RGPD et IA : ce que les entreprises doivent savoir en 2026

‍

‍

‍

L'intelligence artificielle entre dans les entreprises plus vite que les règles censées l'encadrer. En 2025, 20,0 % des entreprises européennes de 10 salariés ou plus utilisaient des technologies d'IA, contre 13,5 % un an plus tôt, soit une progression de 6,5 points en un an (Eurostat, décembre 2025). Dans la plupart des cas, ces outils traitent des données personnelles : CV de candidats, tickets clients, messages internes, dossiers patients. Et dès qu'une IA touche à une donnée personnelle, le RGPD s'applique, comme il s'appliquait déjà à n'importe quel logiciel.

La difficulté est que l'IA déplace le problème. Les données ne restent plus sagement dans une base maîtrisée : elles servent à entraîner un modèle, transitent par un fournisseur, parfois hors d'Europe, et alimentent des décisions automatisées. Pour un DSI ou un DPO, la question n'est donc pas seulement « ai-je le droit ? » mais « où vont mes données, qui les héberge, et qui est responsable si elles fuitent ? ».

‍

L'IA est-elle vraiment soumise au RGPD ?

Oui, dès lors qu'elle traite des données personnelles. Le RGPD ne vise pas une technologie en particulier, mais tout traitement de données permettant d'identifier une personne, directement ou indirectement. Un modèle d'IA entraîné sur des données anonymes, ou qui ne manipule aucune donnée personnelle, sort du champ. C'est rarement le cas en pratique.

La nuance porte sur le modèle lui-même. La CNIL travaille à clarifier le statut des modèles d'IA au regard du RGPD, car certains conservent, sous une forme indirecte, des informations issues de leurs données d'entraînement. Tant que cette question n'est pas tranchée, le réflexe sûr consiste à considérer qu'un projet d'IA nourri par des données personnelles reste pleinement soumis au RGPD, de la collecte des données d'entraînement jusqu'à l'exploitation du modèle.

‍

Les principes RGPD qui s'appliquent à tout projet d'IA

Les règles n'ont pas changé avec l'IA. Ce sont les mêmes principes que pour tout traitement, mais ils deviennent plus exigeants à mesure que les volumes de données augmentent et que les usages se diversifient.

‍

Une finalité définie avant de collecter

Un système d'IA doit poursuivre une finalité déterminée, légitime et explicite, fixée avant la collecte des données. C'est ce qui permet de cadrer les données réellement utiles et d'écarter le reste. Entraîner un modèle « au cas où », sans usage précis, n'est pas conforme. La finalité s'apprécie de façon adaptée pour les modèles à usage général, mais elle reste le point de départ de toute la démarche.

‍

Une base légale solide pour l'entraînement

Tout traitement repose sur l'une des bases légales prévues par le RGPD : consentement, contrat, obligation légale, intérêt légitime, mission d'intérêt public ou intérêt vital. Pour l'entraînement d'un modèle, l'intérêt légitime est souvent invoqué, mais il suppose un équilibre démontré entre l'objectif poursuivi et les droits des personnes. Le choix de la base légale se fait en amont et se documente : c'est l'une des premières pièces qu'un contrôle exigera.

‍

Minimisation et qualité des données

Le principe de minimisation impose de ne traiter que les données adéquates, pertinentes et limitées à ce qui est nécessaire. Il n'interdit pas les grandes bases d'entraînement, mais il oblige à sélectionner et nettoyer les données pour éviter d'exploiter des informations personnelles inutiles. Une donnée mal triée représente à la fois un risque juridique et une source de biais dans le modèle.

‍

Transparence et droits des personnes

Les personnes doivent être informées de manière concise, transparente et compréhensible de l'usage de leurs données. Elles conservent leurs droits : accès, rectification, opposition, effacement.

L'IA complique l'exercice de ces droits, car retrouver la trace d'une personne dans un modèle entraîné est techniquement difficile. Cette difficulté n'est pas une excuse : elle doit être anticipée dès la conception, pas découverte le jour d'une demande.

‍

RGPD et AI Act : deux réglementations à articuler

Depuis 2024, un second texte européen encadre l'IA : le règlement (UE) 2024/1689, dit AI Act. Il ne remplace pas le RGPD, il s'y ajoute. Quand un système d'IA traite des données personnelles, les deux s'appliquent en même temps. Le RGPD protège les données, tandis que l'AI Act classe les systèmes par niveau de risque et impose des obligations proportionnées, plus lourdes pour les usages dits à haut risque comme le recrutement, le scoring, la biométrie ou la santé.

Les sanctions donnent la mesure de l'enjeu. Côté RGPD, une violation des obligations clés expose à une amende pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (Article 83 du RGPD). Côté AI Act, le non-respect des pratiques d'IA interdites peut coûter jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial (Article 99 du règlement). Les sanctions visant ces pratiques interdites sont applicables depuis le 2 février 2025.

‍

‍

Il n'existe pas de mise en conformité « IA » d'un côté et « RGPD » de l'autre. Pour un projet qui traite des données personnelles, c'est une seule démarche, menée de front. Sur la dimension défensive, nous détaillons comment l'IA renforce autant qu'elle menace la cybersécurité des entreprises.

‍

Là où ça coince vraiment : les angles morts de la conformité IA

La théorie juridique est bien documentée. Les vrais incidents, eux, viennent rarement d'une mauvaise lecture de l'article 6 du RGPD. Ils viennent de trois angles morts que les directions sous-estiment.

‍

Le shadow AI, premier risque RGPD en entreprise

Le shadow AI désigne l'usage d'outils d'IA par les salariés sans validation ni encadrement de l'entreprise. Un commercial qui colle un fichier clients dans un assistant grand public pour rédiger un mail, un juriste qui résume un contrat confidentiel via un service gratuit : à chaque fois, des données personnelles quittent le périmètre maîtrisé de l'entreprise, souvent vers des serveurs hors UE.

Les chiffres sont sans appel. Une organisation sur cinq a déjà subi une violation de données liée au shadow AI, et seules 37 % disposent de règles pour encadrer l'IA ou détecter ces usages (IBM). Plus coûteux encore : les organisations fortement exposées au shadow AI subissent un surcoût moyen de 670 000 dollars par violation par rapport à celles qui maîtrisent ces usages.

Chez Ozitem, nous constatons que l'interdiction pure et simple ne fonctionne pas, car les équipes contournent. La bonne réponse consiste à encadrer plutôt qu'à interdire, en combinant une charte d'usage claire, des outils validés mis à disposition et une supervision technique des flux.

‍

Où vivent vos données ? Hébergement, fournisseur LLM et transferts hors UE

C'est la question que la pédagogie juridique évite et que toute DSI se pose. Quand vos collaborateurs utilisent une IA, où sont stockés et traités les prompts, les fichiers joints, les historiques de conversation ? Sur quels serveurs, dans quel pays, sous quel droit ?

Un grand nombre de services d'IA grand public hébergent leurs traitements aux États-Unis. Transférer des données personnelles hors de l'Union européenne impose des garanties précises au titre du RGPD. À défaut, le simple fait de saisir un nom de client dans l'outil constitue un transfert non encadré. Le choix du fournisseur et du lieu d'hébergement n'est donc pas un détail technique, c'est une décision de conformité.

C'est précisément là qu'un hébergement souverain change la donne. Faire tourner ses traitements d'IA sur une infrastructure française, sous droit européen, supprime la question du transfert hors UE et garde la donnée sous contrôle. 

‍

Qui est responsable ? Responsable de traitement et sous-traitant

Une IA fait intervenir plusieurs acteurs : celui qui conçoit le modèle, celui qui l'héberge, celui qui l'intègre, celui qui l'utilise. Le RGPD répartit les responsabilités entre responsable de traitement et sous-traitant, et cette répartition détermine qui répond en cas de violation.

Le sujet est si central que la CNIL l'a mis à son agenda. En attendant ces précisions, une règle pratique tient : tout recours à un fournisseur d'IA doit s'accompagner d'un contrat de sous-traitance (DPA) qui définit clairement les rôles, les finalités autorisées et le sort des données.

‍

Données sensibles et secteurs régulés : le cas de la santé

Toutes les données ne se valent pas. Les données de santé, comme les données biométriques ou les opinions, relèvent des catégories particulières du RGPD, dont le traitement est par principe interdit sauf exceptions encadrées. Or l'IA est de plus en plus sollicitée dans ces secteurs, pour l'aide au diagnostic, le tri de dossiers patients ou l'analyse d'imagerie.

Pour ces usages, deux exigences se cumulent. Le RGPD impose un niveau de protection renforcé, et le secteur santé ajoute l'obligation d'héberger les données de santé chez un Hébergeur de Données de Santé certifié (HDS). Une IA qui traite des dossiers patients doit donc tourner sur une infrastructure elle-même conforme HDS, ce qui restreint fortement le choix des fournisseurs. Nous expliquons les enjeux de la certification HDS et plus largement comment protéger les données de santé dans un environnement numérique.

Le Groupe Ozitem est certifié HDS sur l'intégralité des six activités du référentiel, en plus des certifications ISO 9001, 14001 et 27001. Pour un établissement de santé, c'est la garantie que l'infrastructure qui héberge ses traitements, IA comprise, répond aux exigences légales.

‍

{{cta-cloud-hds="/cta"}}

‍

Déployer l'IA en conformité : la méthode en pratique

Passer des principes à l'action tient en quelques étapes structurantes. Ce ne sont pas des cases à cocher en fin de projet, mais une démarche à intégrer dès la conception.

- Privacy by design : intégrez la protection des données dès la phase de cadrage, pas après le déploiement. Documentez vos choix, à savoir pourquoi ces données d'entraînement, quelle architecture, quelles mesures de minimisation, quels tests de biais.

- Analyse d'impact (AIPD) : pour un usage à grande échelle ou à haut risque, l'analyse d'impact relative à la protection des données est obligatoire avant le déploiement. Elle force à cartographier les risques et à les traiter en amont.

- Contrat de sous-traitance (DPA) : exigez un DPA complet de chaque fournisseur d'IA, qui encadre les finalités, la localisation des données et les sous-traitants ultérieurs.

- Gouvernance et traçabilité : définissez une politique d'usage de l'IA, formez les équipes et tracez les traitements. La norme [ISO 27001 appliquée à un projet d'infogérance](https://www.groupeozitem.com/blog/certification-iso-27001-en-quoi-est-ce-primordial-pour-votre-projet-dinfogerance) fournit un cadre éprouvé pour structurer cette gouvernance.

L'écart entre les entreprises tient surtout à ce dernier point. 63 % des organisations victimes d'une violation n'ont pas de politique de gouvernance de l'IA ou sont encore en train d'en élaborer une. La conformité de l'IA est d'abord une affaire d'organisation et d'infrastructure, avant d'être une affaire de droit.

‍

Sources

- Eurostat, 20% of EU enterprises use AI technologies, décembre 2025.

- IBM, Cost of a Data Breach Report 2025, breaches of AI models and shadow AI, juillet 2025.

- Union européenne, Article 99 Sanctions, Règlement (UE) 2024/1689 sur l'intelligence artificielle, 2024.

- Union européenne, Article 83 Conditions générales pour imposer des amendes administratives, RGPD, 2016.

- CNIL, IA : la CNIL finalise ses recommandations sur le développement des systèmes d'IA, juillet 2025.

‍

FAQ

L'IA est-elle compatible avec le RGPD ?

Oui. Le RGPD n'interdit pas l'IA, il l'encadre. Un projet d'IA est conforme dès lors qu'il repose sur une finalité définie, une base légale valable, des données minimisées, une information claire des personnes et le respect de leurs droits.

Quelle base légale pour entraîner une IA sur des données personnelles ?

L'une des six bases prévues par le RGPD. L'intérêt légitime est fréquemment retenu pour l'entraînement, à condition de démontrer l'équilibre entre l'objectif et les droits des personnes, et de documenter ce choix avant le traitement.

Une analyse d'impact (AIPD) est-elle obligatoire pour un projet d'IA ?

Elle l'est dès que le traitement est susceptible d'engendrer un risque élevé pour les droits des personnes, ce qui est fréquent pour l'IA à grande échelle ou les usages à haut risque comme le recrutement, le scoring ou la santé. Elle se mène avant le déploiement.

Peut-on utiliser ChatGPT au travail sans violer le RGPD ?

Pas en y saisissant des données personnelles ou confidentielles sans encadrement. Le risque vient du transfert de ces données vers des serveurs souvent hors UE. La bonne pratique réunit une charte d'usage, des outils validés par l'entreprise et, idéalement, une solution hébergée en Europe.

Qui est responsable en cas de fuite de données via une IA ?

Cela dépend du rôle de chacun. L'entreprise utilisatrice est généralement responsable de traitement, et le fournisseur d'IA, sous-traitant. Un contrat de sous-traitance (DPA) doit définir ces rôles. La CNIL prépare des recommandations pour clarifier les responsabilités de chaque maillon de la chaîne.

‍

{{cta-contact="/cta"}}