C'est la question qui revient dans toutes les PME, et qui reçoit presque toujours une mauvaise réponse. Coller un e-mail client dans ChatGPT pour le reformuler, faire résumer un compte rendu de rendez-vous, faire trier deux cents candidatures : est-ce autorisé ? La réponse courte est oui, sous conditions. La réponse utile tient en une phrase que peu de dirigeants ont entendue : du point de vue du RGPD, c'est vous le responsable de ce traitement, pas l'éditeur de l'IA.
L'essentiel en 30 secondes
- Quand vous confiez des données personnelles à un outil d'IA, vous êtes responsable du traitement. L'éditeur n'est qu'un sous-traitant. C'est vous qu'on interrogera.
- Le plan compte plus que l'outil : sur les offres professionnelles (ChatGPT Team/Enterprise, API, équivalents chez les autres éditeurs), les contenus ne servent pas à entraîner les modèles par défaut. Sur les offres grand public, ce n'est pas le cas par défaut.
- Le recrutement est l'axe prioritaire des contrôles de la CNIL pour 2026, avec les décisions automatisées en ligne de mire.
- Trois documents suffisent à couvrir l'essentiel : un registre des usages, une note d'usage interne, un paragraphe dans votre politique de confidentialité.
Le malentendu de départ
Beaucoup de dirigeants raisonnent comme si l'éditeur de l'IA portait le risque. « Les données sont chez OpenAI, c'est leur problème. » Ce n'est pas ainsi que le RGPD répartit les rôles.
Vous décidez de la finalité (résumer des comptes rendus) et des moyens (cet outil, ce plan, ces données). Vous êtes donc responsable du traitement. L'éditeur, qui traite pour votre compte, est sous-traitant. C'est la position que retient la CNIL dans ses recommandations sur l'IA et le RGPD.
Trois conséquences concrètes.
Il vous faut une base légale pour chaque usage. L'intérêt légitime est mobilisable dans beaucoup de cas professionnels, mais il suppose un examen — et il ne couvre pas tout, en particulier les données sensibles.
Il vous faut informer les personnes concernées. Vos clients, vos candidats, vos salariés doivent savoir qu'un outil d'IA intervient dans le traitement de leurs données. Une ligne dans la politique de confidentialité, pas une refonte juridique.
Il vous faut un contrat de sous-traitance conforme à l'article 28 du RGPD avec l'éditeur. Sur les offres professionnelles, il existe et se signe en ligne ; sur un abonnement grand public souscrit avec une carte bancaire personnelle, souvent pas.
Le plan que vous payez change tout
C'est le point technique le plus déterminant, et il ne coûte rien à corriger.
Sur les offres professionnelles — ChatGPT Team, Business ou Enterprise, l'API, et les équivalents chez les autres éditeurs — les contenus que vous soumettez ne sont pas utilisés pour entraîner les modèles par défaut. OpenAI le documente explicitement pour ses produits d'entreprise, et le partage de données pour l'amélioration des modèles y est une option à activer, pas un réglage par défaut.
Sur les offres grand public — le compte gratuit, l'abonnement individuel — la logique s'inverse : l'amélioration des modèles est activée par défaut et se désactive dans les paramètres, compte par compte. Autrement dit : vous ne pouvez pas garantir à un client ce que fait un outil installé spontanément par un collaborateur sur son compte personnel.
La conclusion pratique est simple. Si vos équipes utilisent l'IA sur des données professionnelles, faites-le sur des comptes de l'entreprise, sur un plan professionnel. La différence de prix est de quelques dizaines d'euros par mois ; la différence de position juridique est considérable.
Ce que vous pouvez confier, et ce que vous ne devriez pas
Aucune règle ne dit « ceci oui, cela non ». Mais une PME peut se doter en dix minutes d'une grille qui tient debout.
Sans difficulté particulière : les contenus que vous avez produits et qui ne concernent personne en particulier — une offre commerciale type, un contenu marketing, une note interne anonymisée, du code qui ne contient pas de secret.
Avec un cadre, sur un plan professionnel : les échanges avec des clients identifiés, les comptes rendus de réunion nominatifs, les documents contractuels. Ce sont des données personnelles ordinaires ; il faut la base légale, l'information et le contrat, mais l'usage est courant et défendable.
À éviter, sauf analyse spécifique : les données de santé, les informations relatives à des condamnations, l'appartenance syndicale, les opinions et convictions — les catégories particulières de l'article 9 du RGPD. Y ajouter, dans un tout autre registre : les secrets couverts par une obligation professionnelle, et les informations confidentielles de vos propres clients lorsque votre contrat vous interdit de les communiquer à un tiers. Ce dernier point est souvent le plus contraignant en pratique, et il n'a rien à voir avec le RGPD : c'est votre contrat.
Le premier filtre est le choix de l'outil. Sur chaque fiche de Panoraia, vous voyez l'hébergement des données, la conformité RGPD, la conformité AI Act et le support en français — les quatre lignes à vérifier avant de confier quoi que ce soit à un outil. Pour une PME francophone, Mistral Le Chat et les autres solutions hébergées dans l'Union européenne simplifient nettement la démonstration de conformité. La catégorie Conformité IA réunit les plateformes de gouvernance dédiées.
Le cas du recrutement, à traiter à part
Si vous utilisez l'IA pour trier des candidatures, vous n'êtes plus dans le cas général.
La CNIL a annoncé le 3 avril 2026 ses thématiques prioritaires de contrôle pour l'année, et le recrutement en fait partie — avec trois angles explicites : les décisions automatisées au sens de l'article 22 du RGPD, l'information des candidats, et les durées de conservation. L'IA n'est pas un axe séparé : elle traverse les priorités. Et cette thématique préfigure le rôle que la CNIL exercera comme autorité de surveillance sur le volet « emploi » du règlement européen sur l'IA.
Deux règles à retenir, valables dès aujourd'hui.
Aucune décision produisant un effet juridique ou significatif ne peut être entièrement automatisée sans base spécifique — c'est l'article 22 du RGPD, et il n'a pas attendu l'IA. Un outil qui écarte des candidats sans intervention humaine réelle vous expose. Une pré-lecture qui classe et qu'un humain reprend intégralement, non.
Le candidat doit être informé de l'usage d'un outil automatisé dans le processus.
Ajoutons que le tri de candidatures figure à l'annexe III de l'AI Act, parmi les usages « à haut risque ». Les obligations correspondantes ont été reportées au 2 décembre 2027 par le règlement (UE) 2026/1744, mais ce report ne concerne que l'AI Act : le RGPD, lui, s'applique déjà. Nous avons détaillé ce calendrier dans notre article sur ce qui change au 2 août 2026, et l'outillage RH dans notre guide des ATS pour PME.
Les trois documents qui vous couvrent
Ni logiciel, ni cabinet, ni budget. Une demi-journée.
1. Le registre des usages d'IA. Un tableau : l'outil, qui l'utilise, pour quoi faire, quelles catégories de données, quel plan (professionnel ou grand public), où sont hébergées les données. C'est le document qui vous sera demandé en premier, et c'est celui qui, en le remplissant, vous fera découvrir deux ou trois outils dont vous ignoriez l'existence dans l'entreprise.
2. La note d'usage interne. Une page : ce qui est autorisé, ce qui ne l'est pas, ce qui doit être relu par un humain, à qui l'on signale un problème. Elle sert deux fois — pour le RGPD, et pour l'obligation de formation de l'article 4 de l'AI Act, que nous détaillons dans cet article.
3. Le paragraphe de la politique de confidentialité. Trois phrases indiquant que des outils d'IA peuvent intervenir dans le traitement, à quelles fins, et que les données ne servent pas à l'entraînement de modèles tiers — si c'est bien le cas, ce qui suppose d'avoir vérifié le point précédent.
Une analyse d'impact (AIPD) devient nécessaire au-delà, lorsque le traitement est susceptible d'engendrer un risque élevé : évaluation systématique de personnes, données sensibles à grande échelle, décisions automatisées avec effet significatif. Pour l'usage bureautique courant de l'IA dans une PME, on n'y est généralement pas.
Par où commencer, concrètement
Faites l'inventaire avant de faire la théorie. Demandez à chacun quels outils il utilise réellement — sans jugement, la réponse est toujours plus longue que prévu. Basculez ce qui touche des données professionnelles vers des comptes d'entreprise sur un plan professionnel. Écrivez la page de règles. Ajoutez le paragraphe à votre politique de confidentialité. Vous aurez couvert l'essentiel du risque réel.
Et si la question de départ est plutôt « quels outils choisir pour ne pas avoir ce problème », notre sélecteur en trois questions part de votre métier ou de votre secteur et privilégie, à qualité égale, les solutions hébergées en Europe.
Sources
- Règlement (UE) 2016/679 (RGPD), articles 6, 9, 22, 28 et 35
- CNIL — recommandations sur l'IA et le RGPD (cnil.fr)
- CNIL — thématiques prioritaires de contrôle 2026, annoncées le 3 avril 2026 (cnil.fr)
- OpenAI — traitement des données des clients professionnels (openai.com/business-data)
- Règlement (UE) 2024/1689 (AI Act), annexe III (EUR-Lex) et règlement (UE) 2026/1744 (EUR-Lex)
---
Cet article présente une analyse d'ordre général à jour au 15 septembre 2026. Il ne constitue ni un conseil juridique, ni un avis personnalisé, et ne saurait se substituer à l'examen de votre situation par un professionnel du droit ou par votre délégué à la protection des données. Les pratiques des éditeurs et les positions des autorités évoluent ; vérifiez-les avant tout engagement. Panoraia décline toute responsabilité quant aux décisions prises sur le seul fondement de ce document.