Adopter l’IA générative en entreprise, c’est un gain de productivité considérable. Mais c’est aussi une zone à risque RGPD si l’on n’y prend pas garde. Voici les 8 bonnes pratiques recommandées par la CNIL et appliquées par les entreprises matures.

1. Ne jamais saisir de données personnelles dans un prompt

Pas de noms, adresses, numéros de téléphone ni détails identifiants dans ChatGPT, Claude ou Gemini en version grand public. Les prompts sont stockés et potentiellement utilisés pour l’entraînement.

2. Anonymiser avant d’utiliser l’IA

Remplacez les données identifiantes par des variables : « Client A », « Salarié 1 », « Société X ». Vous conservez la valeur de l’analyse sans exposer de DCP (données à caractère personnel).

3. Utiliser les versions « Enterprise » / API

OpenAI, Anthropic et Google proposent des versions « Enterprise » ou API où les données ne sont pas utilisées pour l’entraînement. Pour un usage professionnel sérieux, c’est indispensable.

4. Tenir un registre des traitements IA

Le registre RGPD doit lister les usages d’IA générative impliquant des données personnelles : finalité, base légale, durée de conservation, sous-traitants.

5. Réaliser une AIPD pour les usages sensibles

Pour les usages à risque (tri de CV, évaluation client, scoring), une Analyse d’Impact relative à la Protection des Données (AIPD) est requise. La CNIL fournit un modèle téléchargeable.

6. Informer les personnes concernées

Si vous traitez des données personnelles via un outil d’IA, vous devez en informer les personnes (clients, salariés, candidats) selon les articles 13 et 14 du RGPD. Mentionnez l’usage de l’IA dans vos politiques de confidentialité.

7. Encadrer l’usage par une charte interne

Une charte d’usage de l’IA en entreprise évite 90 % des dérives. Elle précise : outils autorisés, données interdites, validation humaine obligatoire, signalement des incidents.

8. Former les équipes

La meilleure protection RGPD est une équipe formée. La formation Institut Eclosion (RS6776) intègre un module complet sur l’IA responsable et la conformité réglementaire.

Le rôle du DPO

Si votre entreprise a un DPO (Délégué à la Protection des Données), impliquez-le dès la phase de cadrage de tout projet IA. C’est lui qui pilote l’AIPD et qui dialogue avec la CNIL en cas de contrôle.

Et le AI Act européen ?

Le règlement européen sur l’IA (entré en vigueur en 2024, applicable progressivement jusqu’en 2027) ajoute un cadre spécifique aux « systèmes d’IA à haut risque ». La majorité des usages bureautiques courants (ChatGPT pour des emails, des synthèses) sont classés « risque limité ».