IA en entreprise et RGPD : ce que vous devez vérifier avant de signer

Pourquoi le sujet RGPD est devenu critique pour l’IA

Un logiciel d’IA en entreprise traite par définition de la donnée : emails clients, contacts, contrats, factures, parfois des informations sensibles (RH, santé, données médicales pour la maintenance d’équipements hospitaliers, etc.). Le RGPD s’applique pleinement, avec une exigence supplémentaire : l’IA ajoute une couche de sous-traitance (le modèle d’IA est souvent hébergé chez un tiers : OpenAI, Anthropic, etc.).

L’article 83 du RGPD fixe le plafond des amendes à 20 millions d’euros ou à 4 % du chiffre d’affaires annuel mondial, le plus élevé des deux étant retenu. Le sujet n’est pas théorique.

1. Demandez un accord de sous-traitance signé

Un éditeur sérieux signe systématiquement un accord de sous-traitance (DPA) avec ses clients. Ce document encadre la sous-traitance des données, identifie les sous-traitants ultérieurs (Anthropic, OpenAI, etc.) et précise les obligations de chaque partie. Si l’éditeur refuse de le signer, ou propose un document générique non négociable, c’est un signal d’alerte.

2. Vérifiez où sont hébergées les données

Pour une PME française, l’hébergement France ou Union européenne est clairement préférable. Les transferts hors UE (États-Unis notamment) sont autorisés mais nécessitent un cadre juridique précis (Clauses Contractuelles Types, accord UE–US Data Privacy Framework). Demandez :

• Où est hébergée la base de données ?
• Où sont stockés les fichiers (PDF, Excel, etc.) ?
• Où tourne le modèle d’IA (OpenAI = US, Anthropic = US, Mistral = France) ?

Un éditeur qui héberge en France et fait appel à un modèle d’IA américain doit le documenter dans cet accord. Une absence de mention est un problème.

3. Demandez si vos données servent à entraîner le modèle

Quand l’éditeur envoie vos données à un modèle d’IA, ces données ne doivent pas servir à l’entraîner. Posez la question, et faites écrire la réponse au contrat : c’est la clause qui vous protège, pas la mention sur une page commerciale. Demandez aussi ce qui est conservé, par qui, et combien de temps.

4. Demandez la liste des sous-traitants ultérieurs

Le RGPD impose une transparence totale sur la chaîne de sous-traitance. Un éditeur IA travaille typiquement avec : un hébergeur cloud (AWS, GCP, Azure ou équivalent européen), un fournisseur de modèle IA (Anthropic, OpenAI, etc.), un outil de monitoring (Sentry, Datadog), un service d’envoi d’emails (Resend, SendGrid). Chacun doit être listé dans l’accord de sous-traitance, et chaque entrée doit avoir son propre niveau de conformité documenté.

5. Chiffrement au repos et en transit

Le trafic doit être chiffré de bout en bout. Les identifiants de vos connexions (Cegid, messagerie, outil de terrain) doivent être chiffrés dans la base, avec une clé détenue par l’éditeur seul et distincte des données. Demandez ce qui est chiffré exactement : « chiffré au repos » ne dit pas si la mesure couvre toute la base ou seulement les secrets.

6. Isolation des données entre clients

Un logiciel partagé entre plusieurs entreprises doit cloisonner strictement leurs données. Aucune requête, aucune recherche, aucun cache ne doit permettre à une société de voir les données d’une autre. Demandez où ce cloisonnement est posé : dans la base de données, dans l’application, ou dans les deux. Un cloisonnement présent uniquement dans l’application est fragile.

7. Audit log exhaustif et accessible

Toute action effectuée sur vos données (lecture, modification, suppression, partage avec un tiers, action préparée par l’IA) doit être tracée et consultable. Le RGPD impose de pouvoir prouver, en cas de contrôle, qui a accédé à quoi, quand et pourquoi. Un éditeur qui ne vous donne aucun accès à ce journal ne vous met pas en situation de répondre.

8. Droit à l’effacement et à la portabilité

Vos données vous appartiennent. À tout moment, vous devez pouvoir : exporter l’intégralité de vos données dans un format standard (JSON, CSV), demander la suppression définitive de tout ou partie de ces données, anonymiser les références à une personne (collaborateur parti, client supprimé). L’éditeur doit pouvoir vous fournir une procédure documentée et un délai d’exécution.

9. Notification d’incident de sécurité

En cas de violation de données, le RGPD impose une notification à la CNIL dans les 72 heures. L’éditeur, en tant que sous-traitant, doit vous prévenir sans délai pour vous permettre de remplir cette obligation. Cette clause doit figurer noir sur blanc dans l’accord de sous-traitance.

10. Documentation publique et accessible

Un éditeur sérieux publie sa politique de confidentialité, sa page sécurité et ses conditions générales, et remet son accord de sous-traitance avant signature. La transparence est le premier indicateur de sa maturité sur le sujet : une page qui décrit des mesures vérifiables vaut mieux qu’une page qui déclare une conformité.

Le cas particulier des PME du bâtiment

Pour les PME du bâtiment et de la maintenance technique, le sujet RGPD est souvent considéré comme moins critique que pour les sociétés de services aux particuliers. C’est une erreur. Vos contrats contiennent des données personnelles (signataires, contacts), vos interventions documentent des accès à des sites privés (codes, plans), vos contrats Cegid intègrent des coordonnées bancaires. Et surtout, vos clients sont eux-mêmes soumis au RGPD et peuvent vous demander la conformité de vos sous-traitants.

Le réflexe « nous sommes petits, nous ne sommes pas concernés » ne tient pas : les conséquences d’une violation de données ne dépendent pas de la taille de l’entreprise.