IA et RGPD : ce qu'un dirigeant doit savoir en 2026

L’intelligence artificielle traite des données à une échelle inédite, et la plupart de ces données concernent des personnes : clients, salariés, prospects. La question n’est plus de savoir si le RGPD s’applique à vos projets IA, mais comment le maîtriser sans bloquer l’innovation. Voici ce qu’un dirigeant doit comprendre en 2026 pour décider en connaissance de cause.

Pourquoi l’IA pose-t-elle des enjeux RGPD spécifiques ?

L’IA amplifie tous les risques classiques du RGPD parce qu’elle consomme des volumes massifs de données, souvent réutilisées pour un usage différent de leur collecte initiale. Un modèle entraîné sur des historiques clients, un agent qui lit des e-mails, un copilot qui résume des dossiers RH : chacun manipule des données personnelles, parfois sensibles, et produit des décisions qui affectent des individus.

Trois caractéristiques rendent l’IA particulièrement exposée. D’abord, l’opacité : un modèle statistique explique mal pourquoi il a pris telle décision, ce qui entre en tension avec le droit à l’explication. Ensuite, la réutilisation : les données collectées pour facturer un client se retrouvent parfois à entraîner un modèle, ce qui change la finalité. Enfin, l’externalisation : la majorité des entreprises s’appuient sur des fournisseurs d’IA en cloud, créant des flux de données qu’il faut contractualiser et tracer.

Le point clé pour un dirigeant : ce n’est pas l’outil qui est conforme ou non, c’est l’usage que vous en faites. Deux entreprises utilisant le même modèle peuvent l’une être en règle, l’autre en infraction, selon les données injectées et les garanties contractuelles obtenues.

Quelle base légale pour traiter des données avec l’IA ?

Tout traitement de données personnelles par une IA exige une base légale, et c’est le premier point à verrouiller avant tout projet. Le RGPD en prévoit six ; trois concernent l’essentiel des cas en entreprise.

Le consentement est la base la plus visible mais aussi la plus fragile : il doit être libre, éclairé, et la personne peut le retirer à tout moment, ce qui complique l’entraînement d’un modèle. L’exécution d’un contrat justifie un traitement nécessaire au service rendu, par exemple une IA qui personnalise une commande. L’intérêt légitime offre plus de souplesse mais impose un test de mise en balance documenté entre votre intérêt et les droits des personnes.

La finalité est aussi déterminante que la base légale. Des données collectées pour gérer un compte client ne peuvent pas, par défaut, servir à entraîner un modèle commercial. Réutiliser des données pour un nouvel usage suppose de vérifier la compatibilité avec la finalité d’origine, ou de recueillir une nouvelle base légale. C’est l’erreur la plus fréquente dans les projets IA improvisés.

Données personnelles ou données sensibles : pourquoi la distinction change tout

Toutes les données personnelles ne se valent pas, et confondre les deux catégories peut faire dérailler un projet IA. Les données personnelles ordinaires (nom, e-mail, historique d’achat) relèvent du régime général. Les données sensibles (santé, origine, opinions politiques ou religieuses, orientation sexuelle, données biométriques) sont en principe interdites de traitement, sauf exceptions strictes comme le consentement explicite.

Cette distinction est critique dans plusieurs secteurs. Une IA déployée dans la santé manipule par nature des données sensibles et impose des garanties renforcées. Un outil de recrutement assisté par IA peut révéler indirectement des données sensibles via le profilage, ce qui déclenche les mêmes obligations même si vous ne les collectez pas volontairement.

Pour un dirigeant, la règle pratique est simple : cartographiez les données avant de lancer le projet. Si des données sensibles sont en jeu, le projet change de catégorie de risque, exige presque toujours une analyse d’impact, et certains fournisseurs cloud deviennent inutilisables faute de garanties suffisantes.

Minimisation : moins de données, moins de risque

Le principe de minimisation impose de ne traiter que les données strictement nécessaires à la finalité, et c’est aussi votre meilleur levier de réduction de risque. Un projet IA qui aspire « toutes les données disponibles au cas où » est non conforme par construction et augmente mécaniquement votre exposition en cas de fuite.

Concrètement, la minimisation se traduit par plusieurs réflexes : limiter les champs collectés, anonymiser ou pseudonymiser quand c’est possible, fixer une durée de conservation et purger ce qui n’est plus utile. L’anonymisation présente un avantage majeur : des données réellement anonymes ne relèvent plus du RGPD. La pseudonymisation, elle, reste soumise au règlement mais réduit le risque.

Cette discipline a un effet vertueux sur le coût et la performance. Moins de données à stocker, sécuriser et tracer signifie moins de surface d’attaque et des projets plus faciles à auditer. La conformité bien menée n’est pas un frein : c’est une hygiène de gestion qui sert aussi la robustesse technique.

Sous-traitance et hébergement : où vont réellement vos données ?

Dès que vous utilisez un fournisseur d’IA, vous engagez votre responsabilité sur la chaîne de sous-traitance et sur la localisation des données. Le RGPD exige un contrat de sous-traitance précisant les obligations du prestataire : finalités autorisées, sécurité, sous-traitants ultérieurs, sort des données en fin de contrat.

Deux questions doivent être posées avant tout déploiement. Premièrement, vos données servent-elles à entraîner le modèle du fournisseur ? Beaucoup d’offres grand public le prévoient par défaut, ce qui revient à exposer vos données clients à un tiers. Les offres entreprise excluent généralement cette réutilisation, mais il faut le vérifier au contrat. Deuxièmement, où sont hébergées les données ? Un transfert hors UE n’est licite que via un mécanisme reconnu : décision d’adéquation, clauses contractuelles types ou règles internes contraignantes.

C’est précisément le débat de la souveraineté. Héberger un modèle en interne ou choisir un cloud européen réduit les incertitudes juridiques liées aux transferts, au prix d’une complexité technique supérieure. Ce sujet mérite un arbitrage à part entière : nous l’avons détaillé dans notre article sur l’IA souveraine et le choix entre hébergement interne ou cloud. Le bon réflexe de dirigeant : exiger une cartographie écrite des flux avant de signer.

Droits des personnes : ce que vos clients et salariés peuvent exiger

Les personnes dont vous traitez les données conservent des droits que votre IA doit pouvoir honorer, et c’est souvent là que les projets pèchent. Le RGPD garantit notamment l’accès, la rectification, l’effacement, l’opposition et la portabilité. Un projet IA doit prévoir, dès sa conception, comment répondre à ces demandes.

Deux droits posent des difficultés particulières avec l’IA. Le droit à l’effacement est complexe quand une donnée a déjà servi à entraîner un modèle : la retirer d’une base est simple, la « désapprendre » d’un modèle l’est beaucoup moins. La parade consiste à éviter d’entraîner des modèles sur des données personnelles identifiantes lorsque c’est possible. Le second concerne les décisions automatisées : une personne a le droit de ne pas faire l’objet d’une décision purement automatique ayant un effet significatif (crédit refusé, candidature écartée), et peut exiger une intervention humaine et une explication.

Pour un dirigeant, l’enjeu est organisationnel autant que technique. Il faut désigner qui traite les demandes, dans quel délai (un mois en principe), et garantir qu’une supervision humaine existe sur les décisions sensibles. Ces droits ne sont pas théoriques : leur non-respect figure parmi les premiers motifs de plainte auprès de la CNIL.

Comment le RGPD s’articule-t-il avec l’AI Act ?

Le RGPD et l’AI Act sont deux réglementations distinctes qui s’appliquent simultanément à vos projets IA. Le RGPD protège les données personnelles : sur quelle base, dans quel but, pour combien de temps, avec quels droits. L’AI Act encadre le système d’IA lui-même selon son niveau de risque : transparence, documentation technique, supervision humaine, gestion des risques.

Un même projet peut donc relever des deux. Un outil de scoring de crédit est à la fois un traitement de données personnelles (RGPD) et un système à haut risque (AI Act). Être conforme à l’un ne dispense pas de l’autre. À l’inverse, une IA qui ne traite aucune donnée personnelle peut échapper au RGPD tout en restant soumise à l’AI Act, et réciproquement.

Pour bien comprendre le second volet, son calendrier et ses obligations selon le niveau de risque, consultez notre guide sur l’AI Act en 2026 et comment s’y conformer. La bonne pratique consiste à mener les deux analyses en parallèle dès le cadrage du projet, pour éviter de découvrir une obligation après la mise en production.

Tableau : situations courantes, obligations RGPD et actions concrètes

Ce tableau synthétise les situations les plus fréquentes rencontrées par les entreprises qui déploient de l’IA, l’obligation RGPD correspondante et l’action concrète à mener.

Situation	Obligation RGPD	Action concrète
Vous entraînez une IA sur des données clients	Base légale + respect de la finalité	Vérifier la compatibilité d’usage ou recueillir une nouvelle base ; documenter le test
Vous utilisez un outil IA hébergé hors UE	Encadrer le transfert hors UE	Exiger des clauses contractuelles types et la non-réutilisation des données
Votre IA traite des données de santé ou biométriques	Régime renforcé des données sensibles	Consentement explicite + analyse d’impact (AIPD) avant production
Votre IA prend des décisions automatisées	Droit à l’intervention humaine et à l’explication	Prévoir une supervision humaine et un canal de contestation
Vous confiez vos données à un fournisseur IA	Contrat de sous-traitance conforme	Signer un contrat précisant finalités, sécurité et sort des données
Une personne demande l’effacement de ses données	Droit à l’effacement sous un mois	Mettre en place un process documenté ; éviter d’entraîner sur des données identifiantes
Une fuite de données survient via l’IA	Notification de violation	Notifier la CNIL sous 72 heures et tracer l’incident

Checklist de conformité IA et RGPD pour un projet

Avant de déployer un projet IA, un dirigeant peut vérifier sa conformité en passant en revue une dizaine de points structurants. Cette checklist ne remplace pas un accompagnement juridique, mais elle permet de cadrer la décision et d’identifier les angles morts.

• Cartographier les données : quelles données personnelles, lesquelles sont sensibles, d’où viennent-elles ?
• Identifier la base légale pour chaque traitement et la documenter.
• Vérifier la finalité : l’usage IA est-il compatible avec la collecte initiale ?
• Appliquer la minimisation : réduire, anonymiser ou pseudonymiser ce qui peut l’être.
• Réaliser une AIPD si le traitement présente un risque élevé (profilage, données sensibles, décisions automatisées).
• Encadrer la sous-traitance : contrat conforme, localisation des données, non-réutilisation pour l’entraînement.
• Garantir les droits des personnes : accès, rectification, effacement, opposition, et supervision humaine sur les décisions sensibles.
• Sécuriser le système contre les risques propres à l’IA, comme la fuite de données par les prompts. Notre article sur la sécurité de l’IA face au prompt injection et aux fuites de données détaille ces menaces.
• Articuler avec l’AI Act : vérifier le niveau de risque du système en parallèle.
• Tracer les décisions : conserver une trace écrite des analyses et arbitrages.

La Commission nationale de l’informatique et des libertés (CNIL) publie des recommandations dédiées à l’IA qui constituent une référence utile pour approfondir chacun de ces points.

Conclusion

La conformité RGPD d’un projet IA n’est ni un luxe ni un frein : c’est une condition de pérennité. Les entreprises qui cadrent leurs bases légales, encadrent leurs fournisseurs et anticipent les droits des personnes déploient plus vite, avec moins de risque et plus de confiance de leurs clients. À l’inverse, un projet improvisé expose à des sanctions, à une perte de réputation et, souvent, à un retour en arrière coûteux. La bonne nouvelle pour un dirigeant : ces réflexes se mettent en place dès le cadrage, sans ralentir l’innovation, à condition d’être traités comme une décision stratégique et non comme une formalité de fin de projet.

Vous voulez sécuriser un projet IA et valider sa conformité RGPD avant de le lancer ? Parlons-en lors d’un diagnostic IA.