IA et RGPD : ce qu'une entreprise française doit vraiment savoir

« On a le droit de mettre des données clients dans ChatGPT ? » Cette question, on nous la pose à chaque audit — et c’est une excellente question. Voici une réponse claire, sans catastrophisme ni jargon juridique.

Le principe de base

Le RGPD ne s’oppose pas à l’IA. Il impose la même chose qu’ailleurs : savoir quelles données personnelles vous traitez, pourquoi, où elles vont, et pouvoir le dire à vos clients. Le problème n’est donc pas « utiliser l’IA », mais l’utiliser sans se poser ces questions.

Concrètement, une donnée personnelle, c’est tout ce qui identifie quelqu’un : nom, email, téléphone, mais aussi le contenu d’un échange avec un client identifiable.

Les vrais risques, par ordre de gravité

1. Coller des données clients dans un outil grand public gratuit. Les versions gratuites des chatbots IA peuvent utiliser vos conversations pour entraîner leurs modèles. Y coller un fichier clients ou un échange nominatif, c’est transmettre des données personnelles à un tiers sans cadre. C’est LE réflexe à corriger en premier — et ça se règle simplement en passant sur des offres professionnelles, où l’entraînement sur vos données est désactivé contractuellement.

2. Faire transiter les données par des serveurs hors UE sans le savoir. Beaucoup d’outils d’automatisation populaires hébergent aux États-Unis. Ce n’est pas interdit (des mécanismes existent), mais ça doit être documenté et mentionné dans votre politique de confidentialité. La solution la plus simple : privilégier des outils auto-hébergés en France quand c’est possible — c’est l’une des raisons pour lesquelles nous utilisons n8n hébergé sur des serveurs français, comme expliqué dans notre article sur les workflows.

3. Automatiser sans transparence. Si un assistant IA collecte des coordonnées sur votre site, le visiteur doit le savoir, savoir pourquoi, et pouvoir exercer ses droits. Une case de consentement et une politique de confidentialité à jour suffisent — mais elles doivent exister.

Les bons réflexes (la checklist du dirigeant)

• Triez avant d’envoyer. La plupart des usages IA (rédiger une publication, reformuler un texte, préparer un article) ne nécessitent aucune donnée personnelle. Anonymisez par défaut : « un client » au lieu de « M. Martin ».
• Passez en version pro. Pour tout usage régulier en entreprise, les offres professionnelles des outils IA désactivent l’entraînement sur vos données. C’est la base.
• Exigez l’hébergement en France ou en UE pour tout ce qui touche aux workflows manipulant des données clients.
• Mettez à jour votre politique de confidentialité : quels outils, quelles données, quelle durée de conservation.
• Gardez un humain dans la boucle pour toute décision qui affecte une personne (réponse à une réclamation, par exemple).

Ce que ça change dans nos automatisations

Chez Wesoria, la conformité n’est pas une option en plus, c’est l’architecture par défaut : workflows hébergés en France, pas de données clients dans des outils grand public, consentement et mentions à jour sur les formulaires, et validation humaine sur les contenus sortants. Wesud, notre maison mère spécialisée en cybersécurité, ne nous laisserait de toute façon pas faire autrement.

Si vous utilisez déjà l’IA dans votre entreprise et que vous avez un doute sur vos pratiques, posez-nous la question — un quart d’heure suffit souvent à identifier les deux ou trois réflexes à corriger.