En 2026, le RGPD ne bloque pas l’IA générative. Il impose en revanche de maîtriser les données qui entrent dans les outils, les réponses qui en sortent et les responsabilités de chaque acteur. Pour un dirigeant ou un DRH, le vrai sujet n’est donc pas l’autorisation d’utiliser l’IA, mais la capacité à prouver que cet usage est encadré.
Un prompt peut être un traitement de données personnelles
Un nom, une adresse électronique, une appréciation professionnelle ou des éléments permettant d’identifier indirectement un salarié sont des données personnelles. Les copier dans un prompt déclenche l’application du RGPD, même si l’objectif consiste seulement à résumer un entretien ou reformuler un message.
- Éviter toute donnée personnelle non indispensable
- Anonymiser ou pseudonymiser les contenus avant envoi
- Interdire les données sensibles dans les outils non validés
- Vérifier si le fournisseur réutilise les prompts pour entraîner ses modèles
Finalité et base légale : deux décisions à formaliser
L’entreprise doit préciser pourquoi elle traite ces informations : assistance à la rédaction, tri de demandes ou analyse documentaire, par exemple. Elle doit ensuite retenir une base légale adaptée, souvent l’intérêt légitime ou l’exécution d’un contrat. Le consentement n’est ni automatique ni toujours pertinent dans la relation de travail.
Informer et garantir les droits des personnes
Les salariés, candidats ou clients concernés doivent recevoir une information compréhensible sur la finalité, les destinataires, la durée de conservation et leurs droits. L’organisation doit aussi être capable de traiter une demande d’accès, de rectification ou d’opposition lorsque des données ont été utilisées par un service d’IA.
« La conformité ne repose pas sur une case cochée dans un outil : elle repose sur des usages compris, documentés et contrôlés. »
Registre, contrats et transferts de données
L’usage doit apparaître dans le registre des traitements lorsque des données personnelles sont concernées. Il faut qualifier le rôle du fournisseur, examiner l’accord de sous-traitance, les durées de conservation, les mesures de sécurité et les éventuels transferts hors de l’Union européenne. Une analyse d’impact peut devenir nécessaire si le risque est élevé.
RGPD et AI Act : des textes complémentaires
Le RGPD protège les personnes et leurs données ; l’AI Act organise la maîtrise des systèmes d’IA selon leur niveau de risque. Une même application peut relever des deux textes. L’obligation de culture IA prévue par l’AI Act renforce une évidence opérationnelle : les utilisateurs doivent comprendre les limites, les risques et les règles internes.
Former avant de généraliser
Une charte sans compétences reste théorique. Formtech, organisme certifié Qualiopi, apprend aux équipes à repérer les données à risque, choisir un outil autorisé, anonymiser un document et vérifier une sortie. Ce socle transforme la conformité en réflexes quotidiens, avec un diagnostic gratuit et des formations finançables par l’OPCO.