Rédiger un courriel, résumer un document, analyser un contrat, préparer une présentation ou répondre plus rapidement à un client : l’intelligence artificielle générative s’installe dans les usages professionnels.
En 2025, 26 % des TPE et PME françaises déclaraient utiliser au moins une solution d’intelligence artificielle, soit deux fois plus qu’un an auparavant. L’IA générative représentait l’usage le plus fréquent : 22 % des entreprises interrogées l’utilisaient pour produire du texte, de la voix ou des images.
Cette adoption rapide crée cependant une nouvelle zone de risque. Lorsqu’un collaborateur copie dans un outil d’IA un CV, un contrat, un compte rendu médical, un fichier client ou un échange commercial, les données quittent potentiellement l’environnement habituel de l’entreprise.
L’IA générative ne crée pas une exception au Règlement général sur la protection des données. Dès lors que des données personnelles sont collectées, transmises, analysées ou produites par un système d’IA, le RGPD peut s’appliquer.
Le premier risque se trouve dans les instructions données à l’IA
Les utilisateurs d’un outil d’IA générative travaillent à partir d’une instruction, généralement appelée « prompt ». Cette instruction peut contenir des informations beaucoup plus sensibles qu’ils ne l’imaginent.
Quelques exemples courants :
- « Résume-moi ce dossier de candidature » ;
- « Réécris ce courriel reçu d’un client mécontent » ;
- « Analyse ce contrat et identifie les clauses risquées » ;
- « Classe cette liste de prospects par potentiel commercial » ;
- « Prépare une réponse à partir de ce dossier médical » ;
- « Corrige le code source de notre application ».
Dans ces situations, le collaborateur peut transmettre des noms, des coordonnées, des données financières, des informations professionnelles, des données de santé ou des secrets d’affaires.
La CNIL rappelle que les systèmes d’IA générative peuvent traiter les instructions saisies, les documents importés et les interactions avec leurs utilisateurs. Les conditions dépendent du fournisseur, du type d’abonnement et des réglages retenus.
Avant d’autoriser un outil, l’entreprise doit donc vérifier :
- si les données saisies sont conservées ;
- si elles peuvent être utilisées pour entraîner ou améliorer le modèle ;
- pendant combien de temps elles sont stockées ;
- dans quel pays elles sont hébergées ;
- quels sous-traitants peuvent y accéder ;
- comment les données peuvent être supprimées ;
- quelles garanties contractuelles sont prévues.
L’utilisation d’un compte professionnel encadré par un contrat n’offre pas les mêmes garanties que l’utilisation gratuite d’un compte personnel.
Une donnée publique reste une donnée personnelle
Une idée reçue consiste à penser qu’une information accessible sur Internet peut être librement collectée et réutilisée par une intelligence artificielle.
Or le caractère public d’une information ne lui fait pas perdre automatiquement son statut de donnée personnelle. Un nom, une photographie, une fonction, une opinion, une information médicale ou un parcours professionnel restent susceptibles d’identifier une personne, même lorsqu’ils apparaissent sur un site Internet ou un réseau social.
Le 7 juillet 2026, le Comité européen de la protection des données a adopté de nouvelles lignes directrices consacrées au moissonnage de données sur Internet, ou web scraping, dans le contexte de l’IA générative. Le Comité rappelle que le RGPD s’applique lorsque cette collecte porte sur des données personnelles. Il insiste notamment sur la base juridique, la transparence, la limitation des finalités, l’exactitude et la minimisation des données.
Une entreprise qui souhaite récupérer automatiquement des profils publics, des publications ou des coordonnées pour alimenter une solution d’IA doit donc analyser la légalité de cette collecte. La disponibilité technique d’une donnée n’équivaut pas à une autorisation juridique de la réutiliser.
Cette vigilance devient encore plus importante lorsque les données révèlent la santé, les opinions politiques, les convictions religieuses, l’origine, l’orientation sexuelle ou l’appartenance syndicale. Le traitement de ces catégories particulières de données est en principe interdit, sauf exception prévue par le RGPD.
La finalité initiale des données doit être respectée
Une entreprise peut disposer légalement de données clients, de dossiers salariés ou d’informations commerciales sans être automatiquement autorisée à les utiliser pour n’importe quel projet d’intelligence artificielle.
Des données collectées pour exécuter une commande ne peuvent pas nécessairement être réutilisées pour entraîner un assistant commercial. Des CV reçus dans le cadre d’un recrutement ne doivent pas être intégrés sans analyse préalable dans un outil chargé d’établir un classement automatique des candidats.
Pour chaque usage, l’entreprise doit identifier :
- l’objectif poursuivi ;
- les données réellement nécessaires ;
- la base juridique applicable ;
- les personnes concernées ;
- la durée de conservation ;
- les destinataires des données ;
- les risques pour les droits et libertés.
L’entreprise doit également informer les personnes lorsque leurs données sont utilisées dans un nouveau traitement, sauf exception légalement justifiée.
Les réponses produites par l’IA peuvent contenir de fausses informations
Les systèmes d’IA générative ne consultent pas une base de données comme un moteur de recherche traditionnel. Ils produisent une réponse à partir de probabilités. Ils peuvent donc inventer une information, associer une donnée à la mauvaise personne ou présenter une affirmation erronée avec un ton particulièrement convaincant.
Ce phénomène devient problématique lorsqu’une réponse porte sur une personne identifiable. Une IA pourrait, par exemple, attribuer à tort une fonction, une condamnation, une situation financière ou un problème de santé à quelqu’un.
Le RGPD prévoit notamment des droits d’accès, de rectification, d’effacement et de limitation du traitement. Une organisation qui utilise une IA ne peut pas considérer que le fonctionnement complexe du modèle la dispense de répondre aux demandes des personnes.
Les contenus générés doivent donc être vérifiés avant d’être utilisés dans une décision, envoyés à un client ou intégrés dans un dossier professionnel.
Ressources humaines, crédit et évaluation : une vigilance renforcée
Les risques augmentent lorsque l’IA intervient dans une décision ayant des conséquences importantes pour une personne : recrutement, notation d’un salarié, attribution d’un crédit, tarification, détection de fraude, accès à un service ou traitement d’une réclamation.
Une décision ne doit pas être présentée comme « humaine » lorsque le collaborateur se contente de valider automatiquement la recommandation d’un algorithme. Le contrôle humain doit être réel : la personne chargée de la décision doit comprendre les limites de l’outil, pouvoir remettre en cause son résultat et disposer des informations nécessaires pour décider autrement.
Une analyse d’impact relative à la protection des données, ou AIPD, peut être obligatoire lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés. Elle permet de décrire le traitement, d’évaluer ses risques et de définir les mesures nécessaires avant son déploiement.
La sécurité du système d’IA relève aussi du RGPD
L’article 32 du RGPD impose de protéger les données personnelles par des mesures de sécurité adaptées aux risques. Pour un système d’IA, cette obligation concerne notamment les infrastructures, les habilitations, les sauvegardes, les mises à jour, les bibliothèques logicielles et les bases de données utilisées.
La CNIL recommande de combiner les mesures habituelles de cybersécurité avec une analyse des risques propres à l’IA : fuite des données d’entraînement, extraction d’informations depuis le modèle, détournement des instructions, composants insuffisamment sécurisés ou droits d’accès trop étendus.
En pratique, tous les salariés ne devraient pas pouvoir connecter librement une IA aux messageries, espaces documentaires, fichiers clients ou logiciels de gestion de l’entreprise.
Le « Shadow AI », nouvel angle mort des entreprises
Le Shadow AI désigne l’utilisation d’outils d’intelligence artificielle sans validation ni connaissance du service informatique ou de la direction.
Un salarié peut créer un compte personnel sur une plateforme, y importer un document professionnel et obtenir un résultat utile en quelques secondes. Cette facilité rend l’usage difficile à détecter et à encadrer.
Interdire toutes les IA est rarement une solution durable. Une politique trop restrictive risque simplement de déplacer les usages hors du contrôle de l’entreprise. Une approche plus efficace consiste à :
- recenser les besoins des équipes ;
- sélectionner des outils autorisés ;
- créer des comptes professionnels administrés ;
- définir les données qui peuvent ou non être utilisées ;
- désactiver l’entraînement sur les données lorsque cette option existe ;
- contrôler les accès et les connecteurs ;
- former les utilisateurs.
Une charte d’utilisation de l’IA doit donner des exemples concrets. La consigne « ne pas transmettre de données sensibles » reste trop vague lorsqu’elle n’explique pas si elle concerne les noms, les CV, les devis, les coordonnées, les documents internes ou le code informatique.
Ce que le règlement européen sur l’IA change en 2026
Le règlement européen sur l’intelligence artificielle, ou AI Act, est entré en vigueur le 1er août 2024. Son application est progressive.
Les interdictions concernant certaines pratiques d’IA et les obligations de formation ou de maîtrise suffisante de l’IA sont applicables depuis le 2 février 2025. Les obligations concernant les modèles d’IA à usage général sont entrées en application le 2 août 2025. Une grande partie du règlement devient applicable le 2 août 2026, tandis que certaines règles relatives aux systèmes à haut risque disposent de périodes transitoires supplémentaires.
Les entreprises qui utilisent une solution existante seront souvent considérées comme des « déployeurs » plutôt que comme des fournisseurs du modèle. Leur niveau d’obligation dépendra de l’usage, des données traitées et du niveau de risque du système.
À partir du 2 août 2026, certaines obligations de transparence concernent également les contenus produits ou manipulés par une IA, notamment les hypertrucages et certains contenus générés destinés à informer le public.
L’AI Act ne remplace toutefois pas le RGPD. Les deux textes se complètent : l’un encadre les systèmes d’intelligence artificielle selon leurs risques, l’autre protège les données personnelles et les droits des personnes.
Sept mesures pour encadrer l’IA générative
Une entreprise peut commencer par un plan d’action pragmatique :
- Cartographier les usages : identifier les outils déjà utilisés et les données qui leur sont transmises.
- Classer les informations : distinguer les données publiques, internes, confidentielles, personnelles et sensibles.
- Choisir des solutions professionnelles : analyser les contrats, la conservation, l’hébergement et l’utilisation des données.
- Limiter les accès : attribuer les droits selon les fonctions et sécuriser les comptes par une authentification multifacteur.
- Maintenir une validation humaine : vérifier les contenus et les recommandations avant leur utilisation.
- Documenter les traitements : mettre à jour le registre RGPD et réaliser une AIPD lorsque le niveau de risque le justifie.
- Former les collaborateurs : expliquer les usages autorisés, les données interdites et les réflexes à adopter en cas d’erreur.
Encadrer l’IA sans renoncer à ses bénéfices
L’intelligence artificielle générative peut améliorer la productivité, faciliter l’accès à l’information et automatiser certaines tâches répétitives. Le risque ne vient pas de son utilisation en elle-même, mais d’un déploiement sans visibilité sur les outils, les données et les responsabilités.
En 2026, la priorité des entreprises doit être de passer des expérimentations individuelles à une gouvernance structurée : outils approuvés, règles compréhensibles, sécurité technique, documentation RGPD et formation des utilisateurs.
MB2I accompagne les entreprises dans la sécurisation de leurs environnements numériques, le contrôle des accès et la protection de leurs données. L’intégration d’outils d’IA doit s’inscrire dans cette démarche globale, au même titre que le cloud, la messagerie ou les logiciels métiers.
Sources :
- Baromètre France Num 2025 sur le numérique et l’intelligence artificielle dans les TPE et PME.
- Questions-réponses de la CNIL sur l’utilisation d’un système d’IA générative.
- Recommandations de la CNIL pour la mise en conformité des systèmes d’IA.
- Lignes directrices du CEPD sur l’anonymisation et le moissonnage dans le contexte de l’IA générative, juillet 2026.
- Calendrier officiel d’application du règlement européen sur l’intelligence artificielle.