Oui — le RGPD n'interdit pas l'IA, il lui applique ses règles ordinaires. Dès qu'un outil d'IA traite des données personnelles, il faut une base légale, un contrat de sous-traitance avec le fournisseur, la minimisation des données soumises, l'encadrement des éventuels transferts hors UE, et l'information des personnes lorsque c'est requis. Le secret professionnel ajoute une contrainte propre aux professions réglementées : les données couvertes ne vont que dans des outils dont la confidentialité est contractuellement et techniquement garantie. En pratique, la conformité se joue moins dans le choix du modèle que dans le canal de déploiement.
Soumettre à une IA un document contenant des données personnelles — un contrat nominatif, un CV, un dossier client — constitue un traitement au sens du RGPD, avec tout ce qui s'ensuit : une finalité déterminée, une base légale (le plus souvent l'intérêt légitime, à documenter), la minimisation (soumettre l'extrait utile plutôt que le dossier complet, pseudonymiser quand c'est possible), et l'inscription au registre des traitements. Le fournisseur d'IA qui traite ces données pour votre compte est un sous-traitant : il faut un contrat conforme à l'article 28 — ce que les offres entreprise fournissent et que les versions grand public ne fournissent pas, première ligne de partage.
S'ajoutent les transferts : si le service traite les données hors UE, le chapitre V s'applique (adéquation ou clauses contractuelles types). Les déploiements en région européenne — typiquement les modèles opérés dans votre propre environnement Azure en UE — simplifient radicalement cette dimension. Enfin, si l'IA sert à des décisions produisant des effets significatifs sur des personnes (tri de candidatures, scoring), les garde-fous spécifiques sur la décision automatisée entrent en jeu : intervention humaine réelle, information des personnes. Et pour les traitements à risque élevé, l'analyse d'impact (AIPD) s'impose avant la mise en œuvre.
Pour un expert-comptable, un avocat, un professionnel de santé ou de la finance, certaines données ne sont pas seulement « personnelles » : elles sont couvertes par un secret dont la violation engage la responsabilité pénale et déontologique du professionnel — et ce secret ne se lève pas parce qu'un outil est pratique. La règle opérationnelle est simple à énoncer : aucune donnée couverte par le secret ne va dans un outil dont la confidentialité n'est pas garantie contractuellement et techniquement. Un compte grand public gratuit ne satisfait jamais ce test. Une offre entreprise avec engagement de non-entraînement et chiffrement peut le satisfaire pour certains usages. Un modèle déployé dans le propre environnement cloud du cabinet — données en UE, accès contrôlés, journalisation — le satisfait le plus solidement, car le document ne quitte pas le périmètre que le professionnel maîtrise déjà.
Le corollaire organisationnel : la charte du cabinet doit être explicite sur ce point précis, avec des exemples (« un dossier client ne va jamais dans une IA non approuvée, même anonymisé à la main »), parce que l'anonymisation improvisée — retirer le nom mais laisser le SIREN, le contexte, les montants — protège rarement autant qu'on le croit.
Au-delà du RGPD, le règlement européen sur l'IA (AI Act) déploie progressivement ses obligations selon le niveau de risque des usages — l'essentiel des usages bureautiques et documentaires en entreprise relève des catégories à obligations légères, mais les usages RH ou d'évaluation des personnes appellent une vigilance particulière. La bonne posture pour une PME : ne pas attendre un état final du droit pour gouverner ses usages. Les fondamentaux — canal maîtrisé, contrat, minimisation, transparence, humain dans la boucle pour les décisions sensibles — sont déjà les bons, quel que soit le calendrier réglementaire.
Notre conviction opérationnelle, forgée sur le terrain : la conformité IA n'est pas un document, c'est une architecture. Une entreprise dont les modèles tournent dans son périmètre, avec des accès tracés et une charte vivante, est conforme par construction — et sereine face aux évolutions du cadre.
L'anonymisation véritable — irréversible — est difficile à atteindre : retirer les noms laisse souvent des éléments réidentifiants (fonctions, montants, contexte). La pseudonymisation aide, mais reste un traitement de données personnelles. La minimisation complète un canal maîtrisé ; elle ne le remplace pas.
Pas systématiquement : l'AIPD s'impose pour les traitements susceptibles d'engendrer un risque élevé pour les personnes. Un usage bureautique encadré n'en relève généralement pas ; un usage RH, de scoring ou d'évaluation des personnes peut en relever. Bonne pratique : documenter l'analyse, même quand la conclusion est négative.
Oui, dans un canal qui garantit le secret : modèles déployés dans le périmètre du cabinet ou offre entreprise aux garanties contractuelles vérifiées, accès limités à l'équipe du dossier, journalisation. Avec une transparence de bon aloi vis-à-vis des clients — qui devient un argument de modernité maîtrisée.
DIGICAB déploie des environnements d'IA respectueux du RGPD et du secret professionnel : modèles dans votre périmètre Azure, résidence UE, accès tracés, charte. 30 minutes avec un ingénieur, sans démarchage ni engagement.
Prendre rendez-vous