RGPD et IA : ce qu’une TPE doit vérifier avant de se lancer

Le RGPD s’applique-t-il à une TPE qui utilise l’IA ?

Oui, sans aucune exception liée à la taille de l’entreprise. Dès qu’un outil, y compris une IA, traite un nom, un e-mail ou un numéro de téléphone de client, votre entreprise est soumise au RGPD au même titre qu’un grand groupe : il n’existe ni seuil d’effectif ni chiffre d’affaires minimum en dessous duquel le règlement cesserait de s’appliquer.

Beaucoup de dirigeants de petite structure pensent, à tort, que leur taille les met à l’abri d’un contrôle. Ce n’est pas le cas, et la CNIL dispose depuis 2022 d’une procédure pensée justement pour traiter plus vite les dossiers des petites structures, sur laquelle on revient plus bas.

Quelles données ne doivent jamais entrer dans un outil IA grand public ?

Les données personnelles de vos clients ou de vos salariés ne doivent pas être saisies dans un compte IA grand public sans vérification préalable, car l’entraînement du modèle y est parfois activé par défaut. Coordonnées, historique d’achat, contenu d’un contrat ou d’un dossier RH font partie des informations à protéger en priorité.

Le risque réel n’est pas l’outil en lui-même, c’est de ne pas savoir si vos saisies servent à l’entraîner. Notre Repère sur vos données et l’IA détaille ce trajet offre par offre, et la matrice à suivre pour choisir un outil selon la sensibilité de la donnée.

Que risque concrètement une TPE en cas de manquement ?

Le risque va d’un simple rappel à l’ordre à une amende de plusieurs milliers d’euros, et il touche aussi les petites structures. En 2025, la CNIL a prononcé 83 sanctions, dont 67 par la procédure simplifiée créée en 2022 : une voie réservée aux dossiers sans difficulté juridique particulière, plafonnée à 20 000 euros, qui vise justement les TPE, PME et professions libérales, pas seulement les grands comptes.

Faut-il un registre avant de lancer un projet IA ?

Oui, dès qu’un traitement de données personnelles est en jeu, y compris via un outil IA. La CNIL recommande de documenter ce type de traitement dans un registre qui précise l’outil utilisé, les données concernées et la finalité poursuivie, et de réaliser une analyse d’impact si le risque est élevé.

Ce n’est pas un exercice bureaucratique isolé : c’est ce même registre qui vous permet de répondre en quelques minutes si un client demande ce qu’il advient de ses données, ou si la CNIL vous interroge un jour.

Quelles clauses vérifier avant de choisir un outil IA ?

Quatre points suffisent à couvrir l’essentiel avant de signer. Le comportement par défaut de l’offre sur l’entraînement du modèle (désactivé ou non sur vos données), la durée de rétention, la localisation des serveurs, et l’existence d’un accord de traitement des données (DPA) avec le fournisseur.

Ces clauses ne s’improvisent pas au moment de la signature. Notre accompagnement en conformité et souveraineté IA les vérifie avant que l’outil ne touche vos données réelles, pas après coup.

Faut-il choisir un outil français ou européen pour être en règle ?

Non, ce n’est pas une obligation en soi, mais cela simplifie une partie des vérifications. Un outil souverain ou hébergé en Europe répond plus facilement aux questions de localisation et de droit applicable, sans dispenser pour autant de vérifier l’entraînement et la rétention comme pour n’importe quel autre outil.

Notre Focus sur l’IA souveraine avec Mistral pour une PME détaille ce que « souverain » veut dire concrètement, et pourquoi ce choix se fait usage par usage plutôt que par principe.