Ce que dit le RGPD, en une phrase
Quand vous mettez des données de clients, de salariés ou de fournisseurs dans un outil, vous restez responsable de ces données, et l'éditeur de l'outil devient votre sous-traitant. Il doit s'engager par écrit à ne pas les utiliser pour lui-même, à les protéger, et à les supprimer quand vous le demandez. Tout le reste découle de ça.
Les 5 réglages à faire avant de commencer
- 1. Prendre la version professionnelle. ChatGPT Team ou Enterprise, Claude Team ou Enterprise, Copilot pour Microsoft 365, Gemini dans Google Workspace. Sur ces offres, l'éditeur s'engage contractuellement à ne pas entraîner ses modèles avec vos données. Sur les versions grand public, ce n'est pas garanti par défaut : vérifiez le réglage, ou n'y mettez rien de nominatif.
- 2. Accepter l'accord de sous-traitance (DPA). Chaque éditeur sérieux en propose un, en ligne, souvent accepté en un clic dans les paramètres d'administration. C'est le document qu'on vous demandera en cas de contrôle.
- 3. Choisir l'hébergement en Europe quand il est proposé. Plusieurs éditeurs proposent maintenant de garder les données sur des serveurs européens. Ce n'est pas obligatoire pour être en règle (les transferts vers les États-Unis sont encadrés), mais ça simplifie la discussion avec un client exigeant.
- 4. Ajouter une ligne dans votre registre des traitements. « Assistance à la rédaction et au traitement de documents, outil X, données : identité et coordonnées des clients, durée de conservation : 30 jours dans l'outil. » Cinq minutes.
- 5. Désactiver ce dont vous n'avez pas besoin. Les connecteurs vers votre boîte mail ou votre drive sont pratiques, mais ne les activez que pour les personnes qui en ont l'usage.
Les 3 règles pour l'équipe
Je préfère trois règles affichées à une charte que personne ne lit.
- On ne colle jamais : des données de santé, des numéros de carte bancaire, des mots de passe, des données de mineurs, ou le dossier complet d'une personne. Si une tâche en a besoin, on anonymise (« le client » au lieu du nom) ou on ne la confie pas à l'IA.
- On relit toujours : tout ce qui sort est un brouillon. Les chiffres, les noms, les dates et les engagements sont vérifiés par un humain avant d'être envoyés.
- On sait qui valide : pour chaque tâche confiée à l'IA, une personne est responsable du résultat. Pas « l'IA a dit ».
Ce que vous pouvez confier à l'IA dès maintenant
- Rédiger devis, relances, emails et comptes rendus à partir de vos informations (avec le nom du client, sur une version professionnelle).
- Résumer et relire des contrats, des appels d'offres, des documents internes.
- Préparer vos contenus (posts, newsletter, fiches produits).
- Rapprocher des factures et des relevés, classer des documents.
Ce que vous ne confiez pas (ou pas comme ça)
- Des décisions automatiques sur des personnes : refuser un candidat, un crédit, un remboursement. L'IA peut préparer, un humain décide, et la personne a le droit de le savoir.
- Des données de santé ou judiciaires, sauf dans un outil dédié et encadré (certains logiciels métier le sont).
- Des échanges avec vos clients où ils ne savent pas qu'ils parlent à une IA. Dites-le, simplement.
Le point que personne ne vous dit : vous devez former votre équipe
Le règlement européen sur l'IA (AI Act) impose, depuis le 2 février 2025, que les entreprises qui utilisent l'IA s'assurent que leur personnel a un niveau suffisant de « maîtrise de l'IA » (article 4). Pas de diplôme requis : une demi-journée de pratique avec des règles écrites, documentée, suffit pour une petite entreprise. C'est l'un des objectifs de mon atelier, et je vous remets le support qui en fait la preuve.
En résumé
La version professionnelle d'un outil, le DPA accepté, une ligne dans le registre, trois règles affichées, une demi-journée de pratique. Avec ça, une PME utilise l'IA sur ses vraies données en étant en règle, et surtout en étant tranquille. Ce guide n'est pas un avis juridique : pour un cas particulier (santé, finance, données de mineurs), parlez-en à votre avocat ou à votre DPO.