RGPD et IA : ce que ça change concrètement pour les entrepreneurs en 2026

La plupart des entrepreneurs qui utilisent ChatGPT, Claude, ou des outils d'automatisation IA ne savent pas qu'ils peuvent être en infraction avec le RGPD. Pas par mauvaise foi. Par manque d'information sur ce que ces outils font vraiment avec les données qu'on leur passe.

La règle est pourtant simple dans son principe : dès que des données personnelles entrent dans un système d'IA, le RGPD s'applique. Et depuis août 2025, le Règlement européen sur l'IA (EU AI Act) s'y ajoute en couche supplémentaire. Ces deux textes fonctionnent ensemble, pas l'un à la place de l'autre.

Ce guide ne remplace pas un avocat spécialisé. Mais il donne les clés pour comprendre ce qui se passe vraiment, et agir.

Pourquoi le RGPD s'applique à l'IA

Le RGPD ne vise pas l'IA en tant que technologie. Il vise le traitement de données personnelles. Or, l'IA traite des données personnelles dès lors qu'on lui passe :

• Des emails de clients (pour rédiger des réponses)
• Des noms et coordonnées (pour enrichir une base de prospection)
• Des enregistrements d'appels ou de réunions (pour générer des résumés)
• Des données comportementales (pour personnaliser des messages)
• Des images de personnes (pour des outils de reconnaissance ou de génération)

Le risque de mémorisation est un point souvent négligé : les modèles d'IA peuvent "retenir" des informations qu'on leur a passées pendant l'entraînement ou l'utilisation, et les restituer dans d'autres contextes. Ce que tu considères comme une session de travail anonyme peut alimenter un modèle partagé.

Le problème de la finalité : si tu as collecté les emails de tes clients pour leur envoyer des confirmations de commande, et que tu les rentres ensuite dans un outil d'IA pour générer des campagnes marketing, tu as changé la finalité du traitement. C'est une infraction au RGPD si tu n'as pas obtenu un consentement spécifique pour ce second usage.

Collecter des données pour une chose et les utiliser dans un outil d'IA pour autre chose, c'est l'infraction la plus fréquente que commettent les entrepreneurs qui utilisent l'IA sans réfléchir au cadre légal.

L'EU AI Act : ce qui est entré en vigueur en 2025-2026

L'EU AI Act ajoute un niveau de réglementation spécifique aux systèmes d'IA, en plus du RGPD. Il crée une classification par niveau de risque avec des obligations proportionnées.

Ce qui est déjà en vigueur au 1er juillet 2026 :

• Depuis février 2025 : interdiction des pratiques d'IA les plus risquées. Surveillance biométrique en masse, notation sociale par des autorités publiques, manipulation psychologique exploitant des vulnérabilités, reconnaissance émotionnelle dans les contextes professionnels. Ces pratiques sont interdites, point.

• Depuis août 2025 : les règles sur les modèles d'IA à usage général (GPAI) s'appliquent. OpenAI, Anthropic, Google, Meta sont concernés. Ils doivent fournir des résumés sur les données d'entraînement, déclarer la consommation énergétique, maintenir une documentation technique.

• Décembre 2026 : obligations de transparence renforcées (Article 50). Notamment, les contenus générés par IA devront être identifiables comme tels.

Ce qui arrive en 2027 :

• Décembre 2027 (repoussé depuis août 2026) : obligations pour les systèmes d'IA à haut risque. Systèmes utilisés dans le recrutement, l'accès au crédit, la notation scolaire, les décisions médicales, la sécurité publique. Si tu utilises un outil d'IA pour filtrer des CV ou scorer des leads, tu seras soumis à ces règles.

Les obligations concrètes selon ton usage

La question pratique pour un entrepreneur : qu'est-ce que ça implique pour moi, selon ce que j'utilise ?

Si tu utilises ChatGPT / Claude pour travailler avec des données clients

Ce que tu dois faire :

1. Ne jamais coller des données personnelles identifiables dans un chatbot IA public sans avoir vérifié que le prestataire traite les données conformément au RGPD.
2. Activer l'option qui empêche l'utilisation de tes conversations pour l'entraînement du modèle (OpenAI propose cette option, Anthropic aussi).
3. Mettre à jour ta politique de confidentialité pour mentionner que tu utilises des outils d'IA dans certains traitements.
4. Documenter dans ton registre de traitements (obligatoire si tu as des clients) quels outils d'IA tu utilises et pourquoi.

La base légale : pour utiliser légalement des données personnelles dans un outil d'IA, tu dois avoir une base légale (consentement, intérêt légitime, exécution d'un contrat). L'intérêt légitime peut couvrir l'utilisation de l'IA pour améliorer ton service client, mais il faut le documenter et s'assurer qu'il ne l'emporte pas sur les droits des personnes.

Si tu utilises un outil d'IA pour du marketing automation

La personnalisation par IA (emails adaptés, contenu dynamique, scoring de leads) est l'usage le plus répandu et le plus risqué sur le plan RGPD.

Ce qui est obligatoire :

• Base légale explicite pour le profilage (souvent le consentement)
• Droit d'opposition effectif (désabonnement facile)
• Information dans ta politique de confidentialité sur l'utilisation de l'IA pour personnaliser les communications
• Vérification que le prestataire d'outil d'automatisation est lui-même RGPD-compliant (DPA signé)

Si tu utilises un outil d'IA pour générer du contenu visuel (Midjourney, DALL-E, Firefly)

Risque RGPD faible si aucune personne identifiable n'est concernée. Mais depuis décembre 2026, l'Article 50 de l'AI Act imposera d'identifier les contenus générés par IA. Ce n'est pas encore obligatoire aujourd'hui, mais anticiper est sage.

Risque élevé si tu génères des images de personnes réelles, de personnalités, ou de personnes identifiables. La génération de deepfakes ou de contenus intimes non consentis est déjà clairement illégale (en France, l'Article 226-8-1 du Code pénal prévoit 2 ans de prison et 60 000€ d'amende).

Les sanctions réelles : ce que ça chiffre

Les deux régimes de sanctions coexistent et peuvent s'additionner.

Infractions RGPD :

• Jusqu'à 20 millions d'euros ou 4% du chiffre d'affaires mondial annuel (le plus élevé des deux)
• Pour les petites infractions : jusqu'à 10 millions ou 2%

Infractions AI Act :

• Pratiques d'IA interdites : jusqu'à 35 millions d'euros ou 7% du CA mondial
• Non-conformité des systèmes à haut risque : jusqu'à 15 millions ou 3%
• Informations incorrectes aux autorités : jusqu'à 7,5 millions ou 1%

Un exemple concret : la start-up américaine Luka Inc. (l'appli Replika) a reçu une amende de 5 millions d'euros en Italie en 2025, pour avoir dirigé du contenu suggestif vers des mineurs et manqué à ses obligations de transparence. Violation RGPD + AI Act simultanées.

Pour un entrepreneur PME, les sanctions sont proportionnées au CA, pas au chiffre absolu. Mais même une amende de 50 000€ pour une petite structure, c'est potentiellement fatal. Et les sanctions ne sont pas les seuls risques : atteinte à la réputation, perte de confiance clients, et procédures longues.

Les 7 étapes pour être en règle

La CNIL a publié en juillet 2025 ses recommandations finales sur l'IA et le RGPD (13 fiches pratiques disponibles sur son site). Voici ce qu'elles impliquent concrètement pour un entrepreneur.

Étape 1 : Inventaire des outils d'IA utilisés Liste tous les outils d'IA que toi et tes équipes utilisez. ChatGPT, Claude, Gemini, Notion AI, HubSpot avec IA, Canva AI, Synthesia, etc. Pour chacun, note quelles données y transitent.

Étape 2 : Vérification des conditions du prestataire Pour chaque outil, vérifie : est-ce qu'un Data Processing Agreement (DPA) est disponible ? Tes données servent-elles à entraîner leur modèle ? Où sont stockées les données (EU ou hors-EU) ?

Étape 3 : Mise à jour du registre de traitements Si tu as un registre (obligatoire pour la plupart des entreprises ayant des clients), ajoute une ligne pour chaque traitement impliquant l'IA. Finalité, données concernées, base légale, prestataire, durée de conservation.

Étape 4 : Mise à jour de ta politique de confidentialité Ajoute une section sur l'utilisation d'outils d'IA. Ce n'est pas long : "Nous utilisons [outil X] pour [usage Y]. Vos données peuvent être traitées par [prestataire] conformément à [politique du prestataire]. Vous pouvez exercer vos droits en nous contactant à [email]."

Étape 5 : Vérification de la base légale pour chaque usage IA Identifie quelle base légale couvre chaque traitement IA. Consentement ? Intérêt légitime ? Exécution d'un contrat ? Sans base légale identifiée et documentée, le traitement est illégal.

Étape 6 : DPIA si traitement à risque élevé Une Analyse d'Impact sur la Protection des Données (AIPD / DPIA) est obligatoire si le traitement IA est susceptible d'engendrer un risque élevé pour les droits des personnes : profilage, traitement à grande échelle, données sensibles. Ce document identifie les risques et les mesures prises pour les réduire.

Étape 7 : Sensibilisation des équipes Tes collaborateurs doivent savoir quelles données ils peuvent (et ne peuvent pas) passer dans les outils d'IA. Une note interne simple sur les usages autorisés suffit dans un premier temps.

Ce que la CNIL surveille en 2026

La CNIL a annoncé que 2026 serait une année de contrôle coordonné sur les obligations de transparence liées à l'IA. En clair : les entreprises qui utilisent l'IA pour prendre des décisions ou traiter des données personnelles sans en informer les personnes concernées sont dans le viseur.

La CNIL a également lancé le projet PANAME (Privacy Auditing of AI Models) en partenariat avec l'ANSSI, pour développer des outils open-source permettant d'auditer si des modèles d'IA contiennent des données personnelles. C'est un signe que le contrôle technique se professionnalise.

Ce que ça signifie pour toi : la période de grâce informelle où personne ne vérifiait vraiment comment les entreprises utilisaient l'IA est terminée. 2026, c'est le début des contrôles sérieux.

FAQ

Mon entreprise est petite, est-ce que le RGPD s'applique vraiment ? Oui. Le RGPD s'applique dès que tu traites des données personnelles dans le cadre d'une activité professionnelle, quelle que soit la taille. Certaines obligations (DPO, DPIA) sont allégées pour les PME, mais le principe de conformité s'applique à tous.

ChatGPT utilise-t-il mes données pour s'entraîner ? Par défaut, OpenAI peut utiliser les conversations pour améliorer ses modèles. Tu peux désactiver cette option dans les paramètres de ton compte. Pour les comptes professionnels (ChatGPT Teams ou Enterprise), les données ne sont pas utilisées pour l'entraînement.

Quelle différence entre RGPD et AI Act ? Le RGPD protège les données personnelles. L'AI Act réglemente les systèmes d'IA selon leur niveau de risque. Les deux s'appliquent souvent simultanément quand un système d'IA traite des données personnelles.

Dois-je nommer un DPO (Délégué à la Protection des Données) ? Uniquement si tu traites des données personnelles à grande échelle, des données sensibles (santé, politique, etc.), ou si tu es un organisme public. Pour la plupart des petites entreprises, ce n'est pas obligatoire, mais désigner un référent interne est recommandé.

Où trouver les recommandations officielles de la CNIL sur l'IA ? Sur cnil.fr, section "Intelligence Artificielle". La CNIL a publié 13 fiches pratiques en juillet 2025. C'est la référence française.