RGPD et IA : ce que vous devez savoir
L'IA ne vous exempte pas du RGPD. Voici ce qui change lorsque vous ajoutez l'IA à votre boîte à outils, et comment rester conforme sans devoir recruter une équipe juridique.
La version courte
Les systèmes d'IA qui traitent des données personnelles sont soumis au RGPD. Point. La loi ne fait aucune distinction selon que c'est un humain ou un LLM qui lit vos e-mails clients — les deux ont besoin d'une base légale, les deux ont besoin du consentement ou d'un intérêt légitime, et les deux doivent respecter les droits des personnes concernées.
La bonne nouvelle : la conformité RGPD pour l'IA n'est pas fondamentalement différente de la conformité RGPD pour tout autre traitement de données. Mais il existe trois domaines précis où l'IA crée de nouvelles frictions. Passons-les en revue.
La conformité RGPD appliquée à l'IA n'est pas un nouveau corpus de règles. Ce sont les mêmes règles appliquées à un nouvel outil. Si vous traitez déjà les données personnelles de manière responsable, vous avez déjà parcouru l'essentiel du chemin.
Auto-évaluation rapide : quel est votre niveau d'exposition ?
Répondez à ces cinq questions pour évaluer votre niveau de risque RGPD/IA avant d'entrer dans les détails.
Si vous avez répondu « oui » à la question 1 et « non » à l'une des questions 2 à 5, cet article vous aidera à combler ces écarts.
Les six principes du RGPD appliqués à l'IA
Licéité, loyauté et transparence
Vous avez besoin d'une base légale pour traiter des données personnelles. Pour l'IA, cela signifie généralement « intérêt légitime » (vous avez une raison commerciale) ou « consentement » (la personne a donné son accord).
En pratique : si votre agent IA lit les e-mails clients pour rédiger des devis, votre intérêt légitime est « améliorer notre temps de réponse et la qualité de service ». Vous devez tout de même informer les clients que cela a lieu (dans votre politique de confidentialité).
Limitation des finalités
Vous ne pouvez utiliser les données que pour la finalité pour laquelle elles ont été collectées. Vous ne pouvez pas entraîner un modèle d'IA général sur des tickets de support client puis utiliser ce modèle pour cibler des publicités.
En pratique : si vous utilisez Claude ou ChatGPT via leurs API, vérifiez leur politique de conservation des données. La plupart des API professionnelles ne s'entraînent pas sur vos données — mais les versions web gratuites le font souvent.
Minimisation des données
Ne collectez et ne traitez que les données dont vous avez réellement besoin. N'envoyez pas l'intégralité d'un fil d'e-mails à un LLM si vous n'avez besoin que du nom de l'expéditeur et de l'objet.
En pratique : supprimez les métadonnées, retirez les champs non pertinents et anonymisez lorsque c'est possible avant d'envoyer des données à une IA.
Exactitude
Les données personnelles doivent être exactes et tenues à jour. Les LLM hallucinent parfois. Si vous utilisez l'IA pour traiter des données personnelles, vous devez disposer de mécanismes pour détecter et corriger les erreurs.
En pratique : des flux de travail avec un humain dans la boucle. Si une IA extrait que « le client X doit 5 000 € », un humain doit vérifier avant l'envoi d'un rappel.
Limitation de la conservation
Ne conservez pas les données plus longtemps que nécessaire. Si votre agent IA traite des tickets de support, ces tickets (et les journaux de l'IA) doivent être supprimés à la fin de la durée de conservation.
En pratique : mettez en place des règles de suppression automatique. Si vous conservez des journaux de chat à des fins d'entraînement, anonymisez-les au préalable.
Intégrité et confidentialité (sécurité)
Protégez les données contre les accès non autorisés, la perte ou les dommages. L'envoi de données clients à une API LLM tierce constitue un transfert de données — vous devez le sécuriser.
En pratique : privilégiez, lorsque c'est possible, des fournisseurs de LLM hébergés dans l'UE (par exemple l'instance UE d'Anthropic, Mistral, ou des modèles déployés en interne). Signez un DPA (accord de traitement de données) avec tout fournisseur d'IA.
Checklist de conformité RGPD/IA
Si vous pouvez cocher les six, vous êtes en bonne posture. Sinon, les écarts vous indiquent précisément où concentrer vos efforts.
La question de la résidence des données : cloud américain ou infrastructure européenne
L'un des points de friction RGPD les plus fréquents avec l'IA est le transfert de données. Lorsque vous utilisez ChatGPT, Claude ou toute API hébergée aux États-Unis, les données personnelles quittent l'UE. Les clauses contractuelles types peuvent vous couvrir sur le plan juridique, mais elles ajoutent de la complexité et du risque. L'alternative consiste à exécuter vos modèles d'IA sur une infrastructure européenne souveraine — des serveurs dédiés en Belgique, en France ou en Allemagne, où aucune donnée personnelle ne traverse jamais d'océan.
API d'IA hébergées aux États-Unis
IA souveraine européenne (approche Fly AI)
Comment Fly AI conçoit des systèmes d'IA conformes au RGPD
Chaque système d'IA que nous construisons applique le RGPD dès la conception, et non en complément. Notre plateforme d'appels d'offres HVAC traite des données sensibles de marchés publics sur des serveurs UE dédiés — aucun document d'appel d'offres ne quitte jamais l'infrastructure belge. Notre agent e-mail prend en charge la correspondance personnelle avec une journalisation d'audit complète et des contrôles de conservation des données. Notre routeur de tickets multilingue traite les données clients avec la limitation des finalités intégrée à l'architecture — les données de traduction servent à la traduction, les données de routage servent au routage, et rien n'est réutilisé ni conservé au-delà de son cycle de vie défini.
Automatisation des appels d'offres HVAC
Agent e-mail intelligent
Routage multilingue de tickets
Vous voulez savoir si votre dispositif IA est conforme au RGPD ?
Articles connexes
EU AI Act pour les PME
Ce que les entreprises belges doivent réellement faire pour se conformer à l'EU AI Act. Niveaux de risque, obligations et étapes d'action.
LLM vs logiciels traditionnels
Tout n'a pas besoin d'IA. Un guide pratique pour choisir le bon outil et savoir quand combiner les deux.
Service d'audit IA
Évaluation complète de vos systèmes d'IA, conformité RGPD et recommandations actionnables.
