RGPD et IA : ce que la CNIL demande vraiment aux PME

Le RGPD n’attend pas un « projet IA ». Il s’applique dès qu’une personne est identifiable dans ce que vous tapez, collez ou indexez. Un devis, un CV, un fil de mails : c’est déjà le règlement.

La CNIL l’a dit sans détour aux TPE et PME : l’entreprise est responsable de traitement. Pas le stagiaire. Pas OpenAI. Vous.

On a déjà raconté ce qui arrive quand on colle un dossier client dans ChatGPT. Ici, c’est l’autre face : quoi faire avant que ça arrive.

Ce que dit vraiment la CNIL (pas LinkedIn)

Trois documents officiels suffisent. Pas un cabinet à 400 €/h.

1. Les fiches TPE/PME (France Num / CPME / CNIL) : ne pas entrer de données confidentielles, personnelles ou stratégiques dans un outil grand public.
2. La FAQ « déployer une IA générative » : si vous y mettez des données clients ou de la doc sensible, privilégier le sur site. L’API d’un cloud US, c’est l’inverse : vous ne maîtrisez presque plus rien.
3. Les recommandations sur le développement des systèmes d’IA : finalité, base légale, minimisation. Utile même si vous n’entraînez rien — parce que votre prompt, lui, entraîne souvent le fournisseur.

Le règlement européen sur l’IA (transparence des chatbots, etc.) avance en 2026. Le RGPD, lui, est déjà là depuis 2018. On ne survit pas en attendant le prochain texte.

La checklist du lundi matin

Pas un registre de 40 pages. Cinq lignes qu’une assistante peut tenir.

Question	Si la réponse est « non »
On a écrit ce qui a le droit d’aller dans un chatbot ?	Les gens collent. C’est humain.
Les données clients / RH / santé restent hors des outils grand public ?	Vous êtes déjà en traitement non maîtrisé.
On sait qui est le fournisseur, où ça tourne, si les prompts ré-entraînent le modèle ?	Relisez les CGU. Puis changez d’outil.
Un humain relit avant d’envoyer au client ?	L’hallucination, c’est votre signature.
On peut effacer ou cesser le traitement si un client le demande ?	Droit d’accès / d’effacement : c’est vous, pas le chatbot.

C’est ça, le RGPD en PME. Pas « 20 millions d’euros ». C’est : pouvoir expliquer à la CNIL, et à votre client, ce que vous avez fait de ses données.

Transfert hors UE : le piège du « c’est chiffré »

Un outil américain avec un datacenter à Francfort n’annule pas le CLOUD Act. La CNIL le rappelle : si les données peuvent sortir de l’UE (maison-mère, support, logs), il faut un encadrement. « On a coché la case RGPD dans les réglages » n’est pas un encadrement.

Ce qu’on propose, concrètement

La CNIL dit : données perso ou doc sensible → sur site, plutôt qu’une API dont vous ne tenez plus les clés.

C’est le métier d’AroBox : index et fichiers chez vous ; inférence sur infra privée Arobass en France (ou en Suisse sur arobass.ch) ; brouillons à valider. Essai 30 jours, offre sur devis. DPA et contrat à part — on ne joue pas au certificat magique.

Ceci n’est pas un avis d’avocat. Pour un cas précis : votre conseil, ou cnil.fr.

Demander un essai — on installe, on cadre le périmètre indexé, et le copier-coller ChatGPT n’est plus le plan B de l’équipe.