IA et RGPD : où partent vos données ? La checklist de due diligence avant de signer

Un commercial colle une proposition client dans un outil de discussion pour la reformuler. Un juriste dépose un contrat dans un service de résumé automatique. Une gestionnaire fait relire un tableau de rémunérations par une extension de navigateur installée la semaine dernière. Chacun de ces gestes prend dix secondes, et pose la même question, à laquelle presque personne dans l'entreprise ne sait répondre : ce document vient de partir où, exactement, et chez qui ?

Précision utile avant de commencer : ce qui suit est une checklist opérationnelle d'achat, pas un avis juridique. Pour les arbitrages sensibles, votre DPO et votre conseil restent à la manœuvre.

Le vocabulaire qui structure la discussion #

Trois notions suffisent à cadrer 90 % des échanges avec un éditeur.

Vous êtes responsable de traitement : c'est vous qui décidez pourquoi et comment les données sont traitées, et c'est vous que la CNIL interrogera. L'éditeur de l'outil d'IA est votre sous-traitant : il agit sur votre instruction, dans le cadre du contrat prévu à l'article 28 du RGPD. Et les fournisseurs de cet éditeur - hébergeur, fournisseur du modèle, service de journalisation, prestataire de support - sont des sous-traitants ultérieurs, qu'il doit vous déclarer et dont vous devez pouvoir refuser un changement.

Le RGPD ne vous interdit pas d'utiliser l'IA. Il vous demande de savoir. La difficulté propre à l'IA est que la chaîne est plus longue et moins lisible que pour un CRM : entre votre navigateur et la réponse affichée, il y a souvent trois ou quatre entreprises, dont au moins une que vous n'avez jamais choisie.

Les cinq questions à poser avant de signer #

1. Où sont physiquement hébergées les données, et sous quel droit ? Demandez la région exacte et le nom du prestataire, pas « en Europe ». Demandez ensuite le droit applicable au contrat et le tribunal compétent, parce qu'un hébergement en Irlande sous contrat de droit américain ne produit pas les mêmes garanties qu'un hébergement en France sous droit français. Les deux réponses doivent tenir en une phrase chacune ; l'hésitation est en soi une information.
2. Qui d'autre traite les données ? Exigez la liste nominative des sous-traitants ultérieurs, avec leur rôle et leur pays. Un éditeur sérieux la publie et s'engage à vous prévenir avant tout ajout, avec un délai qui vous laisse le temps de vous y opposer. C'est souvent à cette question que le fournisseur de modèle sous-jacent apparaît, alors qu'il n'était mentionné nulle part sur le site.
3. Y a-t-il des transferts hors UE, et sur quelle base ? Si la réponse est oui, demandez le mécanisme : décision d'adéquation, clauses contractuelles types, et l'analyse d'impact du transfert qui les accompagne. Un support technique joignable depuis un pays tiers, ou une sauvegarde répliquée hors UE, sont des transferts, même si le service principal est européen. Le point n'est pas d'interdire, c'est de documenter.
4. Vos contenus servent-ils à entraîner un modèle ? La bonne réponse est non, écrite au contrat et pas seulement dans une FAQ marketing. Méfiez-vous des formulations qui ne valent que par défaut, désactivables en un clic par un utilisateur, ou réservées à l'offre supérieure. La distinction à faire dire explicitement : lire un document au moment de la question n'est pas l'incorporer au modèle, et seul le second cas est irréversible.
5. Combien de temps tout cela est-il conservé, et que reste-t-il à la sortie ? Durée de conservation des requêtes, des documents et des journaux techniques ; existence d'une relecture humaine des échanges ; délai de notification en cas de violation de données ; suppression ou restitution en fin de contrat, avec une preuve. C'est la question la plus souvent oubliée, et la seule qui compte le jour où vous changez d'outil.

Ce que vous devez tenir de votre côté #

La due diligence fournisseur ne vous exonère de rien. Trois obligations restent les vôtres.

• Le registre des traitements. Un assistant IA branché sur vos documents internes est un traitement : il doit y figurer, avec sa finalité, ses catégories de données, ses destinataires et sa durée de conservation. Beaucoup d'entreprises découvrent l'outil dans le registre trois ans après son déploiement, ou jamais.
• L'analyse d'impact (AIPD). Elle n'est pas systématique. Elle se pose sérieusement dès que le périmètre touche des données sensibles, des données RH à grande échelle, ou une évaluation de personnes. La bonne pratique est de trancher la question par écrit, y compris pour conclure qu'elle n'est pas requise.
• L'information des personnes et la règle d'usage interne. Vos salariés et vos clients doivent savoir que leurs données peuvent passer par un outil d'IA. Et vos équipes doivent savoir ce qu'elles ont le droit d'y déposer. Une note d'une page, diffusée et rappelée, évite plus d'incidents qu'un audit annuel.

Le vrai risque n'est presque jamais l'outil que vous auditez pendant trois semaines. C'est celui que trois personnes utilisent déjà depuis six mois avec leur adresse professionnelle, sans contrat, sans registre, et sans que personne ne sache quels documents y sont passés.

Cette dernière remarque vaut aussi pour les assistants greffés à votre Microsoft 365 : une extension ou un agent qui obtient un consentement OAuth accède à vos fichiers avec les droits de l'utilisateur, sans passer par la case achat. Le sujet est détaillé dans agents IA et surface d'attaque dans Microsoft 365.

Comment Olyteck aborde le sujet #

Olyteck Ask est conçu pour que ces cinq réponses tiennent en une ligne chacune. L'ensemble est hébergé en UE, droit français. Vos documents ne servent à entraîner aucun modèle : l'assistant les lit au moment de la question et cite le passage exact dont vient chaque réponse. Aucun sous-traitant hors UE n'intervient dans la chaîne, ce qui supprime la discussion sur les clauses contractuelles types plutôt que de la déplacer. Le mécanisme de recherche documentaire qui rend cela possible est expliqué dans notre guide du RAG pour dirigeants.

Quel que soit l'outil que vous retiendrez, faites l'exercice sur celui que vous utilisez déjà : posez-lui les cinq questions ci-dessus, par écrit, et gardez les réponses. Si vous n'obtenez pas les cinq en une semaine, vous avez appris quelque chose d'utile sur votre fournisseur.

FAQ #

Peut-on mettre des documents clients dans ChatGPT ? #

Pas sans avoir vérifié le cadre. Sur une offre professionnelle avec contrat de sous-traitance signé, paramétrage sans réutilisation des contenus et transferts encadrés, c'est un traitement comme un autre, qui doit figurer à votre registre. Sur un compte personnel gratuit ouvert par un salarié, vous n'avez ni contrat, ni maîtrise de la conservation, ni base pour informer vos clients. La différence n'est pas l'outil, c'est le cadre contractuel autour.

L'IA est-elle interdite par le RGPD ? #

Non. Le RGPD ne cite aucune technologie et n'interdit pas l'usage de l'IA. Il impose une finalité déterminée, une base légale, la minimisation des données, l'information des personnes et un encadrement contractuel des sous-traitants. La CNIL a d'ailleurs publié des fiches pratiques sur le développement et l'usage de systèmes d'IA. Ce qui pose problème en pratique, ce n'est pas l'IA, c'est l'IA déployée sans registre, sans contrat et sans que personne ne sache où vont les fichiers.

Comment savoir si mes données partent hors de l'Union européenne ? #

Demandez-le par écrit et attendez trois éléments : la liste des sous-traitants ultérieurs avec leur pays, la localisation des sauvegardes, et le pays depuis lequel le support technique accède aux environnements. Ces trois points suffisent à révéler la quasi-totalité des transferts. S'il y en a, l'éditeur doit vous fournir le mécanisme applicable et l'analyse qui l'accompagne, pas une simple mention de conformité sur son site.

Faut-il une analyse d'impact (AIPD) avant de déployer un assistant IA ? #

Cela dépend du périmètre, pas de la technologie. Un assistant limité à des documents commerciaux publics ne la déclenche généralement pas ; un assistant branché sur des dossiers RH, des données de santé ou des données permettant d'évaluer des personnes la rend probable. La démarche saine est d'instruire la question avec votre DPO avant le déploiement et de conserver la conclusion écrite, quelle qu'elle soit.