RGPD

Comment ça marche

Le RGPD ne parle pas d’IA. Il parle de données personnelles : tout ce qui permet d’identifier quelqu’un, directement ou non. Dès qu’un outil d’IA lit un e-mail, un CV, un contrat ou un compte rendu de réunion, il traite des données personnelles, et les règles s’appliquent comme pour n’importe quel logiciel.

Ces règles tiennent en quelques questions. Pourquoi ce traitement, et sur quelle base ? Les personnes concernées le savent-elles ? Combien de temps les données sont-elles gardées, et où ? Qui y a accès, et avec quelles protections ? Le fournisseur de l’outil est-il lié par un contrat qui l’oblige à ne pas en faire autre chose ? Pour l’IA, cette dernière question est celle qui change tout : un outil gratuit grand public ne donne aucune de ces garanties.

Un exemple concret

1. Finalité : accuser réception, répondre aux questions pratiques, préparer un résumé pour le recruteur. Pas de tri ni de notation automatique des candidats.
2. Base légale : l’intérêt légitime de l’entreprise à gérer son recrutement, documenté dans le registre des traitements.
3. Information : la page de candidature indique qu’un assistant automatisé traite les premières réponses et qu’un humain prend toute décision.
4. Outil : assistant sous contrat professionnel, données hébergées en Europe, exclusion de l’entraînement, accord de sous-traitance signé.
5. Conservation : les échanges sont supprimés avec le dossier de candidature, au plus tard deux ans après.

Le choix de ne pas faire trier les candidats par l’IA n’est pas qu’une prudence : un tri automatisé serait une décision à effet important, soumise à des règles bien plus lourdes.

Ce que ça change pour une équipe

• La classification des données fait le travail. Une fois les données classées, la règle est simple : les données personnelles courantes passent par l’outil sous contrat, les données sensibles par un outil interne, et rien dans les comptes personnels.
• Le fournisseur devient un sous-traitant. Il faut un contrat qui le dit, et qui précise où vont les données et ce qu’il en fait. Les offres professionnelles le proposent ; les offres gratuites, non.
• L’information des personnes se prévoit. Clients, candidats, salariés : la mention de l’IA dans les politiques de confidentialité et, pour les salariés, l’information du CSE, se font avant le déploiement.
• Les droits des personnes doivent rester exerçables. Si quelqu’un demande ce que vous avez sur lui ou l’effacement, les données passées par l’IA en font partie. L’outil doit permettre de les retrouver et de les supprimer.

Les limites et les erreurs fréquentes

• Le compte gratuit. C’est l’erreur numéro un : des données clients dans un assistant personnel, sans contrat, parfois utilisées pour l’entraînement. La parade est un compte d’entreprise et une charte.
• Oublier la mémoire de l’assistant. Les fonctions de mémoire retiennent des informations d’une conversation à l’autre, y compris des données personnelles. Vérifier ce qui est stocké et pouvoir l’effacer.
• Confondre anonymisation et suppression du nom. Retirer le nom ne suffit pas si le poste, l’entreprise et la date permettent de retrouver la personne. L’anonymisation réelle est difficile ; la pseudonymisation est souvent le bon objectif.
• Croire que le local règle tout. Un modèle qui tourne en interne protège contre les transferts, pas contre un usage illégitime. Les règles de finalité, de conservation et d’accès s’appliquent toujours.