IA et RGPD en PME : la checklist pour choisir un outil

Pour choisir un outil IA compatible avec le RGPD dans une PME, il faut vérifier quatre points : les données qui y entreront, le contrat et l'hébergement du fournisseur, les réglages de sécurité et les contrôles humains prévus. Cette checklist vous permet de faire ce tri avant de signer, en une ou deux réunions avec la personne qui gère vos données.

Elle ne remplace pas l'avis d'un juriste ou d'un DPO. Elle évite en revanche les erreurs les plus courantes : coller des données clients dans un outil grand public, activer un agent sans savoir où partent les informations, ou découvrir après coup que le fournisseur réutilise vos contenus.

Assistant, agent ou automatisation : le risque n'est pas le même

Avant de cocher quoi que ce soit, identifiez le type d'outil. L'analyse RGPD dépend de ce qu'il fait réellement avec les données.

• Assistant : un collaborateur pose une question et relit la réponse. Le risque principal se trouve dans ce que la personne colle dans l'outil.
• Automatisation déterministe : des règles fixes déplacent des données d'un logiciel à un autre. Le flux est prévisible, donc plus facile à documenter.
• Agent autonome : il lit des sources, décide d'actions et peut écrire dans vos outils. Il a souvent accès à plus de données et agit sans validation à chaque étape. C'est là que la vigilance doit être maximale.

Si la différence n'est pas claire dans votre équipe, l'article Agent IA, automatisation ou assistant : lequel choisir ? détaille les trois cas.

Checklist données : quoi, pourquoi, combien de temps

Le RGPD commence par une question simple : quelles données personnelles allez-vous traiter, et pour quoi faire ?

• Avez-vous listé les données qui entreront dans l'outil : noms, e-mails, numéros, contenus de messages, pièces jointes ?
• Y a-t-il des données sensibles, comme la santé, des données RH détaillées ou des informations financières personnelles ? Si oui, demandez un avis spécialisé avant d'aller plus loin.
• La finalité est-elle écrite en une phrase ? Exemple : « trier les demandes entrantes du formulaire de contact ».
• Avez-vous identifié la base légale du traitement (contrat, intérêt légitime, consentement, obligation légale) ?
• L'outil a-t-il besoin de toutes ces données ? Retirez ce qui n'est pas indispensable : moins de données, moins de risque.
• Savez-vous combien de temps les données seront conservées, dans l'outil comme chez le fournisseur ?
• Le traitement est-il ajouté à votre registre des traitements ?

Si vous ne savez pas encore quelle tâche confier à l'outil, commencez par là. Une tâche bien délimitée rend cette liste beaucoup plus courte.

Checklist fournisseur : contrat, hébergement, réutilisation

Un outil IA peut être excellent et rester inutilisable dans votre contexte si le contrat ne suit pas.

• Le fournisseur propose-t-il un contrat de sous-traitance, souvent appelé DPA (Data Processing Agreement) ? En tant que responsable du traitement, vous en avez besoin.
• Où les données sont-elles hébergées et traitées ? Dans l'Union européenne, ou ailleurs ?
• En cas de transfert hors UE, quel mécanisme est prévu (décision d'adéquation, clauses contractuelles types) ? Demandez-le par écrit.
• Le fournisseur utilise-t-il vos données pour entraîner ou améliorer ses modèles ? Est-ce désactivé par défaut, désactivable, ou impossible à refuser ?
• Quels sous-traitants ultérieurs interviennent ? La liste est-elle publique et tenue à jour ?
• Que deviennent vos données à la fin du contrat : suppression, export, délai ?
• La version que vous allez utiliser est-elle bien celle couverte par ces garanties ? Les offres gratuites, personnelles et professionnelles ont souvent des conditions différentes.

Ne vous fiez pas à une page marketing. Les réponses doivent figurer dans les conditions contractuelles ou le DPA. Pour comparer des solutions concrètes, voyez aussi Agent IA sans code : quel outil choisir pour sa PME.

Checklist usage : accès, contrôles humains et droits

Le meilleur contrat ne protège pas d'un mauvais paramétrage. Cette dernière partie se vérifie en interne.

Accès et sécurité

• Qui peut utiliser l'outil ? Les comptes sont-ils nominatifs, avec une authentification forte ?
• Un agent n'accède-t-il qu'aux dossiers, boîtes mail ou bases strictement nécessaires ?
• Les actions de l'outil sont-elles journalisées, pour savoir qui a fait quoi et quand ?
• Avez-vous testé l'outil avec des données fictives avant de brancher les vraies ?

Contrôles humains

• Quelles actions exigent une validation humaine ? Par défaut : tout envoi externe, toute modification de données client, toute décision qui touche une personne.
• Une personne est-elle nommée responsable de l'outil, avec le temps de vérifier ses sorties ?
• Vos équipes savent-elles ce qu'elles ne doivent jamais coller dans un assistant ?

Droits des personnes

• Pouvez-vous retrouver, corriger ou supprimer les données d'une personne qui en fait la demande ?
• Vos mentions d'information (site, formulaires, contrats) signalent-elles ce nouveau traitement ?
• Si l'outil produit des décisions ayant un effet important sur une personne, une intervention humaine est-elle garantie ?

Exemple illustratif - cas fictif : une PME de services veut un agent qui lit les e-mails entrants et prépare des réponses. Hypothèses : les e-mails contiennent des noms et des coordonnées, le fournisseur propose un DPA et un hébergement UE, l'entraînement sur les données est désactivable. Décision raisonnable : test de deux semaines sur une boîte de démonstration, réponses toujours validées par une personne avant envoi, accès limité à une seule adresse.

Si votre usage concerne aussi des obligations liées au règlement européen sur l'IA, complétez avec AI Act PME : obligations 2026 et actions simples.

Questions fréquentes

Peut-on utiliser ChatGPT ou un assistant grand public avec des données clients ?

Pas sans vérification. Les conditions varient selon la version (gratuite, individuelle, entreprise). Vérifiez la réutilisation des données, l'existence d'un DPA et les réglages disponibles. En attendant, interdisez d'y coller des données personnelles identifiables.

Faut-il une analyse d'impact (AIPD) pour chaque outil IA ?

Non, mais elle peut être obligatoire si le traitement présente un risque élevé : données sensibles, surveillance, évaluation de personnes, grande échelle. En cas de doute, demandez l'avis de votre DPO ou d'un juriste avant le déploiement.

Un agent IA est-il plus risqué qu'un assistant ?

Souvent oui, parce qu'il accède à plus de sources et agit seul. Le risque reste maîtrisable : accès limités, journalisation, validation humaine des actions sensibles et démarrage sur une tâche réduite.

Ce que cette checklist ne remplace pas

Cette liste couvre les vérifications de base. Elle ne tranche pas les cas complexes : données sensibles, profilage, transferts internationaux ambigus ou secteurs réglementés. Pour ces situations, un avis juridique reste indispensable.

Elle a aussi une limite pratique : une case cochée aujourd'hui peut ne plus l'être demain si le fournisseur change ses conditions. Prévoyez une revue au moins à chaque renouvellement de contrat ou évolution majeure de l'outil.

La bonne approche consiste à choisir d'abord une tâche précise, puis l'outil qui la sert avec le moins de données possible, et non l'inverse. Si vous hésitez entre plusieurs projets ou plusieurs outils, réservez un diagnostic : nous regarderons ensemble la tâche à confier, les données en jeu et les contrôles à prévoir avant tout pilote.