RGPD et outils IA : la checklist de conformité 2026

L'adoption des outils IA en entreprise pose des questions concrètes de conformité au RGPD et au nouvel AI Act européen. Cette checklist vous aide à auditer un outil IA avant de le déployer en équipe, en identifiant les points critiques à vérifier.

## Pourquoi ce sujet est devenu central

Le contexte 2026 a changé en quelques années :

- Le RGPD est appliqué de manière de plus en plus rigoureuse par les CNIL européennes
- L'**AI Act européen** apporte une réglementation spécifique aux systèmes d'IA, avec des niveaux de risque et des obligations différenciées
- Plusieurs **transferts de données** vers les États-Unis ont fait l'objet de décisions juridiques (Schrems, Privacy Shield, Data Privacy Framework)
- Les **DSI et DPO** sont sollicités quotidiennement par les métiers qui veulent déployer ChatGPT, Claude, Copilot, etc.

Ignorer ces sujets revient à exposer votre organisation à des risques juridiques, réputationnels et opérationnels.

## La checklist 5 points

Avant de déployer un outil IA, vérifiez systématiquement :

### 1. Hébergement et localisation des données

- Où sont stockées les données traitées par l'outil ?
- L'éditeur propose-t-il une **résidence des données** dans l'UE ?
- Y a-t-il des **transferts** vers les États-Unis ou d'autres pays tiers ?
- Si oui, sont-ils couverts par un mécanisme reconnu (clauses contractuelles types, Data Privacy Framework) ?

### 2. Contrats et DPA

- L'éditeur propose-t-il un **Data Processing Agreement (DPA)** ?
- Les **finalités du traitement** sont-elles clairement définies ?
- Les **sous-traitants** sont-ils listés et identifiés ?
- Le contrat couvre-t-il vos exigences sectorielles (santé, finance, droit) ?

### 3. Entraînement des modèles

- Vos **données sont-elles utilisées** pour entraîner les modèles de l'éditeur ?
- Existe-t-il un **opt-out** clair et activable au niveau organisation ?
- Les **versions Enterprise** apportent-elles des garanties plus fortes que les versions grand public ?
- Comment est gérée la **rétention** des prompts et sorties ?

### 4. Droits des personnes

- Comment exercer les **droits RGPD** (accès, rectification, suppression, portabilité) ?
- L'éditeur supprime-t-il effectivement les données sur demande ?
- Existe-t-il un **point de contact DPO** côté éditeur ?
- Les **délais de réponse** sont-ils compatibles avec vos obligations (un mois pour la majorité des demandes) ?

### 5. Certifications et audits

- L'éditeur dispose-t-il de **SOC 2 Type II**, **ISO 27001**, **HDS** (santé en France) ?
- Un **bug bounty** ou des **audits tiers** sont-ils en place ?
- L'**historique d'incidents** de sécurité est-il transparent ?
- Y a-t-il une **politique de divulgation** claire en cas de breach ?

## Les zones rouges fréquentes

Quelques signaux qui doivent vous faire reculer :

- **Versions grand public** déployées en entreprise sans contrat spécifique
- **Pas de DPA** disponible ou contrat opaque
- Données **utilisées par défaut** pour l'entraînement, sans opt-out clair
- **Pas de point de contact** identifié pour les exercices de droits
- **Aucune certification** ou audits externes vérifiables
- **Politique de confidentialité** floue, vague ou non datée

Si un outil cumule plusieurs de ces signaux, l'usage professionnel n'est pas recommandé tant que le fournisseur n'a pas renforcé son cadre.

## Versions grand public vs Enterprise

C'est probablement le piège le plus fréquent. Les versions grand public (ChatGPT Plus, Claude Pro, abonnements personnels) ne sont **généralement pas conformes** aux exigences professionnelles européennes :

- Conditions générales acceptées par l'utilisateur individuel, pas par l'organisation
- Pas de DPA
- Données potentiellement utilisées pour l'entraînement
- Pas de contrôles admin centralisés

Pour un déploiement en équipe sur des données métier, les versions Business, Team, Enterprise ou API avec contrat sont les seules options crédibles.

## L'AI Act européen en bref

L'AI Act introduit une classification des systèmes d'IA en niveaux de risque :

- **Risque inacceptable** : interdits (scoring social, manipulation, etc.)
- **Risque élevé** : obligations strictes (santé, recrutement, accès au crédit, contrôle aux frontières)
- **Risque limité** : obligations de transparence
- **Risque minimal** : libre

Les **modèles à usage général** (GPAI, dont ChatGPT, Claude) sont soumis à des obligations propres concernant la transparence, le respect du droit d'auteur, et la documentation technique.

Le calendrier d'application est progressif. Les organisations doivent commencer à cartographier leurs usages IA et leur niveau de risque.

## Politique d'usage IA en interne

Au-delà des outils eux-mêmes, votre organisation doit publier une **charte d'usage IA** qui couvre :

- Outils approuvés et non approuvés
- Catégories de données autorisées (publiques, internes, confidentielles, restreintes)
- Cas d'usage typiques et interdits
- Processus de validation pour les nouveaux outils
- Formation des collaborateurs
- Sanctions en cas d'usage non conforme

Sans charte, les collaborateurs improvisent et utilisent ChatGPT depuis leur compte personnel avec des données professionnelles — c'est la cause principale des fuites involontaires.

## Notre lecture pour Trust-Vault

Notre [méthodologie Trust Score](/fr/pages/methodology) intègre directement ces critères dans le pilier **Vie privée** et **Sécurité**. Chaque outil de notre catalogue est évalué selon :

- Conformité RGPD
- Localisation des serveurs
- Politique de traitement des données
- Certifications
- Droits des utilisateurs

C'est la grille de lecture que nous appliquons systématiquement avant de référencer un outil. Les outils qui ne passent pas les critères minimaux ne sont pas mis en avant dans nos classements.

Pour explorer les outils IA évalués selon ces critères et trouver des solutions conformes à votre contexte, consultez notre [catalogue d'outils IA](/fr/) et notre [méthodologie](/fr/pages/methodology).

> Ce contenu est une synthèse pédagogique. Il ne constitue pas un conseil juridique. Pour toute décision de conformité, consultez votre DPO ou un avocat spécialisé en droit du numérique.