IA, RGPD et souveraineté : le cadre à poser avant de déployer quoi que ce soit
Interdire l’IA pousse à l’usage clandestin sur des comptes personnels : exactement le risque qu’on voulait éviter. Voici le cadre qui protège réellement, et les questions à poser à un prestataire.
La question arrive dans presque toutes les directions de bureaux d’études : peut-on utiliser l’IA sans exposer les données de nos clients ? La réponse courte est oui, à condition de traiter le sujet dans le bon ordre.
Pourquoi l’interdiction ne protège pas
Une note de service interdisant les assistants d’IA produit, en pratique, le même résultat partout : les ingénieurs continuent, sur leurs comptes personnels, depuis leurs téléphones, sans traçabilité et sans aucune des garanties contractuelles d’une offre professionnelle.
L’entreprise a alors le pire des deux mondes : l’exposition existe, et elle est invisible. Un cadre permissif et explicite protège mieux qu’une interdiction non appliquée.
La première décision : classifier les données
Avant de choisir un outil, il faut savoir ce qui a le droit d’en sortir. Trois niveaux suffisent, et ils se décident en une réunion.
| Niveau | Exemples | Usage autorisé |
|---|---|---|
| Public ou banalisé | Textes de présentation, contenus déjà publiés, documentation normative | Tout outil, y compris grand public |
| Interne | Trames de mémoire, méthodes internes, comptes rendus sans donnée client identifiante | Outils professionnels sous contrat, avec clause de non-entraînement |
| Confidentiel client | Livrables, données de site, éléments couverts par une clause du marché | Uniquement un environnement dédié et contractuellement encadré, ou rien |
Cette grille répond à 90 % des situations quotidiennes, et elle donne aux équipes une règle applicable sans consulter la direction à chaque usage.
Les six questions à poser à un prestataire
- Où sont hébergées les données, physiquement ? Un centre de données en Union européenne est une condition nécessaire. Demandez la localisation exacte, pas la région commerciale.
- Quel droit s’applique à l’éditeur ? Un hébergement européen chez un éditeur soumis à un droit extraterritorial ne répond pas complètement à la question. C’est un arbitrage à faire en conscience, pas une case à cocher.
- Mes données servent-elles à entraîner un modèle ? La réponse doit être non, et elle doit figurer au contrat. Une mention dans une page d’aide peut changer sans préavis.
- Quelle durée de conservation, et comment obtenir la suppression ? Y compris pour les journaux techniques, souvent oubliés dans la réponse.
- Qui, chez le prestataire, peut accéder aux données ? Et selon quelle procédure. La réponse « personne » est rarement exacte : ce qui compte est la traçabilité des accès.
- Que se passe-t-il à la fin du contrat ? Format d’export, délai de suppression, réversibilité. À traiter avant la signature.
La politique d’usage interne, en une page
Une politique qui tient en une page est appliquée ; un document de quinze pages ne l’est pas. Cinq points suffisent.
- La classification des données et ce qui est autorisé pour chaque niveau.
- La liste des outils validés par l’entreprise, et l’interdiction des comptes personnels pour un usage professionnel.
- L’obligation de relecture humaine avant tout usage externe d’un contenu produit avec assistance.
- L’interdiction de déposer des données de client dans un outil non validé, quelle que soit l’urgence.
- Le point de contact interne quand un cas n’est pas couvert, avec l’engagement d’une réponse rapide, sans quoi la règle sera contournée.
Le principe qui compte le plus, et qui n’est pas réglementaire
Aucune action externe sans validation humaine. Pas parce qu’un texte l’impose, mais parce qu’un système qui envoie, publie ou engage sans qu’une personne ait vu et validé finit par produire une erreur que personne n’a décidée.
Dans un métier où la signature engage une responsabilité professionnelle, c’est une frontière non négociable. Elle vaut pour l’IA comme pour toute automatisation.
Un système qui agit à l’extérieur sans validation humaine transfère une responsabilité que personne n’a acceptée.
Questions fréquentes
Peut-on utiliser ChatGPT dans un bureau d’études sans risque RGPD ?
Faut-il un hébergement en France pour l’IA ?
Comment empêcher les salariés d’utiliser l’IA avec des données sensibles ?
Nos données servent-elles à entraîner les modèles d’IA ?
Ce sujet correspond à une priorité chez vous ?
Avant d’engager un budget, il vaut mieux savoir précisément ce qui bloque et ce que ça vaut. C’est ce que le Diagnostic établit en dix jours ouvrés, avec trois issues possibles : dont « ne pas poursuivre ».