IA et conformité réglementaire : ce qu'une PME doit cadrer avant d'automatiser
IA en PME : données personnelles, confidentialité, traçabilité, RGPD et gouvernance. Les points à vérifier avant d'utiliser ChatGPT ou des outils d'IA métiers.
L’IA peut aider une PME à gagner du temps : résumer des comptes rendus, préparer des réponses, analyser des tickets support, classer des documents. Mais elle ajoute aussi un risque simple : envoyer trop vite des informations sensibles dans un outil que personne n’a vraiment cadré.
Pour une PME, le sujet n’est pas de bloquer l’IA. Le sujet est de définir ce qui peut être automatisé, quelles données peuvent être traitées, qui valide les usages et comment garder une trace des décisions.
Pourquoi la conformité IA concerne aussi les PME
Une petite structure manipule souvent autant de données sensibles qu’une grande entreprise : fichiers clients, devis, contrats, données RH, dossiers médicaux, informations financières, données de connexion, échanges commerciaux. La différence, c’est qu’elle a rarement une DSI ou un DPO à temps plein pour encadrer les nouveaux outils.
Le risque arrive par les usages du quotidien :
- un collaborateur colle un contrat client dans ChatGPT pour le résumer ;
- un service exporte un fichier Excel clients vers un outil d’analyse IA ;
- une équipe support utilise un assistant pour générer des réponses sans vérifier les données affichées ;
- un manager demande à un outil de classer des CV, sans documenter les critères.
Dans chacun de ces cas, la question n’est pas seulement technique. Elle touche au RGPD, à la confidentialité contractuelle, à la sécurité des accès et à la capacité de l’entreprise à expliquer ce qu’elle fait de ses données.
Les questions à poser avant d’utiliser un outil IA
Avant de déployer une IA dans une PME, commencez par une grille simple.
Quelles données entrent dans l’outil ? Des données publiques ne posent pas le même risque qu’un fichier RH, une base clients ou des documents de santé.
Où les données sont-elles traitées ? L’éditeur indique-t-il une localisation européenne ? Propose-t-il un accord de traitement des données ? Les prompts sont-ils utilisés pour entraîner le modèle ?
Qui peut accéder aux résultats ? Un outil IA connecté à Microsoft 365, Google Workspace ou un CRM doit respecter les droits existants. Sinon, il peut rendre visibles des documents qui ne devraient pas l’être.
Qui valide la sortie ? Une IA peut produire une réponse convaincante mais fausse. Toute décision métier importante doit rester validée par une personne.
Quelle trace conserve-t-on ? Pour un usage sensible, il faut pouvoir retrouver qui a utilisé l’outil, sur quel périmètre, et avec quel niveau de validation.
RGPD : les points de vigilance concrets
Le RGPD ne mentionne pas chaque outil IA par son nom, mais il impose des principes qui s’appliquent directement.
Minimisation des données. N’envoyez à l’outil que les informations nécessaires. Pour résumer un ticket support, il n’est pas utile de transmettre le nom complet du client, son numéro de téléphone et tout l’historique commercial.
Base légale et finalité. L’usage doit être clair : assistance rédactionnelle, classification, résumé, analyse. Une donnée collectée pour gérer un contrat client ne doit pas être réutilisée librement pour entraîner un outil ou enrichir une base commerciale.
Sécurité. Les accès doivent être protégés par MFA, les comptes partagés interdits, et les exports de données surveillés.
Sous-traitance. Si l’outil traite des données personnelles pour votre compte, l’éditeur devient souvent un sous-traitant au sens RGPD. Il faut vérifier ses engagements contractuels.
Droits des personnes. Si une IA aide à prendre une décision sur une personne, l’entreprise doit pouvoir expliquer la logique générale, corriger les erreurs et répondre aux demandes d’accès ou de suppression.
Mettre en place une charte IA interne
Une charte IA n’a pas besoin d’être longue. Elle doit surtout être lisible et applicable.
Elle peut tenir en une page avec cinq règles :
- Ne jamais saisir de mot de passe, secret, clé API ou donnée bancaire dans un outil IA.
- Ne pas envoyer de données clients nominatives sans validation.
- Utiliser uniquement les outils approuvés par l’entreprise.
- Relire et valider toute sortie avant envoi à un client ou un fournisseur.
- Signaler tout doute au référent interne ou au prestataire informatique.
Cette charte doit être accompagnée d’exemples concrets. Les collaborateurs doivent savoir ce qui est autorisé : reformuler un email générique, créer un plan de réunion, résumer une documentation publique. Ils doivent aussi savoir ce qui est interdit : copier un contrat confidentiel, analyser une base RH, envoyer un export comptable.
Sécuriser techniquement les usages IA
La conformité IA repose aussi sur des réglages techniques.
Comptes nominaux. Chaque utilisateur doit avoir son propre compte. Les comptes partagés rendent impossible la traçabilité.
MFA obligatoire. Un assistant IA connecté aux données de l’entreprise devient une porte d’entrée sensible. L’authentification multifacteur est indispensable.
Gestion des droits. Avant de connecter une IA à SharePoint, Google Drive ou un CRM, vérifiez les permissions. Un assistant ne doit pas contourner les règles d’accès.
Journalisation. Sur les outils critiques, conservez les logs d’utilisation : connexions, exports, accès aux documents, modifications de configuration.
Revue régulière. Les outils IA changent vite. Un réglage sûr aujourd’hui peut évoluer demain. Prévoyez une revue trimestrielle des outils utilisés.
Un audit informatique PME permet de cartographier les outils en place, les données exposées et les accès à corriger.
Cas d’usage à faible risque pour démarrer
Toutes les automatisations ne se valent pas. Pour démarrer sans créer de dette de conformité, privilégiez les usages à faible exposition.
Bon périmètre de départ :
- aide à la rédaction d’emails non confidentiels ;
- résumé de documents publics ;
- préparation de procédures internes ;
- génération de checklists ;
- classement de tickets sans données personnelles ;
- aide à la documentation technique.
Périmètre à encadrer fortement :
- analyse de fichiers clients ;
- traitement de données RH ;
- documents médicaux ou juridiques ;
- données financières ;
- accès à une messagerie complète ;
- connexion directe à un CRM ou ERP.
La bonne approche est progressive : commencer par les usages simples, former les équipes, puis ouvrir les usages plus sensibles après validation.
Questions fréquentes
Une PME peut-elle utiliser ChatGPT avec des données clients ?
Oui, mais pas sans cadre. Il faut vérifier les conditions de l’éditeur, éviter les données nominatives quand ce n’est pas nécessaire, documenter l’usage, et privilégier une offre professionnelle qui permet de maîtriser la confidentialité et les paramètres d’entraînement.
Faut-il un DPO pour utiliser l’IA ?
Pas toujours. Cela dépend de votre activité et des données traitées. En revanche, même sans DPO, il faut désigner un responsable interne de l’usage IA et tenir une liste des outils utilisés.
L’IA peut-elle prendre des décisions automatiques sur des clients ou salariés ?
C’est un usage sensible. Toute décision produisant un effet important sur une personne doit rester explicable, contrôlée et contestable. Pour une PME, il est préférable de garder une validation humaine systématique.
Comment auditer les outils IA déjà utilisés par les équipes ?
Commencez par recenser les comptes, extensions navigateur, outils SaaS et connecteurs installés. Ensuite, classez-les selon les données traitées : public, interne, confidentiel, personnel, sensible. Un audit de sécurité peut formaliser cette cartographie.
Quelle est la première action concrète à mettre en place ?
Publiez une règle simple : aucune donnée client, RH, médicale, bancaire ou contractuelle ne doit être envoyée dans un outil IA non validé. Ensuite, listez les outils autorisés et formez les équipes avec des exemples.
Pour aller plus loin : consultez notre checklist d’audit informatique, notre guide télétravail sécurisé, notre méthode de gestion de projet informatique PME, le guide dématérialisation PME et notre page cybersécurité PME.
