Automatiser avec l'IA sans se mettre en faute
La question n'est jamais « a-t-on le droit », mais « à quelles conditions ». Voici celles qui s'appliquent réellement à une PME française qui automatise avec de l'IA, et ce qu'elles impliquent concrètement.
Automatiser un traitement de données personnelles avec de l'IA est licite en France et dans l'Union européenne, à quatre conditions : une base légale identifiée, une information claire des personnes concernées, un encadrement contractuel des prestataires et des modèles utilisés, et une inscription au registre des traitements.
L'AI Act ajoute une couche depuis 2024, mais son effet sur une PME reste limité : la quasi-totalité des usages d'automatisation en entreprise relèvent du risque minimal ou limité, dont la seule obligation notable est la transparence, dire aux gens quand ils parlent à une machine.
Ce texte est informatif et ne constitue pas un conseil juridique.
Les quatre conditions, une par une
1. Une base légale
Toute donnée personnelle traitée doit reposer sur l'une des bases prévues par le RGPD. Pour l'automatisation en entreprise, trois reviennent presque toujours :
- L'exécution du contrat : traiter la demande d'un client, produire sa facture, répondre à son ticket. C'est la base la plus solide et la plus simple.
- L'intérêt légitime : prospection B2B, amélioration du service, sécurité. Il exige une mise en balance écrite entre votre intérêt et les droits des personnes : c'est le document que personne ne rédige et que la CNIL demande en premier.
- L'obligation légale : conservation comptable, obligations sectorielles.
Le consentement est souvent invoqué à tort. Il est rarement la bonne base en B2B, et il est fragile : il se retire à tout moment, ce qui oblige à savoir supprimer proprement.
2. L'information des personnes
Les personnes doivent savoir que leurs données sont traitées, par qui, pour quoi, combien de temps, et comment exercer leurs droits. Concrètement : une politique de confidentialité à jour, et une mention au point de collecte.
L'AI Act y ajoute une exigence propre : une personne qui interagit avec un système d'IA doit en être informée. Un assistant conversationnel doit donc se présenter comme tel. Ce n'est pas une contrainte gênante, c'est aussi ce qui évite le sentiment de tromperie quand l'utilisateur s'en rend compte tout seul.
3. L'encadrement des prestataires
Dès qu'un tiers traite vos données pour vous (agence, hébergeur, fournisseur de modèle), il est sous-traitant au sens du RGPD, et cela impose un contrat de sous-traitance (DPA) précisant l'objet, la durée, les mesures de sécurité et le sort des données en fin de contrat.
Trois points à vérifier systématiquement sur un fournisseur de modèle de langage :
- Vos données servent-elles à l'entraînement ? Les offres entreprise l'excluent généralement, les offres grand public non. La différence est contractuelle, pas technique.
- Où le traitement a-t-il lieu ? Un transfert hors UE reste possible mais doit être encadré (décision d'adéquation ou clauses contractuelles types).
- Combien de temps les requêtes sont-elles conservées ? Souvent trente jours pour la lutte contre les abus. À documenter, pas à ignorer.
4. Le registre des traitements
Obligatoire pour la quasi-totalité des entreprises. Chaque automatisation qui touche des données personnelles doit y figurer : finalité, catégories de données, destinataires, durée de conservation, mesures de sécurité. C'est un tableau, pas un projet, mais il doit exister avant le contrôle, pas pendant.
L'AI Act, sans dramatisation
Le règlement européen sur l'IA classe les systèmes par niveau de risque. Pour une PME qui automatise ses opérations, la lecture pratique tient en quelques lignes :
| Niveau | Exemples | Ce que ça implique pour vous |
|---|---|---|
| Inacceptable | Notation sociale, manipulation subliminale | Interdit. Sans objet dans un usage d'entreprise normal. |
| Élevé | Tri de CV, scoring de crédit, sécurité des infrastructures | Obligations lourdes : documentation, supervision humaine, journalisation. Le recrutement est le cas qui concerne le plus de PME. |
| Limité | Assistant conversationnel, contenu généré | Transparence : dire que c'est une IA. C'est tout. |
| Minimal | Tri d'emails, synchronisation, reporting, extraction | Aucune obligation spécifique. La très grande majorité des automatisations. |
Autrement dit : si vous automatisez du back-office, vous êtes en risque minimal. Si vous mettez un assistant face à vos clients, vous devez le signaler. Si vous touchez au tri de candidatures, la conversation est différente et mérite un conseil juridique.
Ce que ça change dans une automatisation bien construite
La conformité n'est pas une couche qu'on ajoute à la fin ; c'est une série de choix de conception. Ceux que nous appliquons par défaut :
Minimisation
L'automatisation ne reçoit que les champs dont elle a besoin. Un agent qui trie des demandes n'a pas besoin de l'historique de facturation.
Traitement sur vos comptes
Les données restent chez vous, avec vos clés. Aucune copie conservée chez nous, ce qui supprime une bonne partie des questions de sous-traitance.
Journalisation
Chaque exécution datée et conservée. C'est ce qui permet de répondre à une demande d'accès sans reconstituer de mémoire.
Suppression réelle
Une demande d'effacement doit se propager partout, y compris dans les systèmes intermédiaires. Ça se conçoit, ça ne s'improvise pas.
Les cinq erreurs que nous voyons le plus
- Coller des données clients dans un outil grand public. Le geste est banal, le transfert est réel, et les conditions ne sont pas celles d'une offre entreprise.
- Prospecter sans intérêt légitime écrit. La mise en balance est le document que la CNIL demande en premier en cas de plainte.
- Ne pas signaler l'assistant. Obligation de transparence de l'AI Act, et coût de confiance quand l'utilisateur le découvre seul.
- Conserver indéfiniment. Une durée de conservation doit être définie et appliquée, pas seulement écrite dans la politique.
- Oublier la sous-traitance en cascade. Votre prestataire a lui aussi des fournisseurs. La liste doit être connue et le contrat doit prévoir son évolution.
Faut-il un DPO pour automatiser avec l'IA ?
Pas nécessairement. La désignation d'un délégué à la protection des données est obligatoire pour les organismes publics, pour le suivi systématique à grande échelle et pour le traitement à grande échelle de données sensibles. Une PME qui automatise son back-office n'entre en général dans aucune de ces cases.
En revanche, quelqu'un doit être identifié comme responsable du sujet, même sans le titre.
Peut-on utiliser un modèle américain comme ChatGPT ou Claude ?
Oui, sous conditions : offre entreprise excluant l'entraînement sur vos données, encadrement du transfert hors UE (clauses contractuelles types), et information des personnes. Beaucoup de fournisseurs proposent désormais un traitement en région européenne, ce qui simplifie nettement.
Pour les données les plus sensibles, un modèle auto-hébergé supprime la question, c'est une option que nous mettons en place quand elle est justifiée.
Une analyse d'impact (AIPD) est-elle obligatoire ?
Elle l'est quand le traitement est susceptible d'engendrer un risque élevé pour les droits des personnes : surveillance systématique, données sensibles à grande échelle, décision automatisée avec effet juridique. Une automatisation de back-office classique n'en relève pas.
Le cas qui doit vous alerter : une décision prise sans intervention humaine et qui affecte significativement une personne. C'est précisément pourquoi nous conservons systématiquement une validation humaine sur ce type d'action.
Que se passe-t-il en cas de contrôle CNIL ?
La CNIL demande le registre, les bases légales, les contrats de sous-traitance et les mesures de sécurité. Une automatisation documentée et journalisée se défend bien ; une automatisation dont personne ne sait exactement ce qu'elle traite, non.
C'est un argument de conception plus que de conformité : ce qui rend un système auditable est aussi ce qui le rend réparable.
Vos automatisations sont-elles conformes par défaut ?
Nous appliquons par défaut la minimisation, le traitement sur vos comptes, la journalisation et la validation humaine sur les actions sensibles. Mais la conformité est la responsabilité du responsable de traitement, c'est-à-dire vous : nous fournissons le contrat de sous-traitance, la documentation technique et les éléments du registre, vous restez le décideur.
À lire ensuite
Nous cadrons la conformité pendant l'audit
Les questions de base légale, de sous-traitance et de transferts se tranchent au cadrage, pas après la mise en production. C'est inclus dans l'audit gratuit.
Réponse sous 24 h · Sans engagement · Devis ferme après l'audit