Utiliser l’IA en entreprise sans enfreindre le RGPD : le guide

La réponse tient en une phrase. Oui, vous pouvez utiliser l’IA en entreprise sans enfreindre le RGPD. La CNIL ne l’interdit pas. Elle demande de respecter quelques principes clairs. Le plus efficace de tous s’appelle la minimisation. N’envoyez à l’IA que le strict nécessaire. Et anonymisez les données personnelles avant le prompt. Une donnée qui n’atteint jamais le modèle ne peut pas fuiter. Ce guide vous donne les règles concrètes, l’objection à lever, et la parade la plus simple.

Le problème : vos équipes utilisent déjà l’IA

Regardez ce qui se passe dans vos équipes. Un commercial demande à ChatGPT de résumer un échange client. Une assistante colle un contrat dans Copilot pour le reformuler. Un support saisit une réclamation entière dans Le Chat. À chaque fois, des données personnelles quittent le poste. Un nom. Un e-mail. Un numéro de téléphone. Parfois bien plus.

Ces usages sont utiles. Ils font gagner du temps. Mais ils se produisent souvent sans cadre, ni consigne. C’est là que le risque commence, pour l’entreprise et pour les personnes concernées.

L’enjeu : vous êtes le responsable de traitement

Un point de droit change tout. L’entreprise qui décide des finalités et des moyens d’un traitement est le « responsable de traitement » au sens du RGPD. C’est elle qui porte la responsabilité de la conformité. Y compris quand un salarié saisit des données personnelles dans une IA externe. Le geste vient d’un collaborateur. La responsabilité, elle, remonte à l’entreprise.

Le RGPD s’applique donc à ces usages. La CNIL, l’autorité française de protection des données, peut contrôler et sanctionner. Le règlement prévoit des amendes administratives graduées. L’article 83 fixe des plafonds. Ils vont jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour certaines violations. Et jusqu’à 20 millions ou 4 % pour les manquements aux principes fondamentaux. Ce sont des plafonds théoriques, pas une somme automatique. La CNIL module fortement selon la gravité et la coopération.

La règle qui protège le plus : la minimisation

Parmi toutes les obligations, une seule agit à la racine du risque. C’est la minimisation des données, posée à l’article 5 du RGPD. Les données traitées doivent être adéquates, pertinentes et limitées au strict nécessaire. La CNIL recommande de privilégier la technique qui atteint le résultat avec le moins de données personnelles possible. Cela inclut d’anonymiser ou de pseudonymiser en amont, quand l’identité de la personne n’est pas nécessaire.

Le raisonnement est simple. Si l’IA n’a pas besoin du vrai nom de votre client pour reformuler un e-mail, ne le lui donnez pas. Vous obtenez le même résultat, sans exposer la personne. La minimisation n’est pas un frein. C’est le contrôle le plus économique et le plus honnête.

Voici les règles concrètes à tenir, en tant que responsable de traitement.

• Base légale (article 6) : identifiez dès le départ pourquoi vous traitez ces données — consentement, contrat, intérêt légitime — et documentez la finalité.
• Minimisation (article 5) : n’envoyez à l’IA que le strict nécessaire, et anonymisez les données personnelles quand l’identité n’est pas utile.
• AIPD (article 35) : réalisez une analyse d’impact relative à la protection des données si le traitement présente un risque élevé pour les personnes.
• Information des personnes : dites clairement à vos clients et salariés que leurs données peuvent être traitées via des outils d’IA.
• Choix des outils : privilégiez un fournisseur avec un contrat de traitement (DPA) et une clause « pas d’entraînement » sur vos données.
• Humain dans la boucle : gardez une relecture humaine avant toute décision qui touche une personne.

Deux points méritent de la rigueur, car ils sont souvent mal compris.

Faut-il interdire l’IA ? L’objection à lever

Beaucoup de dirigeants tranchent par l’interdiction. C’est tentant, mais contre-productif. Interdire l’IA ne fait pas disparaître le besoin. Vos équipes basculent alors vers des outils grand public, sur leur compte personnel, hors de tout contrôle. C’est le « shadow AI » : un usage caché, sans cadre, où vous ne voyez plus rien passer.

La voie sûre est l’inverse. Encadrez l’usage, puis outillez-le. Donnez à vos équipes un moyen simple d’utiliser l’IA sans exposer les données personnelles. Vous gardez la productivité, et vous reprenez la maîtrise.

La solution : anonymiser avant le prompt

Traduisons la minimisation en geste concret. Avant d’envoyer un texte à l’IA, remplacez chaque donnée personnelle par un jeton. Le nom du client devient un jeton. L’e-mail devient un jeton. L’IA raisonne sur la structure de votre demande, sans jamais voir les vraies valeurs. Vous, vous restaurez les valeurs réelles ensuite, en local.

C’est exactement ce que fait ONYRI Sanitize. Le moteur détecte les données sensibles et les remplace par des jetons réversibles, avant l’envoi. La marche à suivre tient en quatre étapes.

1. 1Repérez les données personnelles dans votre texte : noms, e-mails, téléphones, adresses, montants.
2. 2Remplacez-les par des jetons réversibles, côté navigateur.
3. 3Envoyez seulement le texte anonymisé à l’IA de votre choix.
4. 4Restaurez les vraies valeurs dans la réponse, en local.

ONYRI Sanitize est un contrôle de minimisation parmi vos obligations, pas une conformité RGPD clé en main. Mais c’est le contrôle qui agit là où le risque naît. La détection et le mapping restent dans le navigateur. Seul un texte anonymisé atteint le modèle. Les vraies valeurs ne quittent pas le poste. Vous appliquez concrètement la minimisation que la CNIL recommande, et vos équipes gardent l’IA qui les fait avancer.