RGPD et IA : utiliser l'intelligence artificielle en conformité

Commençons par lever le malentendu le plus répandu. Le RGPD, c'est le règlement européen 2016/679, applicable depuis le 25 mai 2018. Il ne parle ni de ChatGPT, ni de Claude, ni d'aucun modèle d'IA, pour une raison simple : il encadre le traitement des données à caractère personnel, pas la technologie qui le réalise. Une donnée personnelle, c'est toute information se rapportant à une personne physique identifiée ou identifiable : un nom, un email, un numéro de téléphone, un historique d'achat, parfois une simple adresse IP.

Conséquence directe : l'IA n'est ni interdite, ni dispensée. Quand vous demandez à un modèle de langage de résumer un compte-rendu d'entretien nominatif, vous réalisez un traitement de données personnelles, exactement comme si vous le faisiez dans un tableur. Les mêmes règles s'appliquent. À l'inverse, si vous lui faites reformuler un argumentaire commercial générique sans aucune donnée personnelle, vous êtes hors du champ du RGPD.

Il faut aussi distinguer deux textes que l'on confond souvent. Le RGPD encadre les données personnelles. L'AI Act, le règlement européen sur l'intelligence artificielle, encadre le système d'IA lui-même, ses risques et ses usages. Les deux coexistent : une charte RGPD ne dispense pas d'une démarche AI Act, et inversement. Dans cet article, je me concentre sur le premier, celui qui se déclenche dès le premier fichier client copié dans une fenêtre de chat.

Quand un dirigeant me demande par où commencer, je propose la même séquence en trois temps. Elle évite deux écueils opposés : l'usage sauvage sans aucun cadre, et l'interdiction totale qui pousse les équipes à utiliser des comptes personnels en douce.

Pour la plupart des PME que j'accompagne, c'est trois à cinq jours de travail répartis sur un trimestre, plus une demi-journée de formation collective. Le sujet n'est pas technique, il est culturel. Une fois que l'équipe a intégré le réflexe « j'anonymise avant de coller », l'essentiel du risque s'évapore. La formation IA des équipes est, de loin, le meilleur investissement de conformité.

Atlantica Minceur est un réseau de centres minceur et bien-être qui gère un volume important de données clients, coordonnées, suivi de programmes, échanges personnalisés. Une partie de ces informations touche à la santé, ce qui en fait des données particulièrement protégées par le RGPD. Quand la direction a sollicité Batemark, l'objectif était double : gagner du temps sur la relation client grâce à l'IA, sans jamais exposer ces données sensibles.

On a commencé par séparer ce qui pouvait passer par l'IA de ce qui devait rester cloisonné. Les contenus génériques, modèles de messages, reformulation d'emails, réponses aux questions courantes, ont été confiés à un assistant IA sur une version professionnelle, avec contrat de sous-traitance et données non réutilisées pour l'entraînement. En revanche, tout ce qui relevait du suivi individuel sensible est resté dans l'outil métier, avec un principe clair : on anonymise systématiquement avant toute requête à l'IA, et aucune donnée de santé identifiante ne quitte le système interne.

Résultat : les équipes ont gagné un temps réel sur la rédaction et le suivi de la relation client, sans créer la moindre zone grise côté données. La charte d'usage tient sur deux pages, la formation a duré une demi-journée, et l'entreprise dispose désormais d'une cartographie claire de ses traitements IA. Pour aller plus loin sur la fidélisation côté rétention, l'article sur l'automatisation du service client détaille des cas voisins.