Confidentialité des données IA : les bonnes pratiques 2026 pour les PME
Pour garder la maîtrise de vos données avec l'IA, trois décisions suffisent à couvrir l'essentiel des risques : définir ce qui ne doit jamais entrer dans un outil d'IA, n'utiliser que des offres professionnelles dont le contrat exclut l'entraînement sur vos données, et écrire des règles courtes que chacun peut appliquer dès demain. Le reste (analyse d'impact, registre, audit des sous-traitants) vient ensuite, selon le niveau de risque de vos usages.
Ce guide s'adresse aux dirigeants et responsables de PME qui voient leurs équipes utiliser ChatGPT, Claude, Copilot ou Gemini, sans toujours savoir où partent les données. Il complète notre guide de l'IA en entreprise pour PME et s'appuie sur les recommandations publiées par la CNIL.
Pourquoi la confidentialité devient un sujet de direction
Parce que chaque prompt est un transfert de données vers un prestataire tiers, et que la plupart des fuites viennent d'un usage banal, pas d'une attaque. Un commercial colle un fichier client dans un chatbot pour rédiger un mail, un RH résume une évaluation annuelle, un comptable soumet un export de factures. Aucun de ces gestes n'est malveillant, tous peuvent constituer un traitement de données personnelles au sens du RGPD.
Les chiffres de la CNIL donnent l'ordre de grandeur du risque général : 5 629 notifications de violations de données en 2024, dont 93 % concernent une perte de confidentialité, et 15 % découlent d'incidents survenus chez seulement 8 sous-traitants (plaquette cybersécurité 2025 de la CNIL). Ces chiffres ne portent pas spécifiquement sur l'IA, mais ils rappellent un point utile : une part importante des incidents passe par les prestataires. Or un outil d'IA est un prestataire de plus dans votre chaîne.
Côté sanctions, le RGPD prévoit des amendes administratives pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé. Pour une PME, le risque réel est rarement ce plafond. Il est plutôt dans la perte de confiance d'un client, la résiliation d'un contrat avec un grand compte qui exige des garanties, ou le temps passé à gérer un incident. Vous pouvez aussi lire notre article sur les sanctions prévues par l'AI Act pour la partie réglementaire spécifique à l'IA.
Classer vos données avant de choisir vos outils
Commencez par trois niveaux : données libres, données internes, données interdites. Cette classification tient sur une page et évite des débats au cas par cas.
- Données libres : contenus déjà publics (site web, plaquettes, offres d'emploi publiées), textes génériques sans nom ni chiffre confidentiel.
- Données internes : procédures, comptes rendus anonymisés, tableaux sans identification de personnes. Utilisables uniquement dans un outil professionnel validé.
- Données interdites dans tout outil non validé : données personnelles identifiantes de clients, salariés ou usagers, données de santé, données bancaires, secrets d'affaires, contrats en négociation, codes sources sensibles, identifiants et mots de passe.
Pour une association, la catégorie « interdites » inclut en pratique les fichiers de bénéficiaires et de donateurs. Pour un cabinet ou une structure soumise à un secret professionnel, elle est plus large encore, et mérite une réflexion à part.
Limite à garder en tête : la classification ne protège que si elle est connue. Une règle que personne n'a lue n'est pas une règle.
Choisir des outils dont le contrat protège vos données
Un outil grand public gratuit n'offre pas les mêmes garanties qu'une offre professionnelle : vérifiez par écrit ce qu'il advient de vos prompts. Les points à contrôler sont les mêmes pour tous les fournisseurs, et ils figurent dans les conditions d'utilisation ou l'accord de traitement des données (DPA).
- Entraînement : vos données servent-elles à entraîner les modèles ? Les offres professionnelles l'excluent en général par défaut ; les comptes personnels peuvent l'activer par défaut ou via un réglage.
- Localisation et transferts : où sont hébergées et traitées les données, et quels mécanismes encadrent un éventuel transfert hors Union européenne ?
- Conservation : combien de temps les conversations sont-elles gardées, et pouvez-vous les supprimer ?
- Sous-traitants ultérieurs : qui d'autre accède aux données ?
- Sécurité : chiffrement, journalisation, gestion des accès, authentification forte.
- Réversibilité : pouvez-vous exporter et supprimer vos données en fin de contrat ?
Ne vous fiez pas à une réponse orale d'un commercial ni à une page marketing. Demandez le DPA, lisez-le, archivez-le.
Comprendre ce que dit la CNIL sur l'IA et le RGPD
Le RGPD s'applique dès que des données personnelles sont traitées, que ce soit pour entraîner un système d'IA ou simplement pour l'utiliser. La CNIL a finalisé le 22 juillet 2025 ses recommandations sur le développement des systèmes d'IA et publié une série de fiches pratiques, qui couvrent notamment la finalité, la base légale, l'intérêt légitime, l'information des personnes, l'exercice des droits, l'annotation des données et la sécurité.
Un point mérite l'attention des utilisateurs d'IA : d'après la CNIL, qui s'appuie sur l'avis du Comité européen de la protection des données de décembre 2024, le RGPD s'applique dans de nombreux cas aux modèles entraînés sur des données personnelles, parce qu'un modèle peut mémoriser une partie de ces données. Pour vous, la conséquence pratique est simple : plus vous maîtrisez ce qui entre dans l'outil, moins vous dépendez de ce que le modèle pourrait restituer.
Notez la frontière : ces fiches visent d'abord ceux qui conçoivent et entraînent des systèmes. Si vous vous contentez d'utiliser un outil du marché, vous restez responsable de traitement pour les données que vous y saisissez, et votre fournisseur est en général votre sous-traitant. Comparez avec notre analyse AI Act vs RGPD pour distinguer les deux textes.
Savoir quand une analyse d'impact (AIPD) s'impose
Une AIPD est obligatoire quand le traitement présente un risque élevé pour les personnes, et l'IA y mène plus vite qu'un outil classique. La CNIL a adopté le 11 octobre 2018 une liste de quatorze types de traitements pour lesquels elle estime l'analyse obligatoire, et précise que cette liste n'est pas exhaustive : un traitement absent de la liste peut aussi en exiger une, au regard de neuf critères issus des lignes directrices européennes.
Des signaux d'alerte pour une PME : utilisation de l'IA pour évaluer ou classer des personnes (candidats, salariés, clients), traitement de données sensibles ou à grande échelle, surveillance de l'activité des salariés. Dans ces cas, ne démarrez pas sans avoir documenté les risques et les mesures. Pour un simple usage de rédaction sans donnée personnelle, une AIPD n'est généralement pas nécessaire.
Écrire des règles d'usage courtes et applicables
Une bonne charte IA tient sur une à deux pages et répond à cinq questions : quels outils, quelles données, quels usages, qui valide, que faire en cas de doute. Si votre document dépasse cette taille, il ne sera pas lu.
Voici la trame que nous recommandons aux PME que nous formons :
- La liste des outils autorisés, avec le compte professionnel à utiliser (et l'interdiction d'utiliser un compte personnel pour un usage professionnel).
- Les trois catégories de données et ce qui est permis pour chacune.
- La règle de vérification : toute sortie utilisée à l'extérieur est relue par un humain.
- Un référent à qui poser les questions, même si c'est le dirigeant au départ.
- La procédure en cas d'erreur : prévenir immédiatement, sans sanction pour celui qui signale.
Cette dernière règle compte plus qu'on ne le croit. Une équipe qui a peur d'être sanctionnée cache ses erreurs, et vous apprenez la fuite trop tard. Pour aller plus loin sur le cadre global, voyez comment rédiger une politique IA en entreprise et notre modèle de politique IA.
Traiter le cas de la shadow IA
Interdire sans proposer d'alternative pousse vos équipes vers des outils personnels que vous ne voyez plus. C'est le mécanisme de la shadow IA : l'usage existe déjà, il se fait simplement hors de tout cadre.
La démarche qui fonctionne est la suivante. D'abord, interrogez vos équipes sans jugement sur ce qu'elles utilisent déjà. Ensuite, fournissez un outil professionnel validé pour les usages les plus courants. Enfin, bloquez uniquement ce qui présente un risque réel, plutôt que tout. Limite à reconnaître : un blocage technique complet est difficile à mettre en place dans une PME sans équipe informatique dédiée, et il se contourne depuis un téléphone personnel. La formation reste le levier le plus fiable.
Former les équipes, une obligation autant qu'une protection
Le règlement européen sur l'IA (règlement UE 2024/1689) impose à toute organisation qui déploie de l'IA de veiller à un niveau suffisant de maîtrise de l'IA de son personnel, c'est l'article 4. Au-delà de l'obligation, c'est aussi votre meilleure défense : la plupart des incidents de confidentialité viennent d'un geste de bonne foi fait par quelqu'un qui ne savait pas.
Pour le détail de l'obligation, consultez notre article sur l'article 4 de l'AI Act et notre guide de la formation IA en entreprise. Une session de sensibilisation d'une demi-journée suffit souvent pour couvrir les règles de base ; la durée d'une formation IA dépend ensuite des métiers concernés.
Préparer la réaction en cas de fuite
Si des données personnelles ont été exposées, la notification à la CNIL doit intervenir dans un délai de 72 heures lorsque la violation présente un risque pour les personnes. Ne découvrez pas cette procédure le jour de l'incident.
Préparez à l'avance une fiche d'une page : qui prévenir en interne, comment documenter l'incident (date, données concernées, nombre de personnes, outil impliqué), qui décide de notifier, qui contacte le fournisseur pour faire supprimer les données. Tenez un registre interne des incidents, même mineurs. Si vous n'avez pas de délégué à la protection des données, désignez au moins une personne qui connaît la procédure. Pour une vision d'ensemble de vos risques, un audit IA en PME permet de cartographier les usages réels avant qu'un incident ne le fasse à votre place.
Questions fréquentes
Peut-on mettre des données clients dans ChatGPT ou un autre assistant IA ?
Pas dans un compte grand public ou personnel. Avec une offre professionnelle dont le contrat exclut l'entraînement sur vos données, et sous réserve d'une base légale et d'une information correcte des personnes, c'est envisageable pour des usages définis. En cas de doute, anonymisez d'abord.
L'anonymisation suffit-elle à protéger les données ?
Elle réduit fortement le risque, à condition d'être réelle. Retirer le nom ne suffit pas si le poste, la ville et la date permettent de retrouver la personne. Testez en vous demandant si un collègue reconnaîtrait la personne à la lecture.
Faut-il désigner un délégué à la protection des données (DPO) pour utiliser l'IA ?
Pas systématiquement. La désignation est obligatoire dans certains cas prévus par le RGPD (autorités publiques, suivi régulier à grande échelle, données sensibles à grande échelle). Pour une PME hors de ces cas, un référent interne suffit souvent.
Une offre IA hébergée en Europe règle-t-elle le sujet ?
Elle simplifie la question des transferts hors Union européenne, mais ne règle ni l'entraînement, ni la conservation, ni la sécurité des accès. L'hébergement est un critère parmi d'autres.
Que faire si un salarié a collé des données sensibles dans un outil personnel ?
Documentez ce qui a été saisi, demandez la suppression de la conversation et des données auprès du fournisseur, évaluez le risque pour les personnes, et décidez avec votre référent si une notification à la CNIL est nécessaire. Ne sanctionnez pas d'emblée : vous voulez que les prochains signalements arrivent vite.
Cette démarche s'applique-t-elle aussi aux associations ?
Oui, avec une vigilance particulière sur les fichiers de bénéficiaires, de donateurs et de bénévoles, souvent sensibles par nature.
Comment GrowthPerf accompagne
GrowthPerf est un organisme de formation certifié Qualiopi, spécialisé en IA, no-code et automatisation pour les PME et les associations. Nous intervenons sur trois points : une sensibilisation courte pour vos équipes, centrée sur les règles de confidentialité et des exercices sur vos propres cas ; la rédaction avec vous d'une charte d'usage adaptée à vos outils ; et un audit des usages existants pour repérer la shadow IA.
Pour repartir avec une base concrète, demandez notre charte gratuite : elle reprend la trame de cet article, à adapter à votre structure. Nous restons disponibles pour en parler sur growthperf.com.
Pour compléter votre lecture, retrouvez le guide complet de l'IA en entreprise pour PME, et notre article sur la gouvernance IA en PME.