IA RGPD entreprise : les règles CNIL pour l'IA générative

Réponse directe : Pour concilier IA RGPD entreprise, la CNIL recommande de partir d'un besoin précis, de lister les usages autorisés et interdits, de ne saisir aucune donnée personnelle sur un service grand public, de signer un contrat de sous-traitance avec le fournisseur, d'encadrer les transferts hors UE, de mener une AIPD quand le risque est élevé, puis de former et d'informer les salariés.

Mis à jour le 18 octobre 2026

Un salarié colle un contrat client dans ChatGPT, un recruteur fait comparer trois CV à un assistant. Dans les deux cas, la question IA RGPD entreprise se pose : des données personnelles quittent votre système d'information pour un fournisseur tiers, parfois situé hors de l'Union européenne.

Ce guide traduit en règles concrètes ce que disent la CNIL, le RGPD et l'AI Act. Il complète notre guide de l'assistant IA entreprise, qui présente les outils eux-mêmes. Il ne constitue pas un conseil juridique : pour un traitement sensible, associez votre DPO ou votre avocat.

Que recommande la CNIL pour utiliser l'IA générative en entreprise ?

La CNIL recommande six réflexes : partir d'un besoin concret, encadrer les usages (autorisés et interdits), garder en tête que l'IA produit des erreurs plausibles, choisir un système robuste et un mode de déploiement sécurisé, former les utilisateurs et installer une gouvernance associant DPO, RSSI et métiers. Ce sont les fondations de toute démarche IA RGPD entreprise.

Ces recommandations figurent dans la publication de la CNIL du 18 juillet 2024 sur le déploiement de l'IA générative, accompagnée d'une foire aux questions détaillée.

Une IA générative est un système qui produit du texte, des images, du son ou du code à partir d'une instruction (le « prompt »). Son fonctionnement probabiliste peut produire des résultats inexacts mais crédibles.

Selon son programme de travail publié le 7 avril 2026, la CNIL prévoit de finaliser cette année ses travaux sur l'IA au travail : ces règles pourront donc être précisées.

Peut-on mettre des données personnelles dans un prompt ?

Sur un service grand public ou un compte personnel, non : la CNIL demande de n'y saisir aucune donnée personnelle ni confidentielle. Sur une offre professionnelle encadrée par contrat, c'est possible si la donnée est nécessaire à la tâche, si le fournisseur ne la réutilise pas et si le transfert est sécurisé. Dans le doute, pseudonymisez.

Une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable, directement (nom, adresse électronique) ou indirectement (numéro de dossier, combinaison d'informations), selon l'article 4 du RGPD.

La FAQ de la CNIL distingue plusieurs modes de déploiement, avec un niveau de vigilance différent :

Un salarié qui utilise son compte personnel sort donc de tout cadre contractuel : c'est le cœur du problème de la Shadow IA en entreprise.

Comment réduire les données saisies ?

Le principe de minimisation de l'article 5 du RGPD impose de ne traiter que les données nécessaires. En pratique : remplacer les noms par des rôles (« le client », « le candidat A »), retirer coordonnées et identifiants, et ne jamais coller de données de santé ou d'autres catégories particulières de l'article 9 du RGPD.

Quelle base légale pour un usage de l'IA en entreprise ?

Utiliser l'IA ne crée pas une nouvelle base légale : le traitement repose sur celle de l'activité d'origine. Gérer un dossier client relève en général de l'exécution du contrat, répondre à une obligation de la loi de l'obligation légale, améliorer un processus interne souvent de l'intérêt légitime, à condition de documenter la mise en balance.

L'article 6 du RGPD liste six bases légales. La vraie question n'est donc pas « l'IA est-elle autorisée ? », mais « ce nouvel usage reste-t-il compatible avec la finalité pour laquelle les données ont été collectées ? ».

Le fournisseur d'IA est-il votre sous-traitant ?

Dans une offre professionnelle, le fournisseur qui traite des données personnelles pour votre compte est en général votre sous-traitant. L'article 28 du RGPD impose alors un contrat écrit qui fixe l'objet, la durée, les mesures de sécurité, le recours à d'autres sous-traitants et la suppression des données en fin de prestation.

Un sous-traitant est l'organisme qui traite des données personnelles pour le compte et sur instruction du responsable de traitement, au sens de l'article 4 du RGPD. La CNIL précise dans sa FAQ qu'une entreprise qui ajuste un modèle ou y connecte une base contenant des données personnelles devient responsable de ce traitement. Elle doit donc interroger le fournisseur sur la conformité de son système.

Les grands éditeurs proposent un accord de traitement des données (DPA). Anthropic indique par exemple que son DPA est intégré à ses conditions commerciales, avec des clauses contractuelles types. Comparez ces documents plutôt que les arguments commerciaux : notre comparatif Claude vs ChatGPT entreprise fait ce travail pour deux offres.

Comment encadrer les transferts de données hors de l'Union européenne ?

Un transfert hors UE est licite s'il repose sur une décision d'adéquation, des clauses contractuelles types ou une autre garantie du chapitre V du RGPD. Pour les États-Unis, la décision d'adéquation couvre les entreprises certifiées au Data Privacy Framework. Pour les données les plus sensibles, la CNIL conseille un prestataire soumis au seul droit européen.

Selon la CNIL, les États-Unis sont un pays adéquat depuis le 10 juillet 2023. Le Tribunal de l'Union européenne a rejeté le recours du député Philippe Latombe contre cette décision le 3 septembre 2025, comme le rapporte Le Club des juristes. Selon Digital Policy Alert, un pourvoi a été formé le 31 octobre 2025 devant la Cour de justice : le cadre reste donc à surveiller.

Certains éditeurs proposent aussi un stockage en Europe : OpenAI a annoncé le 5 février 2025 une résidence des données en Europe pour ChatGPT Enterprise, ChatGPT Edu et son API. La localisation ne règle pas la question des lois extraterritoriales, traitée dans notre article sur l'IA souveraine en entreprise.

Quand faut-il réaliser une AIPD pour un usage de l'IA ?

Une AIPD est obligatoire quand le traitement présente un risque élevé pour les personnes. Selon la CNIL, c'est présumé dès que deux des neuf critères du CEPD sont réunis, et l'IA générative compte comme « usage innovant ». Un usage d'IA sur des données de candidats, de salariés ou de clients doit donc être examiné avec le DPO.

Une AIPD (analyse d'impact relative à la protection des données) est l'étude, prévue par l'article 35 du RGPD, qui décrit un traitement, évalue sa nécessité et ses risques, puis fixe les mesures pour les réduire. La CNIL met à disposition un outil PIA gratuit pour la formaliser.

Dans sa fiche consacrée à l'AIPD des systèmes d'IA, la CNIL précise trois points utiles :

• les techniques récentes comme l'IA générative relèvent de l'usage innovant, contrairement aux méthodes statistiques éprouvées ;
• pour un système à haut risque au sens de l'AI Act, elle présume l'AIPD nécessaire dès qu'il traite des données personnelles ;
• parmi les risques à étudier figurent la production de contenus erronés sur des personnes réelles, le biais d'automatisation et l'extraction de données confidentielles.

Comment informer les salariés et associer le CSE ?

Le RGPD impose d'informer clairement les personnes dont les données sont traitées, salariés compris. Le Code du travail ajoute, à l'article L. 2312-8, une consultation du CSE lors de l'introduction de nouvelles technologies affectant les conditions de travail. Les tribunaux apprécient au cas par cas : un déploiement généralisé y est soumis, un test volontaire pas forcément.

Le tribunal judiciaire de Créteil a ordonné le 15 juillet 2025 la suspension d'outils d'IA déployés sans consultation du CSE dans une entreprise de presse. À l'inverse, le tribunal judiciaire de Paris a jugé le 10 février 2026 qu'un test de Copilot de quatre mois, sur la base du volontariat, ne constituait pas un projet important.

La meilleure protection reste la transparence : une charte IA d'entreprise qui dit quels outils sont autorisés, quelles données sont interdites et qui valide, diffusée et expliquée avant le déploiement. Les élus peuvent aussi être formés, comme le propose notre fiche IA et CSE.

Comment le RGPD et l'AI Act s'articulent-ils ?

Les deux textes se cumulent. Le RGPD protège les données personnelles, quel que soit l'outil. L'AI Act encadre les systèmes d'IA selon leur niveau de risque. L'AI Act indique d'ailleurs qu'il ne modifie pas le RGPD : un même usage peut donc relever des deux, et la conformité IA RGPD entreprise suppose de traiter les deux volets ensemble.

Ces dates tiennent compte du règlement omnibus (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, qui a réécrit l'article 4 du règlement (UE) 2024/1689 et reporté les obligations haut risque. Selon le cabinet Goodwin, l'article 50 s'applique depuis le 2 août 2026. Pour le détail par taille d'entreprise, consultez notre guide AI Act : obligations des PME.

Comment former les équipes aux bons réflexes IA et RGPD ?

La formation est le levier le plus direct : la CNIL considère l'organisme comme généralement responsable d'un mauvais usage par son personnel, et l'article 4 de l'AI Act demande des mesures pour favoriser la maîtrise de l'IA. Une session courte, appliquée aux outils et aux données de l'entreprise, couvre les deux obligations à la fois.

Skillevos, organisme de formation IA certifié Qualiopi basé à Saint-Gratien (Val-d'Oise), propose la formation AI Act et usages responsables de l'IA en 3 h, à 1 300 € HT pour un groupe de 10 personnes maximum, en visio ou en présentiel. Elle peut être prise en charge par votre OPCO selon les règles de votre branche. Sur les formations entreprise de Skillevos, les participants déclarent 94,5 % de satisfaction (indicateur mis à jour en août 2026).

Questions fréquentes

Peut-on mettre des données personnelles dans ChatGPT, Copilot ou Claude ?

Pas sur un service grand public ou un compte personnel : la CNIL recommande de n'y saisir aucune donnée personnelle ni confidentielle. Avec une offre professionnelle, c'est envisageable si un contrat de sous-traitance est signé, si la réutilisation des données par le fournisseur est désactivée, si les transferts hors UE sont encadrés et si la donnée est vraiment nécessaire à la tâche. Le plus sûr reste de pseudonymiser avant de coller un texte.

Faut-il une AIPD pour utiliser l'IA générative en entreprise ?

Pas systématiquement. La CNIL présume une AIPD obligatoire quand un traitement remplit au moins deux des neuf critères du CEPD, et elle classe l'IA générative parmi les usages innovants, qui constituent l'un de ces critères. Un usage limité à la rédaction sans données personnelles n'en exige généralement pas. Un usage qui traite des données de clients, de candidats ou de salariés doit être analysé avec le DPO.

Le fournisseur d'IA est-il sous-traitant au sens du RGPD ?

Le plus souvent oui, quand il traite des données personnelles pour le compte de l'entreprise dans le cadre d'une offre professionnelle. L'article 28 du RGPD impose alors un contrat qui fixe l'objet du traitement, les mesures de sécurité et le sort des données. Les grands éditeurs proposent un accord de traitement des données (DPA) intégré à leurs conditions commerciales : vérifiez-le avant tout déploiement.

Faut-il informer les salariés ou consulter le CSE avant de déployer un outil d'IA ?

Informer les salariés, oui, dès que l'outil traite leurs données ou modifie leur travail : le RGPD impose une information claire sur les traitements. Pour le CSE, l'article L. 2312-8 du Code du travail prévoit une consultation lors de l'introduction de nouvelles technologies. Le tribunal judiciaire de Créteil a suspendu un déploiement d'IA faute de consultation le 15 juillet 2025, alors qu'un test volontaire a été jugé non soumis à consultation à Paris en février 2026.

Le RGPD et l'AI Act s'appliquent-ils en même temps ?

Oui. L'AI Act précise lui-même qu'il ne modifie pas le RGPD : dès qu'un système d'IA traite des données personnelles, les deux textes se cumulent. L'AI Act encadre le système (maîtrise de l'IA, transparence, haut risque), le RGPD encadre les données (base légale, minimisation, droits, sécurité). La documentation produite pour l'un peut nourrir l'autre, notamment l'AIPD.

Conclusion : faire de la conformité IA RGPD entreprise un réflexe d'équipe

La démarche IA RGPD entreprise tient en peu de principes : un besoin défini, une offre professionnelle sous contrat, pas de données personnelles inutiles, des transferts encadrés, une AIPD quand le risque l'exige et des salariés informés. Le reste dépend des réflexes de chaque utilisateur. Pour situer ces règles dans votre stratégie d'outillage, revenez à notre guide de l'assistant IA entreprise.

Pour ancrer ces bonnes pratiques, découvrez notre formation AI Act et usages responsables de l'IA ou réservez un échange de 10 minutes de vos usages actuels.

Sources : CNIL, déploiement de l'IA générative ; CNIL, questions-réponses IA générative ; CNIL, AIPD et IA ; RGPD (EUR-Lex) ; AI Act (EUR-Lex) ; règlement (UE) 2026/1744.