Un mardi matin, dans une PME de services, le responsable administratif s'apprête à connecter une IA à la boîte mail de l'entreprise. L'idée est simple : trier les demandes, rédiger des brouillons de réponse, gagner deux heures par jour. Le branchement prend dix minutes. Personne, dans la pièce, ne sait où partent réellement les e-mails une fois qu'ils quittent le serveur, ni combien de temps ils y restent, ni qui peut les lire. La productivité est visible tout de suite. Le risque, lui, ne se voit pas avant longtemps.
C'est le piège classique. La conformité n'est pas un frein que l'on ajoute à la fin pour faire plaisir au juriste. C'est une contrainte de design, à poser dès le premier jour, au même titre que le budget ou le périmètre. Un projet IA pensé conforme dès le départ coûte moins cher qu'un projet qu'il faut détricoter parce qu'il fait fuiter des données personnelles. Voici les six points à vérifier avant d'appuyer sur le bouton.
Les six points à vérifier
1. Où sont hébergées les données. Vérifiez concrètement dans quel pays les données transitent et sont stockées, et si le fournisseur garantit un hébergement dans l'Union européenne. Assurez-vous surtout que vos données ne servent pas à entraîner des modèles d'IA grand public non encadrés, où elles échapperaient totalement à votre contrôle. Le risque si vous l'ignorez : vos fichiers clients partent alimenter un service tiers, hors de portée, sans possibilité de les récupérer ni de les effacer.
2. Un contrat de sous-traitance (DPA) signé avec chaque outil. Dès qu'un prestataire traite des données personnelles pour votre compte, le RGPD impose un contrat de sous-traitance, souvent appelé DPA. Il précise ce que le prestataire a le droit de faire, ses obligations de sécurité et ce qu'il advient des données à la fin. Vérifiez que chaque outil d'IA utilisé en dispose. Le risque sans DPA : vous restez juridiquement responsable en cas d'incident, sans aucun recours contractuel contre le fournisseur.
3. Le traitement des données sensibles. Les données de santé, les informations financières détaillées, l'origine, les opinions ou l'appartenance syndicale relèvent de l'article 9 du RGPD et sont dites sensibles. Elles demandent un encadrement renforcé et, le plus souvent, ne devraient jamais transiter par une IA généraliste. Vérifiez que votre cas d'usage ne les manipule pas par inadvertance, par exemple dans des pièces jointes ou des champs libres. Le risque : une infraction bien plus lourde qu'une simple négligence, avec des sanctions à la clé.
4. La base légale et l'information des personnes. Tout traitement de données personnelles doit reposer sur une base légale claire : consentement, contrat, intérêt légitime. Vos clients et vos salariés doivent aussi être informés que leurs données peuvent être traitées par une IA. Vérifiez que vos mentions d'information et votre politique de confidentialité le disent. Le risque si personne n'est prévenu : un traitement illicite, et la confiance qui s'effrite le jour où l'usage se sait.
5. Les décisions automatisées. L'article 22 du RGPD encadre les décisions prises entièrement par une machine et qui produisent un effet important sur une personne, par exemple refuser une candidature ou un crédit. La règle est de garder un humain dans la boucle, capable de comprendre et de reprendre la main. Vérifiez qu'aucune décision lourde ne se prend sans validation humaine réelle. Le risque : une décision injuste ou biaisée que personne n'a relue, et une responsabilité difficile à porter.
6. La réversibilité et la maîtrise des sous-traitants. Demandez-vous ce qui se passe le jour où vous voulez changer d'outil ou arrêter. Pouvez-vous récupérer vos données dans un format exploitable et exiger leur suppression complète ? Savez-vous quels sous-traitants du sous-traitant interviennent en coulisse ? Vérifiez ces clauses avant de signer. Le risque : rester prisonnier d'un fournisseur, sans porte de sortie et sans visibilité sur la chaîne réelle qui manipule vos données.
Ces six vérifications sont aussi le prolongement naturel d'un bon travail en amont sur vos fichiers. Voir préparer ses données avant l'IA.
Ce que change l'AI Act en 2026
Le règlement européen sur l'IA, souvent appelé AI Act, ajoute une couche à ce cadre. Il classe les usages selon leur niveau de risque. Certains, comme le tri de candidatures en RH, le scoring de clients ou le traitement de données sensibles, sont considérés à risque élevé. Pour ces cas, la loi demande de la traçabilité (savoir ce que le système a fait), de l'explicabilité (pouvoir expliquer une décision) et de la documentation (garder une trace écrite du fonctionnement et des contrôles). Ce n'est pas un motif de panique, la plupart des usages courants d'une PME restent hors de cette catégorie. C'est simplement une raison de plus de savoir, dès le départ, dans quelle case tombe votre projet.
La méthode 30 jours
Un mois suffit pour poser des bases saines, à condition de procéder dans l'ordre.
- Semaine 1, inventaire. Listez précisément quelles données chaque cas d'usage va toucher : e-mails, fiches clients, documents RH, données financières. On ne protège bien que ce que l'on a cartographié.
- Semaine 2, matrice de conformité. Pour chaque cas d'usage, notez la base légale, le niveau de sensibilité, le fournisseur, l'existence d'un DPA, et surtout les points où un humain doit garder la main.
- Semaine 3, build avec garde-fous. Développez la solution avec les protections intégrées dès le début : hébergement choisi, accès limités, validation humaine sur les décisions sensibles. Pas des rustines ajoutées après coup.
- Semaine 4, mise en production documentée. Déployez en gardant une trace écrite des choix, des contrôles et des responsabilités. Cette documentation est ce que l'on vous demandera le jour d'un contrôle ou d'un incident.
La logique tient en une phrase : la conformité se construit par design, au fil du projet, pas en fin de parcours quand tout est déjà branché. Poser les bonnes questions au bon moment évite bien des retours en arrière, un réflexe utile aussi quand vous choisissez un prestataire, comme le rappellent ces questions à poser à un cabinet conseil IA avant de signer.
Ces six points ne transforment pas un projet risqué en projet sûr par magie, mais ils écartent les erreurs les plus coûteuses, celles qui se paient en confiance perdue et en sanctions. L'IA bien cadrée reste un vrai levier pour une PME, à condition de la brancher les yeux ouverts. Une précision honnête pour finir : cet article donne des repères concrets, il ne remplace pas l'avis d'un avocat ou d'un délégué à la protection des données (DPO), seul habilité à sécuriser votre situation précise.
L'équipe Flip