Données IA Europe : secret professionnel et PME

En bref. Pour cadrer le RGPD quand une PME utilise une IA générative, la règle s’écrit avant le premier prompt métier. Le compte est professionnel, chaque usage a une finalité (résumer, reformuler, extraire), et seule la donnée nécessaire à cette tâche entre dans l’outil. Côté fournisseur, on lit le DPA ou la fiche (rétention, entraînement, hébergement) avant d’y faire passer un extrait client. Une page liste ce qui ne sort jamais (dossier complet, secret professionnel, données sensibles). Un humain relit tout texte généré avant un envoi client ou une décision engageante. Ce cadre est pédagogique et se valide avec votre conseil ou votre DPO.

Avant de coller un dossier client dans une IA générative, la question n°1 porte sur quelles données entrent dans quel outil, où elles vivent, et qui y a accès.

RGPD et IA générative en PME européenne : savoir ce qui peut entrer dans l’outil (ChatGPT, Claude, Copilot ou équivalent), où ça vit, qui y a accès, et l’écrire avant le premier dossier client.

Disclaimer : cet article est un cadre pédagogique opérationnel, pas un avis juridique ni un substitut à votre conseil, DPO ou assurance professionnelle. Validez toute règle métier sensible avec eux avant usage sur dossiers clients.

Trois couches : données, outil, gouvernance

Trois couches distinctes. Les confondre produit des décisions floues (« on a ChatGPT Pro, donc c’est bon »). Le risque porte sur le contenu collé.

Couche	Question	Qui tranche
Données	Qu’est-ce qui peut entrer ? Qu’est-ce qui ne sort jamais ?	Métier + responsable nommé (souvent dirigeant ou référent)
Outil	Compte pro ? Rétention / entraînement ? Hébergement / sous-traitants ?	IT ou référent outil + lecture DPA / fiche fournisseur
Gouvernance	Règle écrite, journal, accès, départ collaborateur	CoDir / direction : une phrase claire, revue annuelle

Données. Liste autorisée / liste interdite. Minimisation : extrait utile, pas le dossier entier. Humain relit avant envoi client ou décision engageante.

Outil. Compte professionnel (pas perso). Paramètres d’entraînement et de rétention vérifiés avant le premier usage métier. Savoir où c’est hébergé et qui sous-traite, via doc fournisseur ou DPA.

Gouvernance. Règle d’une page, journal léger (outil + type de tâche), révocation d’accès quand quelqu’un part. Lien naturel avec le critère « données » de la feuille de route IA PME : prioriser les cas où la règle est déjà posable.

Sans ces trois couches, l’équipe invente des usages en silence (shadow IA en PME) : le risque données monte plus vite que la productivité.

Checklist : avant d’ouvrir l’IA sur un dossier

Huit points extractibles. À cocher avant le premier collage d’un extrait client. Une page wiki / note partagée suffit.

#	Point	Fait ?
1	Compte professionnel (pas perso) pour l’usage métier	☐
2	Paramètres entraînement / rétention vérifiés et documentés	☐
3	Liste données interdites écrite (1 page)	☐
4	Hébergement / sous-traitant connu (doc ou DPA)	☐
5	Minimisation : extrait utile, pas dossier entier	☐
6	Humain relit avant envoi client / décision engageante	☐
7	Journal léger : outil + type de tâche	☐
8	Opposition / suppression d’accès quand quelqu’un part	☐

1. Compte professionnel. L’usage métier ne passe pas par un compte personnel ni un essai gratuit branché sur une boîte perso. Les comptes et connecteurs se posent dans le cadre former les équipes à l’IA en PME.

2. Paramètres entraînement / rétention. Avant usage : l’outil réutilise-t-il les contenus pour entraîner un modèle ? Combien de temps les prompts / fichiers restent-ils ? Réponse écrite (capture d’écran paramètres + date).

3. Liste données interdites. Une page : types de pièces ou champs qui ne sortent jamais vers un outil externe. Signaux typiques plus bas (secret pro / sensible).

4. Hébergement / sous-traitant. Une phrase CoDir du type : « outil X, région Y, sous-traitants listés dans le DPA du [date] ». Sans doc, pas de dossier client.

5. Minimisation. Coller l’extrait nécessaire à la tâche (paragraphe, tableau partiel), pas le PDF complet « au cas où ».

6. Relecture humaine. Tout texte généré qui part au client, au tribunal, à un partenaire, ou qui engage une décision métier : un humain lit et assume.

7. Journal léger. Qui a utilisé quel outil pour quel type de tâche (ex. : résumé de note, reformulation mail). Pas un SIEM : une ligne par usage sensible suffit en PME.

8. Accès au départ. Quand un collaborateur part ou change de poste : retirer licences, partager les espaces, archiver ou supprimer les historiques selon la règle.

RGPD en pratique pour une PME

Quatre idées opérationnelles. Pas un traité : des questions que le dirigeant peut poser en vingt minutes.

Finalité. Pourquoi cette donnée entre-t-elle dans l’outil ? Résumer une note interne, reformuler un mail, extraire des dates d’un contrat déjà autorisé… Chaque usage a une finalité. « On teste l’IA » n’est pas une finalité sur un dossier client.

Minimisation. Moins de données = moins de surface. Extraire le nécessaire ; anonymiser ou pseudonymiser quand la tâche le permet (noms, adresses, montants hors sujet).

Sous-traitant. L’éditeur de l’outil d’IA qui traite des données pour votre compte est souvent un sous-traitant au sens RGPD. Vous restez responsable du traitement. D’où l’intérêt du DPA (accord de traitement) ou de la documentation contractuelle lisible : durée, localisation, sous-sous-traitants, suppression.

DPA / doc fournisseur. Avant usage métier : lire (ou faire lire) la fiche sécurité / confidentialité / traitement. Noter la date. Si le fournisseur ne répond pas clairement sur rétention, entraînement ou transfert hors UE, le dossier client attend.

Transfert hors UE. Si des données personnelles partent hors de l’Espace économique européen, la décision utile tient en une question : avons-nous une base documentée et une décision CoDir. En pratique PME : demander au fournisseur la région d’hébergement, la liste des sous-traitants, et s’il existe un mécanisme de transfert documenté. Une phrase CoDir du type « outil autorisé pour extraits non sensibles, région X, DPA du [date] » bat un silence.

Droits des personnes. Opposition, accès, suppression : qui répond en interne si un client ou un collaborateur exerce un droit qui touche aussi des contenus passés dans un outil d’IA ? Noter le contact et le délai interne sur la même page que la liste interdite.

En cas de doute sur une base légale ou un transfert : votre conseil ou DPO, pas un article de blog.

Fiches France Num : IA générative en TPE et PME

La CNIL publie la page Utiliser l’IA générative dans les TPE et PME. Elle renvoie vers quatre fiches pratiques France Num, conçues avec la CPME et la CNIL. Les quatre questions couvertes : à quoi sert l’IA générative, quels cas d’usage, comment choisir une solution, quelles précautions prendre. Ces fiches sont un point de départ pédagogique pour une équipe qui découvre le sujet. La règle d’une page de la PME, et sa validation par le conseil, restent le cadre d’usage sur les dossiers.

Les comptes professionnels et les réflexes d’usage se travaillent dans former les équipes à l’IA en PME. Les usages hors règle relèvent du shadow IA en PME. Les cas d’usage se priorisent dans la feuille de route IA PME une fois la règle données écrite.

Secret professionnel et données sensibles

Certains métiers (santé, droit, conseil, finance, social…) portent un secret professionnel ou des obligations de confidentialité fortes. Même hors professions réglementées, beaucoup de PME détiennent des dossiers que le client n’attend pas de voir collés dans un outil grand public.

Signaux d’alerte (génériques) :

• Dossier client complet (pas un extrait)
• Pièces d’identité, coordonnées bancaires, données de santé
• Correspondance marquée confidentielle / sous secret
• Secrets d’affaires, prix négociés, litiges en cours
• Données de mineurs ou situations de vulnérabilité
• Tout ce que votre assurance ou votre déontologie interdit de sortir du périmètre

Règle écrite. Ce qui ne sort jamais : une liste courte, exemples métier génériques, responsable nommé, revue annuelle. Ce qui peut sortir sous conditions : extrait minimisé + compte pro + relecture.

Exemples génériques (sans nommer de clients) : reformuler un mail interne de suivi = souvent OK sous règle ; coller l’intégralité d’un dossier contentieux ou d’un bilan social détaillé = hors périmètre tant que la règle ne l’autorise pas explicitement. Entre les deux : extrait anonymisé + validation du responsable nommé.

Le secret pro ne se contourne pas par « l’outil dit qu’il ne s’entraîne pas ». Si la donnée ne doit pas quitter le cabinet / l’entreprise, elle n’entre pas dans l’outil - point. En cas de doute métier, freiner et demander à votre conseil / assurance pro avant le premier collage.

AI Act : ce qu’une PME utilisatrice regarde

Disclaimer fort : l’AI Act évolue ; les obligations exactes dépendent du rôle (fournisseur / déployeur / utilisateur) et du niveau de risque du système. Cet article n’invente pas d’obligations précises. Il pose des questions prudentes pour une PME qui utilise des outils existants, sans devenir éditeur de modèle.

Ce qu’une PME utilisatrice regarde en pratique :

1. Transparence d’usage : l’équipe sait-elle quand un texte ou une décision a été assisté par de l’IA ? Le client doit-il être informé dans votre métier ?
2. Usage à haut risque : si l’IA touche à des décisions qui impactent fortement des personnes (emploi, crédit, accès à un droit…), freiner et faire valider avec votre conseil avant tout pilote.
3. Questions fournisseur : documentation, limites d’usage, localisation, options « pas d’entraînement sur nos données », contact conformité.
4. Gouvernance interne : la checklist des 8 points ci-dessus couvre déjà l’essentiel opérationnel (comptes, rétention, journal, humain).

Le calendrier d’août 2026 et la transparence pour une PME qui utilise déjà des outils sont développés dans AI Act août 2026 : obligations de transparence. Le rôle (utilisateur ou déployeur) et les usages à haut risque se valident avec votre conseil.

Vous n’avez pas à devenir un juriste AI Act pour démarrer. Vous avez à ne pas coller de dossiers sensibles dans un outil non cadré, et à documenter ce que vous autorisez. Si votre activité touche à des décisions automatisées à fort impact, tranchez avec votre conseil avant le pilote.

Ce qui marche / ce qui ne marche pas

Ce qui marche

• Question n°1 = quelles données dans quel outil, avant le choix du modèle.
• Compte pro + paramètres rétention / entraînement vérifiés.
• Liste interdite d’une page, lue en onboarding.
• Minimisation + relecture humaine sur tout envoi engageant.
• Une phrase CoDir sur hébergement / sous-traitants (doc datée).
• Journal léger et révocation d’accès au départ.
• Lien explicite avec la formation (former équipes IA) et le frein au shadow IA.
• Point de départ officiel : les quatre fiches France Num conçues avec la CPME et la CNIL, puis validation de la règle avec le conseil.

Ce qui ne marche pas

• Compte perso « le temps de tester » sur un vrai dossier client.
• Coller le PDF entier « pour que l’IA comprenne le contexte ».
• Ignorer où vivent les données et qui sous-traite.
• Croire que « pas d’entraînement » = libre circulation du secret pro.
• Inventer une checklist AI Act éditeur pour une PME utilisatrice.
• Laisser les licences actives après un départ.
• Prioriser un use case données sensibles sans règle écrite (feuille de route).

Questions fréquentes

RGPD et IA générative en PME : par où commencer ?

Par une règle d’une page, avant le premier prompt sur un dossier client. Compte professionnel, finalité écrite de l’usage, minimisation (seul l’extrait utile entre dans l’outil), lecture du DPA ou de la fiche fournisseur, liste de ce qui ne sort jamais, et relecture humaine avant tout envoi client. Les quatre fiches France Num, conçues avec la CPME et la CNIL, servent de point de départ pédagogique : https://www.cnil.fr/fr/utiliser-lia-generative-dans-les-tpe-et-pme. La règle métier se valide avec votre conseil ou votre DPO. Beaucoup de PME n’ont pas d’obligation de DPO nommé. Elles restent responsables du traitement. En pratique : une règle d’une page, un contact interne pour les questions données, et validation avec votre conseil ou un DPO externe si le métier est sensible. Ce cadre est pédagogique.

Peut-on coller un dossier client dans ChatGPT / Claude / Copilot ?

Un extrait minimisé peut être envisagé sur un compte professionnel, hors liste interdite, avec la rétention et l’entraînement vérifiés, pour une tâche dont la finalité est écrite. Le dossier complet, le secret professionnel et les données sensibles restent hors de ces outils tant que la règle écrite et votre conseil ne les autorisent pas. Un humain relit le texte généré avant tout envoi au client. Ce rappel est un cadre pédagogique.

Faut-il un DPA avec l’éditeur d’IA générative, et où sont hébergées les données ?

Quand l’éditeur traite des données personnelles pour le compte de la PME, il est souvent un sous-traitant au sens du RGPD. Le DPA, ou la documentation contractuelle équivalente, se lit avant l’usage métier : durée de conservation (rétention), localisation (région / pays), sous-traitants, transfert hors UE éventuel, usage éventuel pour l’entraînement. Une phrase CoDir suffit une fois documentée (DPA ou fiche fournisseur). Sans réponse claire sur ces points, ni l’extrait client ni le dossier client n’entrent dans l’outil. Votre conseil tranche le contrat. Cet article reste un cadre pédagogique.

Quelles données peut-on mettre dans un outil d’IA, et que contient la règle « données interdites » ?

Celles que votre règle écrite autorise : extrait utile, hors liste interdite (secret pro, données sensibles, pièces confidentielles). Compte professionnel, paramètres rétention / entraînement vérifiés, minimisation. Si le type de donnée n’est pas sur la liste autorisée, elle n’entre pas. La règle « données interdites » d’une page liste les types de pièces ou champs qui ne sortent jamais vers un outil externe (ex. : dossier complet, pièces d’identité, données de santé, secrets d’affaires, correspondance confidentielle). Exemples génériques métier, responsable nommé, date de revue. Une page qui se lit en cinq minutes reste appliquée.

L’AI Act impose-t-il des obligations lourdes à une PME qui utilise seulement l’IA ?

Pour une PME qui utilise des outils d’IA déjà édités, le regard porte surtout sur la transparence d’usage et la prudence sur les usages à haut risque. Questions à poser au fournisseur, puis validation métier. En cas de doute, votre conseil. Ce cadre pédagogique ne tient pas lieu de checklist pour un éditeur de modèle.

Comment éviter le shadow IA sur les dossiers clients ?

Comptes pro, liste de données interdites écrite, formation courte sur ce qui ne sort jamais, journal léger des usages, révocation d’accès au départ. Le shadow IA contourne ces garde-fous : voir aussi l’article dédié shadow IA en PME.