacité à répondre de ses décisions.
