Google Gemini est-il conforme au RGPD ? Ce que les entreprises doivent savoir

La réponse honnête : cela dépend de la version. Les applications grand public de Gemini et Gemini dans Google Workspace ou Vertex AI ne sont pas la même chose sur le plan juridique. Pour une entreprise, ce qui compte, c'est le bon contrat et une base légale claire. Selon Google, les données des clients Cloud et Workspace ne servent pas à entraîner les modèles sans autorisation. Mais « conforme au RGPD » n'est pas un bouton qu'un outil active — cela dépend de votre configuration.

Application grand public ou version entreprise ?

La première étape est de reconnaître la bonne version. Avec un compte Google personnel, vous utilisez les applications grand public. Les entreprises passent par Gemini dans Google Workspace ou Vertex AI dans Google Cloud. Seules les versions entreprise apportent les engagements contractuels utiles au RGPD.

• Applications grand public : compte Google personnel, pensé pour un usage privé.
• Google Workspace : Gemini dans une offre pro avec cadre contractuel.
• Vertex AI : Gemini via Google Cloud, avec un addendum de traitement des données.
• Selon Google, les clients Cloud ont des engagements différents des particuliers.
• Un compte personnel au travail est rarement le bon choix.

« Pas d'entraînement » ne veut pas dire « pas de conservation »

Beaucoup confondent deux choses. « Non utilisé pour l'entraînement » ne veut pas dire « non conservé ». Selon Google, les saisies des clients Workspace et Cloud ne servent pas à entraîner les modèles sans autorisation. Pour les applications grand public, la documentation Google indique que des extraits de conversations peuvent être examinés par des personnes et conservés un certain temps. Vérifiez donc vos réglages d'activité.

• Entraînement : vos saisies servent-elles à améliorer les modèles ?
• Conservation : vos saisies sont-elles gardées, et combien de temps ?
• Examen humain : des employés peuvent-ils lire des extraits ?
• Selon Google, les applications grand public suivent d'autres règles que Cloud.
• Ces réglages évoluent — consultez la documentation à jour.

Ce que le RGPD demande aux entreprises

Un outil seul ne vous rend pas conforme au RGPD. Il vous faut les bons éléments. Google est un éditeur américain, donc le transfert de données compte. Les points ci-dessous forment le cœur.

1. 1Sous-traitance : un contrat de traitement selon l'art. 28 (chez Google, le Data Processing Addendum).
2. 2Base légale : une base valable selon l'art. 6, comme l'intérêt légitime ou le contrat.
3. 3Transfert hors UE : clauses contractuelles types et garanties selon les art. 44 et suivants.
4. 4Droits des personnes : accès, effacement et opposition doivent rester possibles.
5. 5Documentation : registre des traitements et, si besoin, une analyse d'impact.

Une checklist avant de vous lancer

Avant qu'une équipe n'utilise Gemini, réglez quelques questions. Cela évite les mauvaises surprises. Cette liste ne remplace pas un examen, mais elle donne le bon cap.

• Quelle version de Gemini utilisons-nous — grand public ou entreprise ?
• Un contrat de traitement signé avec Google existe-t-il ?
• La base légale est-elle claire pour chaque usage ?
• Les mécanismes de transfert vers les États-Unis sont-ils documentés ?
• Quelles données les employés peuvent-ils vraiment saisir ?

La minimisation des données est la première défense

Le principe de minimisation de l'art. 5 du RGPD aide ici directement. Moins vous saisissez de données personnelles, plus le risque est faible. Vous devez rarement envoyer de vrais noms ou numéros de client à un modèle d'IA. Souvent, le contexte suffit sans les détails qui identifient.

• Demandez-vous : le modèle a-t-il vraiment besoin de ce nom ?
• Remplacez les vraies données client par des jetons.
• Évitez les catégories particulières de l'art. 9 (par ex. données de santé).
• Moins de saisie, c'est moins de conservation et moins de risque.
• La minimisation réduit l'exposition mais ne remplace aucun contrat.

C'est précisément là qu'intervient ONYRI Sanitize. L'outil détecte les données sensibles dans votre texte et les remplace par des jetons réversibles (tokens) avant que le texte n'atteigne l'IA. La table de correspondance jeton–valeur reste dans votre navigateur et n'est jamais envoyée à un serveur. Après la réponse de l'IA, les vraies valeurs sont restaurées. Soyons honnêtes : il s'agit de pseudonymisation, pas d'anonymisation. Les données pseudonymisées restent personnelles selon le considérant 26 du RGPD. ONYRI réduit votre exposition, mais ne remplace ni un contrat de traitement ni une base légale.

À retenir : « Gemini est-il conforme au RGPD ? » est la mauvaise question. La bonne : utilisez la bonne version, avec le bon contrat, et le moins de données personnelles possible. L'IA devient alors un outil maîtrisé plutôt qu'un risque.