Votre usage de l’IA est-il conforme au RGPD ?

Vous voulez une réponse simple. Votre usage de l’IA est-il conforme au RGPD (Règlement général sur la protection des données) ? Personne ne peut trancher à votre place en une phrase. Vous, si — en huit questions. Répondez par oui ou par non à chacune. Chaque « non » est une faille potentielle. La CNIL (Commission nationale de l’informatique et des libertés) le rappelle : l’IA ne bénéficie d’aucune exemption. Dès qu’un système d’IA traite des données personnelles, le RGPD s’applique. Coller un dossier client dans un ChatGPT grand public est donc un traitement de données. Faisons le diagnostic.

L’auto-diagnostic : huit questions, huit « oui » à viser

Prenez trente secondes. Répondez honnêtement à chaque question. Un « oui » signale un point maîtrisé. Un « non » signale une faille à combler. Comptez vos « non » à la fin.

1. 1Collez-vous des données personnelles ou clients dans un outil d’IA ? Un nom, un email, un dossier RH, un contrat comptent.
2. 2Avez-vous identifié une base légale pour ce traitement ? L’article 6 du RGPD en prévoit six, dont le consentement et l’intérêt légitime.
3. 3Anonymisez-vous les données avant de rédiger le prompt ? L’article 5 impose de ne transmettre que le strict nécessaire.
4. 4Votre outil d’IA offre-t-il un DPA (accord de traitement des données) avec une clause anti-entraînement ?
5. 5Si le traitement présente un risque élevé, avez-vous mené une AIPD (analyse d’impact relative à la protection des données) ?
6. 6Avez-vous informé les personnes concernées que leurs données peuvent transiter par une IA ? Les articles 12 à 14 l’exigent.
7. 7Encadrez-vous les transferts de données hors de l’Union européenne, si votre fournisseur héberge ailleurs ?
8. 8Vos équipes sont-elles sensibilisées à ce qu’elles peuvent, ou non, coller dans un chatbot ?

Comment lire votre score

Additionnez vos « non ». Le résultat n’est pas une note officielle. C’est un signal d’alerte, à votre usage. Voici trois profils simples.

• Zéro « non » : votre cadre est solide. Documentez-le et gardez-le à jour à chaque nouvel outil.
• Un à trois « non » : des failles ciblées à combler. Traitez d’abord celle sur l’anonymisation, la plus rapide à corriger.
• Quatre « non » ou plus : le risque est réel. Posez un cadre d’usage de l’IA avant de continuer, et faites-vous accompagner.

Un point mérite d’être clair. Ce diagnostic éclaire votre exposition. Il ne remplace ni un conseil juridique ni l’avis de votre DPO (délégué à la protection des données) si vous en avez un.

« Faut-il interdire l’IA ? » Non.

Beaucoup de dirigeants tirent la mauvaise conclusion. Ils veulent bannir l’IA. C’est une erreur. Le problème n’est pas l’outil. Le problème, ce sont les données personnelles qu’on y colle sans précaution. L’IA reste utile pour raisonner, rédiger, structurer. Elle n’a simplement pas besoin de voir vos vraies valeurs.

Autre idée reçue. « Nous n’avons pas de DPO obligatoire, donc pas de contrainte. » Faux. La désignation d’un DPO n’est obligatoire que dans trois cas précis, prévus par l’article 37 du RGPD. Utiliser une IA n’en fait pas partie automatiquement. Mais le RGPD, lui, s’applique dans tous les cas. Base légale, minimisation, information : ces obligations tiennent, DPO ou pas.

La faille la plus fréquente — et la plus vite corrigée

Sur les huit questions, une revient sans cesse en « non ». Celle de l’anonymisation. La plupart des équipes collent des données personnelles brutes dans l’IA, sans les masquer. C’est aussi la faille la plus rapide à corriger. Et elle touche un principe central du RGPD.

L’article 5 du RGPD impose la minimisation. On ne traite que des données adéquates, pertinentes et limitées au strict nécessaire. Envoyer un dossier complet à une IA, alors que quelques champs suffisent, contrevient à ce principe. Anonymiser avant le prompt, c’est appliquer la minimisation à la lettre.

Concrètement, comment combler cette faille ? Vous gardez l’IA. Vous retirez seulement les données personnelles du prompt. Voici la marche à suivre.

1. 1Repérez les données personnelles dans votre texte : noms, emails, numéros, montants, coordonnées.
2. 2Remplacez chaque donnée par un jeton réversible, côté navigateur.
3. 3Envoyez uniquement le texte anonymisé à l’IA.
4. 4Restaurez les vraies valeurs dans la réponse, en local, sur votre poste.

Cette étape ne rend pas à elle seule tout votre usage conforme. Elle traite néanmoins la faille la plus courante. Elle sert directement la minimisation de l’article 5. Et elle réduit votre dépendance à la clause anti-entraînement de votre fournisseur, puisque l’IA ne voit jamais les vraies valeurs.

C’est le rôle d’ONYRI Sanitize. Le moteur détecte les données sensibles — noms, emails, numéros, montants — et les remplace par des jetons réversibles avant l’envoi. La détection et le mapping restent dans votre navigateur. Les vraies valeurs ne quittent jamais votre poste. Seul un texte anonymisé atteint le modèle. Vous gardez la puissance de l’IA, tout en appliquant la minimisation que le RGPD et la CNIL attendent de vous.