Vendredi 17h. Un de vos commerciaux a une propale a rendre lundi. Il copie toute la base contact du prospect dans ChatGPT et demande "fais-moi un email de relance personnalise". Il obtient un resultat correct en 30 secondes. Il est content.
Vous, vous venez de transferer les donnees nominatives de 40 dirigeants francais vers les serveurs d'OpenAI a San Francisco, sans base legale, sans information, sans DPA. En cas de controle CNIL declenche par une plainte : sanction quasi certaine.
L'IA generative est un formidable outil. C'est aussi le premier fossoyeur de conformite RGPD de 2026. La CNIL l'a compris et a fait de ce sujet un axe prioritaire 2025-2026. Source : cnil.fr/fr/intelligence-artificielle.
Voici le cadre simple pour autoriser l'IA dans votre PME sans faire exploser votre conformite.
Pourquoi ChatGPT dans la boite du commercial est un probleme
Quand votre salarie colle une liste de prospects dans ChatGPT, trois choses se passent :
- Les donnees sortent de votre perimetre de controle et arrivent sur des serveurs americains.
- Par defaut (hors offres Enterprise / Team), ces donnees peuvent etre utilisees pour entrainer le modele. OpenAI le mentionne dans ses conditions grand public.
- Vous n'avez signe aucun DPA qui encadre ce traitement.
Resultat : transfert hors UE illicite (cf sanction Uber a 290 millions d'euros, cnil.fr/fr/transferts-de-donnees-hors-ue-sanction-de-290-millions-deuros-lencontre-duber), absence de base legale pour le traitement, absence d'information des personnes concernees. La totale.
Section 1 -- Ce qu'on peut / ne peut pas faire avec l'IA
Voici la grille de lecture la plus simple. Trois niveaux de donnees, trois regles.
Niveau vert -- Donnees non personnelles et publiques -> AUTORISE
Exemples :
- Rediger un article de blog generique sur votre secteur.
- Traduire un texte marketing qui ne contient aucune donnee personnelle.
- Resumer un rapport public (etude INSEE, article de presse).
- Generer un brouillon de conditions generales a partir d'un template.
Aucun probleme RGPD. Utilisez ChatGPT, Claude, Mistral, ce que vous voulez.
Niveau jaune -- Donnees professionnelles internes non sensibles -> ATTENTION
Exemples :
- Rediger un email de relance a un client a partir de l'historique d'echanges.
- Ameliorer le ton d'une reponse a un prospect.
- Synthetiser les comptes rendus d'equipe.
- Traduire un email fournisseur.
Conditions : utiliser exclusivement des outils professionnels avec DPA signe et opt-out training confirme. Les versions gratuites grand public sont interdites pour cet usage. Utilisez la version payante avec les reglages adequats.
Niveau rouge -- Donnees clients nominatives, sensibles, confidentielles -> INTERDIT (ou encadrement fort)
Exemples :
- Coller une base client complete pour extraire des patterns.
- Traiter des donnees de sante, religion, opinions politiques.
- Traiter des CV de candidats avec coordonnees personnelles.
- Analyser des documents contractuels nominatifs.
Regle : sauf cadre strict avec outil certifie (voir section 3) et base legale documentee, interdit. Meme l'opt-out training n'est pas suffisant si vous n'avez pas informe les personnes concernees que leurs donnees peuvent etre traitees par IA.
Section 2 -- Les 4 regles pour encadrer l'IA en PME
Regle 1 -- Publier une charte IA interne
Document ecrit, signe par chaque salarie, renouvele annuellement. Contenu minimal :
- Liste des outils IA autorises (avec versions precises).
- Liste des outils IA interdits (ChatGPT grand public, DeepSeek web, versions gratuites).
- Types de donnees autorises en entree (niveaux vert et jaune).
- Types de donnees interdits en entree (niveau rouge).
- Obligation de relire et valider le contenu genere avant diffusion.
- Obligation de mentionner l'usage d'IA dans certains contextes (RH, decision automatisee).
Regle 2 -- Ajouter l'IA dans votre registre des traitements
L'usage d'IA est un traitement de donnees au sens de l'article 4 RGPD. Il doit apparaitre dans votre registre avec :
- Finalite : "Aide a la redaction professionnelle via IA generative".
- Base legale : en general interet legitime pour le B2B interne, sinon consentement.
- Categories de donnees : generalement "donnees professionnelles de contact, contenu d'email, texte libre".
- Duree de conservation : celle du prompt, cad la duree de retention du prestataire (variable selon l'offre).
- Destinataires : votre prestataire IA (OpenAI, Anthropic, Mistral, Microsoft).
- Transferts hors UE : OUI si le prestataire heberge aux Etats-Unis. Documentez via Data Privacy Framework ou Clauses Contractuelles Types.
Regle 3 -- Informer les personnes concernees
Ajoutez une mention dans votre politique de confidentialite :
Nous pouvons avoir recours a des outils d'intelligence artificielle generative (actuellement [liste d'outils]) pour assister nos equipes dans la redaction de communications personnalisees. Les donnees transmises a ces outils sont limitees au strict necessaire et ne sont pas utilisees pour l'entrainement des modeles. [Pays de traitement]. Vous pouvez vous opposer a ce traitement en nous ecrivant a [dpo@...].
Regle 4 -- Former les equipes
Formation courte mais concrete. Contenu :
- Les 3 niveaux de donnees (vert / jaune / rouge).
- La difference entre version gratuite et version pro de chaque outil.
- La procedure en cas de doute (ne pas utiliser, ou demander au DPO).
- Les sanctions possibles.
Duree : 1 heure. A refaire 1 fois par an.
Section 3 -- Quelle IA choisir selon la sensibilite
Voici le panorama des outils pour une PME francaise en 2026. Classement par niveau de conformite par defaut.
Niveau conformite maximum -- Mistral Le Chat Pro / Entreprise
- Editeur francais, hebergement Union europeenne.
- Pas d'entrainement sur vos donnees.
- Offres entreprise avec DPA francais signable.
- Limites : ecosysteme moins riche (plugins, integrations) que ChatGPT.
- Recommande pour : donnees sensibles, secteurs regules (sante, finance, justice).
Niveau conformite eleve -- Claude (Anthropic) via API ou Claude.ai Team / Enterprise
- Editeur americain, mais pas d'entrainement sur les donnees API depuis 2024 (politique officielle Anthropic).
- Certifie Data Privacy Framework.
- DPA disponible pour les offres Team et Enterprise.
- Recommande pour : usage professionnel avec donnees yellow tier.
Niveau conformite eleve -- Microsoft Copilot Enterprise / ChatGPT Enterprise
- Hebergement pouvant etre europeen (datacenters EU).
- DPA complet signable avec Microsoft (et automatiquement inclus via Microsoft 365).
- Pas d'entrainement sur les donnees des offres Enterprise.
- Recommande pour : integration dans un environnement Microsoft existant.
Niveau conformite moyen -- ChatGPT Plus / Team (OpenAI)
- Hebergement Etats-Unis (DPF certifie).
- Opt-out training possible mais a activer explicitement.
- DPA signable en offre Team et Enterprise.
- ChatGPT gratuit et Plus individuel : a eviter en contexte professionnel PME, les conditions grand public ne sont pas adaptees.
Niveau conformite faible -- ChatGPT gratuit, DeepSeek web, Grok, Gemini perso
- Utilisation des donnees pour l'entrainement par defaut.
- Aucun DPA signable.
- Localisation des donnees non garantie.
- A interdire formellement dans votre charte IA.
La charte IA minimale -- ce qu'il faut y mettre
Voici le squelette d'une charte que vous pouvez adapter a votre PME en 30 minutes :
Article 1 -- Objet
La presente charte precise les conditions d'utilisation des outils d'intelligence artificielle generative (IAG) par les collaborateurs de [SOCIETE] dans le cadre de leurs fonctions professionnelles.
Article 2 -- Outils autorises
Sont autorises :
- [Mistral Le Chat Pro]
- [Claude Team ou Enterprise]
- [Microsoft Copilot Enterprise]
- [ChatGPT Team avec opt-out training active]
Sont interdits : ChatGPT gratuit et Plus individuel, DeepSeek web, Gemini perso, Grok, et tout outil d'IA generative non liste dans la presente charte.
Article 3 -- Donnees autorisees
En entree des outils IA, sont autorisees :
- Les donnees non personnelles et publiques.
- Les donnees professionnelles internes non sensibles, sous reserve de l'usage exclusif d'outils autorises.
Sont interdites :
- Les donnees de sante, religieuses, politiques, sexuelles, biometriques, bancaires.
- Les identifiants et mots de passe.
- Les donnees couvertes par le secret professionnel ou le secret des affaires.
- Les donnees nominatives d'un tiers sans base legale documentee.
Article 4 -- Responsabilite
Chaque collaborateur reste responsable du contenu genere par IA. Avant diffusion, le contenu doit etre relu, verifie et valide. Aucune decision automatisee ayant un effet juridique sur une personne ne peut etre prise par IA sans intervention humaine.
Article 5 -- Formation
Chaque collaborateur utilisant un outil IA suit une formation annuelle obligatoire. La validation de cette formation conditionne l'acces aux outils.
Article 6 -- Sanctions
Le non-respect de la presente charte expose le collaborateur a des sanctions disciplinaires pouvant aller jusqu'au licenciement, sans prejudice d'eventuelles sanctions penales ou civiles.
FAQ
La CNIL a-t-elle deja sanctionne une PME pour usage d'IA ? Pas encore de sanction publique specifique a ma connaissance. Mais la CNIL a fait de l'IA un axe prioritaire pour 2025-2026 et reste attentive aux plaintes individuelles des personnes concernees. Ne pas faire l'economie de la preparation.
L'AI Act europeen change-t-il la donne ? Oui. Le reglement europeen sur l'IA, entre en application progressive depuis 2024, ajoute des obligations de transparence et de documentation pour les systemes "a haut risque" (decisions d'emploi, credit, sante). Pour une PME qui utilise ChatGPT pour rediger des emails, l'impact reste limite. Pour une PME qui utilise une IA pour decider qui embaucher ou qui autoriser au credit : obligations renforcees.
Doit-on declarer a la CNIL qu'on utilise de l'IA ? Pas de declaration specifique. En revanche, vous devez ajouter le traitement dans votre registre et informer les personnes concernees dans votre politique de confidentialite.
Je suis un cabinet d'avocats, puis-je utiliser ChatGPT pour rediger un memoire ? Risque eleve si le memoire contient des identites de clients. Utilisez plutot une IA avec DPA signe (Mistral, Claude Enterprise, Microsoft Copilot) apres anonymisation des identites. Le secret professionnel d'avocat ne tolere aucune fuite.
Peut-on utiliser DeepSeek dans une PME francaise ? Fortement deconseille. L'hebergement et les conditions d'usage des donnees de DeepSeek ne presentent pas a date les garanties attendues par la CNIL. Attendez une offre Enterprise avec DPA europeen clair.
Pour aller plus loin
- Intelligence artificielle -- page CNIL
- [[2026-04-23-top-sanctions-cnil-2024-2025-lecons-pme|Top sanctions CNIL 2024-2025 : les 7 lecons pour les PME]]
- TPE-PME et IA generative -- ressources CNIL / France Num / CPME
L'IA en PME est un couteau suisse exceptionnel. Mais sans cadre, c'est l'autoroute de la fuite de donnees. En 1 heure de formation, une charte de 2 pages et le choix des bons outils, vous gagnez la double medaille : productivite plus +30 % et conformite robuste.
Dans rgpdsimplement, Cloclo vous aide a generer votre charte IA personnalisee a partir de vos outils actuels et votre secteur, et met a jour votre registre pour refleter les traitements IA. Tester.
-- Cloclo