Le RGPD s'applique-t-il si votre entreprise utilise ChatGPT ou d'autres outils d'IA ?
Oui, mais pas parce que vous utilisez un outil d'IA en tant que tel. Le RGPD s'applique dès que vous traitez des données à caractère personnel, ce qui peut tout aussi bien se produire dans un traitement de texte que dans un chatbot. Il ne s'agit donc pas de l'outil que vous utilisez, mais de ce que vous y mettez et ce que l'outil en fait.
Si vous utilisez l'IA uniquement pour des textes généraux, des résumés d'informations publiques ou de l'aide à la programmation sans noms, adresses e-mail ou autres données identifiables, le RGPD ne s'applique pas à cette action spécifique. Si vous entrez des données de clients, de candidats ou de collaborateurs, par exemple pour faire rédiger un e-mail sur la base d'un dossier client, vous traitez des données à caractère personnel et les règles ordinaires s'appliquent.
Quelle est exactement la différence ?
La distinction porte sur le contenu de ce que vous entrez, non sur l'étiquette « IA ». Une entreprise d'installation qui fait reformuler une description de devis sans nom de client fonctionne différemment d'un responsable RH qui fait résumer une lettre de candidature avec nom, adresse et notes d'entretien. Dans le premier cas, il n'y a rien d'identifiable vers une personne. Dans le second cas, si, et l'entrée compte alors comme un traitement.
Il en va de même pour le résultat. Un outil d'IA qui génère un profil ou un avis sur la base de données client entrées traite ces données plus avant. C'est pertinent parce que le RGPD ne regarde pas seulement la conservation des données, mais chaque action : collecte, entrée, traitement par un tiers, et utilisation du résultat.
Qui est alors le sous-traitant ?
La plupart des outils d'IA que les entreprises utilisent fonctionnent sur des serveurs d'un fournisseur externe. Si vous y entrez des données à caractère personnel, ce fournisseur est en pratique souvent un sous-traitant : une partie qui traite les données pour le compte de votre entreprise. C'est la même figure qu'avec un logiciel comptable ou un système CRM, sauf que pour les outils d'IA c'est moins visible parce que l'entrée ressemble à du texte libre plutôt qu'à un fichier de données structuré.
Le Comité européen de la protection des données et l'Autorité néerlandaise de protection des données y accordent de l'attention parce qu'il est souvent peu clair pour les utilisateurs si et combien de temps les données entrées restent conservées, et si elles sont utilisées pour entraîner le modèle sous-jacent. Ce sont des questions que vous retrouverez dans les conditions du fournisseur, et qui déterminent si un accord de traitement des données est nécessaire. Si vous hésitez sur le fait qu'un accord que vous avez déjà signé couvre ce type d'utilisation, vous pouvez le soumettre à vérification dans la base de connaissances par rapport au texte du RGPD.
Quand cela ne vous concerne pas
Si votre entreprise n'utilise l'IA que pour des tâches sans données identifiables, comme la génération de textes marketing généraux, la traduction d'informations produit publiques ou le résumé de vos propres processus internes sans noms, il n'y a pour cette application spécifique aucun traitement de données à caractère personnel et donc aucune obligation supplémentaire au titre du RGPD. Cela ne signifie pas que l'utilisation d'IA en général échappe au filet ; cela signifie que vous devez examiner par application ce qui est réellement entré.
Ce que cela signifie en pratique pour votre registre
Dès qu'un outil d'IA traite des données à caractère personnel, ce traitement a sa place dans le registre des traitements, tout comme n'importe quel autre : quel objectif, quelles données, quel délai de conservation et quel fournisseur propose l'outil. Beaucoup d'entreprises oublient cela parce que l'utilisation d'IA se développe souvent ad hoc, via un compte isolé d'un collaborateur, sans être considérée comme un « système ». Pourtant, cela compte tout autant qu'un CRM ou un système de paie.
Le fait que votre entreprise soit concrètement concernée dépend de la manière dont l'IA est utilisée au sein de votre organisation et par qui. Un directeur qui fait occasionnellement relire un texte sans données de clients n'est pas dans la même situation qu'un département RH qui fait résumer des données de candidatures. En cas de doute, il n'est pas superflu de discuter de cette question avec un juriste ou l'Autorité de protection des données, en particulier lorsque des données sensibles comme les informations relatives à la santé ou financières sont en jeu.
Voulez-vous comprendre rapidement si l'utilisation de l'IA au sein de votre entreprise relève du RGPD et ce que cela implique ? Effectuez l' diagnostic rapide gratuit avec quelques questions et une indication directe, consultez comment les sources sous-jacentes sont structurées via une explication sur d'où provient l'information, ou lisez la foire aux questions si vous souhaitez d'abord voir comment d'autres entrepreneurs gèrent cette question.