IA et RGPD : ce que votre PME peut (vraiment) confier à ChatGPT.

Répondons d'abord à la question que vous êtes venu poser : oui, une PME peut utiliser ChatGPT, ou Claude, ou Copilot, dans le cadre du RGPD. Le règlement européen n'interdit aucun outil d'intelligence artificielle. Ce qu'il encadre, c'est le traitement des données personnelles : ce que vous mettez dedans, dans quelle version de l'outil, et avec quelles précautions. Trois règles suffisent à couvrir l'immense majorité des usages quotidiens : classer ses données avec un feu tricolore, travailler sur une offre professionnelle plutôt que sur un compte gratuit, et pseudonymiser ce qui doit l'être. On les détaille une par une, avec, à la fin, ce que le règlement européen sur l'IA ajoute pour les PME et ce que votre juriste doit valider.

Règle n°1 · Le feu tricolore des données 🟢🟠🔴

C'est le réflexe que nous enseignons dès la première heure de formation, parce qu'il remplace un texte de 99 articles par une question que chacun peut se poser avant de coller quoi que ce soit dans un chatbot : cette information est-elle verte, orange ou rouge ?

🟢 Vert, les données publiques : allez-y

Tout ce qui est déjà accessible à n'importe qui : le contenu de votre site web, vos plaquettes commerciales, une réglementation, un article de presse, la description publique d'un concurrent. Aucune donnée personnelle, aucun secret. C'est le terrain de jeu naturel de l'IA, reformuler une page produit, résumer un appel d'offres public, comparer deux textes officiels. Aucune précaution particulière, quel que soit l'outil.

🟠 Orange, les données internes : version pro et bon sens

Les informations qui appartiennent à l'entreprise sans identifier une personne : un processus interne, une grille tarifaire, un modèle de devis, des chiffres agrégés, un brouillon de note de service. Ces données ne relèvent pas du RGPD tant qu'elles ne sont pas nominatives, mais elles relèvent de la confidentialité de l'entreprise. La règle : elles n'entrent que dans un outil en version professionnelle (on y revient juste après), jamais dans un compte gratuit personnel. Un comptable qui fait analyser une balance âgée anonyme, une assistante qui fait reformuler une procédure interne : orange, autorisé, dans le bon outil.

🔴 Rouge, les données nominatives et sensibles : stop, ou pseudonymisation

Tout ce qui identifie directement une personne physique : nom + situation, coordonnées, données bancaires, et à plus forte raison les catégories dites sensibles au sens du RGPD, santé, opinions, vie personnelle. Un dossier RH, le CV d'un candidat, la réclamation nominative d'un client, un échéancier de paiement avec les noms : rouge. Ces données ne se collent jamais telles quelles dans un outil d'IA, même en version pro, sans réflexion préalable. C'est ici que la pseudonymisation (règle n°3) change tout, et c'est pourquoi le parcours RH est celui où nous passons le plus de temps sur ce sujet : les ressources humaines manipulent les données les plus protégées de l'entreprise.

Un exemple par métier pour fixer les idées : le commercial qui prépare un argumentaire à partir du site d'un prospect travaille en vert. La comptable qui fait rédiger une relance de facture type, sans nom ni montant réel, travaille en orange. La RH qui voudrait faire trier trente CV nominatifs par un chatbot est en rouge, et doit s'arrêter, ou transformer sa demande.

Règle n°2 · Version gratuite ou offre professionnelle : ce n'est pas le même contrat

C'est le point que la plupart des PME découvrent en formation, et il est décisif. Les versions grand public gratuites des chatbots peuvent, selon leurs conditions d'utilisation, exploiter vos conversations pour améliorer leurs modèles. Les offres professionnelles (Team, Enterprise, API…), elles, s'engagent contractuellement à ne pas entraîner leurs modèles sur vos données. Ce n'est pas une nuance technique : c'est la différence entre confier un document à un prestataire sous contrat et le laisser sur une table de café.

Concrètement, cela veut dire deux choses. D'abord, l'entreprise choisit et paie les outils de ses équipes, le compte ChatGPT personnel d'un salarié, alimenté avec des données de l'entreprise, est précisément le « shadow AI » qu'il faut faire sortir de l'ombre. Ensuite, ce choix d'outil se documente : quel éditeur, quelle offre, quelles garanties contractuelles, où sont hébergées les données. Si vous hésitez entre les grands outils du marché, notre comparatif ChatGPT, Claude ou Copilot détaille les offres pro de chacun. Et pour vérifier ce que vous vendent certains prestataires peu scrupuleux au passage, lisez aussi notre guide des arnaques à l'IA : la « conformité RGPD garantie » vendue très cher est un grand classique.

Règle n°3 · La pseudonymisation : « Client A », le réflexe qui débloque presque tout

Voici la bonne nouvelle de cet article : dans la vraie vie d'une PME, l'écrasante majorité des cas « rouges » se transforment en cas « oranges » par un geste simple, retirer ce qui identifie la personne avant de soumettre le texte à l'IA. C'est ce que le RGPD appelle la pseudonymisation. Le point de départ est confirmé noir sur blanc par la CNIL dans ses questions-réponses sur l'IA générative : le RGPD s'applique dès que des données personnelles entrent dans le système ou en sortent, vos prompts compris.

La réclamation de Mme Martin devient « la cliente A se plaint d'un retard de livraison de trois semaines sur sa commande de volets ». Le chatbot n'a pas besoin de savoir qui est Mme Martin pour proposer une réponse structurée, ferme et empathique, c'est le contexte du problème qui compte, pas l'identité. Le litige avec un fournisseur devient « le fournisseur B conteste la pénalité prévue à l'article 7 du contrat ». La demande RH devient « un salarié en CDI depuis quatre ans demande un passage à temps partiel ». Dans chaque cas, la valeur ajoutée de l'IA est intacte, le risque a disparu.

Deux précisions honnêtes. Un : la pseudonymisation n'est pas l'anonymisation, si le contexte permet de réidentifier la personne (« notre seul client à Strasbourg qui commande des volets »), la donnée reste personnelle au sens du RGPD. Le bon réflexe est de généraliser aussi le contexte. Deux : certaines données restent rouges même pseudonymisées, notamment les données de santé, un dossier médical « anonymisé » à la main n'a rien à faire dans un chatbot. Dans le doute, on s'abstient et on demande au référent.

Ce que l'AI Act ajoute pour les PME

Le RGPD encadre les données ; le règlement européen sur l'IA, l'AI Act, dont le texte complet est consultable sur artificialintelligenceact.eu, encadre les usages. Pour une PME qui utilise des outils du marché, deux points concentrent l'essentiel :

L'article 4 et la « maîtrise de l'IA ». Depuis le 2 février 2025, les entreprises qui utilisent des systèmes d'IA doivent veiller à ce que leur personnel dispose d'un niveau suffisant de maîtrise de l'IA, en tenant compte du contexte et des usages, et sans seuil de taille : PME incluses. Les autorités nationales de surveillance pourront en contrôler l'application à partir du 2 août 2026. Pour une PME, la réponse attendue est proportionnée : pas un programme de certification, mais une formation adaptée aux métiers et aux outils réellement utilisés. C'est très exactement l'obligation que couvre une formation comme celles décrites dans notre guide complet de l'IA en PME, et que nous décortiquons, calendrier et sanctions compris, dans notre article dédié à l'AI Act et à la formation obligatoire.

Le recrutement est un usage à haut risque. Utiliser l'IA pour trier des CV, évaluer des candidats ou noter des salariés place l'entreprise dans la catégorie des usages à haut risque du règlement : supervision humaine obligatoire, critères explicites, vigilance renforcée. Cela ne veut pas dire « interdit », cela veut dire « jamais en pilote automatique ». Le calendrier d'application du règlement s'étale jusqu'en 2026-2027 ; les textes officiels sont publiés par la Commission européenne.

Les droits des personnes et le rôle de la CNIL

Utiliser l'IA ne suspend aucun des droits que le RGPD donne à vos clients, candidats et salariés : information, accès, rectification, effacement, opposition. Si un traitement impliquant l'IA touche leurs données personnelles, il doit apparaître dans votre registre des traitements et, le cas échéant, dans votre politique de confidentialité, la nôtre est publique, jugez sur pièces. En France, l'autorité de référence est la CNIL, qui a publié 13 fiches pratiques sur l'IA (avril 2024, complétées par une recommandation en février 2025) ainsi que des recommandations dédiées au déploiement de l'IA générative : partir d'un besoin concret, lister les usages autorisés et interdits, former les utilisateurs, impliquer le DPO, et, pour les données les plus sensibles, privilégier des systèmes « locaux, sécurisés et spécialisés », une piste que nous explorons dans notre article sur l'IA souveraine. Rédigées pour être lisibles par des non-juristes, ce sont les premières ressources à mettre entre les mains de votre référent. Autorité de conseil, la CNIL est aussi une autorité de contrôle : son bilan 2025 fait état de 83 sanctions pour 486,8 M€ d'amendes, dont 16 concernaient la vidéosurveillance de salariés et 14 une sécurisation insuffisante des données. Pour le volet sécurité (mots de passe, hameçonnage, fuites de données, des sujets que l'IA rend plus sensibles, pas moins), le réflexe équivalent est cyber.gouv.fr, le site de l'agence nationale de la sécurité des systèmes d'information.

Ce que cet article n'est pas

Un dernier mot, important. Les trois règles ci-dessus constituent un cadre de bon sens, celui que nous enseignons et appliquons, pas un avis juridique. Chaque entreprise a ses spécificités : secteur réglementé, sous-traitance, transferts hors Union européenne, conventions collectives. Avant de figer votre charte IA, faites-la relire par votre juriste, votre avocat ou votre DPO si vous en avez un : c'est une relecture d'une page, pas un chantier, et c'est lui qui a le dernier mot sur votre situation particulière. Notre rôle, c'est le reste : que vos équipes comprennent les règles, se les approprient et les appliquent sans y penser.

Car c'est la vraie conclusion : la conformité ne se joue pas dans le document, elle se joue dans les gestes quotidiens de la personne qui s'apprête à coller un texte dans un chatbot. Vert, orange ou rouge ? Version pro ? « Client A » ? Trois questions, deux secondes, et votre PME utilise l'IA avec l'esprit tranquille.