IA et RGPD : 3 obligations que vous ignorez sûrement

Vous avez ajouté un chatbot IA à votre produit. Félicitations. Vous avez aussi ajouté 3 obligations RGPD que vous ne connaissez probablement pas.

Le mois dernier, j'ai audité une app de santé connectée. Le fondateur avait intégré un chatbot GPT-4 pour aider les utilisateurs à décrire leurs symptômes. Les messages partaient chez OpenAI — données de santé incluses. Aucune mention dans la politique de confidentialité. Pas de consentement spécifique. Pas d'analyse d'impact.

Sa réaction quand je lui ai posé la question : « Mais OpenAI est conforme RGPD, non ? »

Non. Enfin si, eux le sont peut-être. Mais votre conformité RGPD, c'est votre responsabilité. Pas celle de votre fournisseur.

L'IA ne crée pas de nouvelles lois — elle active des articles que vous ignoriez

Premier malentendu à lever. Le RGPD n'a pas été réécrit pour l'IA. Les 99 articles sont les mêmes qu'en 2018. Ce qui change, c'est que l'intégration d'une brique IA dans votre produit déclenche des articles qui, jusqu'ici, ne s'appliquaient probablement pas à votre cas.

Trois en particulier :

L'article 22 — profilage et décision automatisée. Avant l'IA, votre app affichait les mêmes contenus à tout le monde. Maintenant, si elle personnalise, recommande ou attribue des scores, vous tombez sous cet article.

Les articles 13 et 14 — transparence. Vos utilisateurs doivent savoir que leurs données sont traitées par un système automatisé. Une ligne cachée en page 38 de vos CGU ne suffit pas.

L'article 35 — analyse d'impact (DPIA). Obligatoire dès que le traitement présente un risque élevé pour les personnes. L'IA coche presque systématiquement cette case.

Sans IA, ces articles existaient mais ne vous concernaient pas. En ajoutant un chatbot, du scoring ou des recommandations, vous les avez activés sans le savoir.

Pour un tour d'horizon complet de vos obligations RGPD en tant que startup, j'ai écrit un guide séparé.

Transparence : dites à vos utilisateurs qu'une IA traite leurs données

C'est l'obligation la plus simple à comprendre. Et la plus systématiquement ignorée.

Si votre app utilise l'IA pour traiter des données personnelles — même indirectement — vous devez l'indiquer. Clairement. Dans votre politique de confidentialité et dans les informations accessibles au moment où l'utilisateur fournit ses données.

Ce que vous devez préciser :

• Qu'un traitement automatisé existe, et dans quel but (« nous utilisons l'IA pour recommander des produits en fonction de votre historique d'achat »)
• Quel sous-traitant IA vous utilisez et où les données sont traitées
• La logique du traitement, en termes compréhensibles — pas le code source, le principe
• Le droit de s'y opposer

Il y a deux semaines, un fondateur de SaaS B2B m'a montré sa politique de confidentialité. Douze pages. Pas un mot sur le fait que chaque ticket support passait par un système de triage IA. L'outil analysait le contenu des messages — parfois des données clients sensibles — et les routait automatiquement vers le bon service.

« Mais c'est juste du routage, ce n'est pas vraiment de l'IA. »

Si un algorithme analyse le contenu d'un message pour prendre une décision — même banale comme « ticket urgent vs ticket normal » — c'est du traitement automatisé au sens du RGPD. Et ça doit figurer dans vos documents RGPD obligatoires.

Profilage : l'article 22 qui coûte des contrats

Personne ne lit l'article 22 du RGPD. Jusqu'au jour où il fait perdre un deal.

Il dit en substance : une personne a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, si cette décision produit des effets juridiques ou l'affecte de manière significative.

En langage business : si votre IA prend une décision qui impacte quelqu'un, cette personne peut exiger qu'un humain revoie la décision.

Un cas qui m'a marqué. Un SaaS B2B utilisait un scoring IA pour prioriser ses leads commerciaux. L'algo analysait le comportement des prospects sur la plateforme — pages visitées, temps passé, fonctionnalités testées — et attribuait un score de 0 à 100. Les commerciaux ne rappelaient que les leads au-dessus de 60.

Tout fonctionnait jusqu'à ce qu'un prospect enterprise demande un audit de conformité RGPD avant de signer. En fouillant, ils ont découvert le scoring. Pas mentionné dans la politique de confidentialité. Aucun moyen de s'y opposer. Zéro intervention humaine dans le processus.

Contrat perdu. 35 000 euros par an qui s'envolent. Non pas à cause d'un problème de produit, mais d'un article du RGPD que le fondateur n'avait jamais lu.

L'article 22 s'applique dès que votre IA :

• Attribue un score à des individus
• Filtre, trie ou catégorise des personnes
• Influence une décision qui affecte un individu (accès à un service, prix personnalisé, modération de contenu)

Il ne s'applique pas si un humain prend la décision finale en tenant compte — mais sans être lié par — la recommandation IA. Nuance importante : la recommandation IA comme aide à la décision, oui. Comme décision automatique, non.

DPIA : l'analyse d'impact que personne ne fait

La DPIA — analyse d'impact relative à la protection des données — est l'obligation fantôme. Tout le monde en a entendu parler. Personne ne la fait.

L'article 35 du RGPD l'impose dès qu'un traitement est susceptible d'engendrer un risque élevé pour les droits des personnes. La CNIL a publié une liste de critères : évaluation ou scoring, traitement à grande échelle, utilisation innovante de technologies. Une IA qui traite des données personnelles coche au minimum deux de ces cases.

Autrement dit : si votre app utilise l'IA sur des données utilisateurs, la DPIA est quasi systématiquement obligatoire. Et la CNIL a annoncé l'IA comme thème prioritaire de contrôle en 2026. Ce n'est plus un risque théorique.

La bonne nouvelle, c'est qu'une DPIA n'est pas le document de 200 pages que vous imaginez. C'est un exercice structuré qui tient en quatre questions :

1. Quoi ? Décrivez le traitement IA, les données utilisées, la finalité
2. Pourquoi ? Justifiez la nécessité et la proportionnalité
3. Quels risques ? Identifiez les impacts possibles sur les personnes concernées
4. Quelles mesures ? Expliquez ce que vous mettez en place pour limiter ces risques

J'ai vu des DPIA efficaces tenir en 4 pages. Le but n'est pas de produire un pavé juridique, c'est de prouver que vous avez réfléchi aux risques avant de déployer.

Sur un audit récent, la DPIA d'une app e-commerce a révélé que les données d'achat alimentaient un modèle de recommandation hébergé chez un prestataire qui ne figurait nulle part dans le registre des traitements. Le fondateur ignorait que son développeur avait branché ce service six mois plus tôt. Sans cet exercice de DPIA, personne ne l'aurait vu.

Le piège du sous-traitant IA

Chaque appel API à un service d'intelligence artificielle est un transfert de données. On l'oublie parce que ça ressemble à un appel technique anodin. Ça ne l'est pas.

Quand un utilisateur pose une question à votre chatbot, sa question — avec son contexte, parfois son identifiant, son historique — part sur les serveurs de votre fournisseur IA. Même si vous n'envoyez « que du texte », ce texte associé à un utilisateur identifié constitue une donnée personnelle au sens du RGPD.

Ce que ça implique concrètement :

Votre fournisseur IA doit figurer dans votre registre des traitements. OpenAI, Anthropic, Mistral, Google — s'ils reçoivent des données de vos utilisateurs, ce sont des sous-traitants.

Vous devez avoir un DPA signé. Un Data Processing Agreement. Les gros fournisseurs le proposent tous, mais il faut l'activer explicitement. Ce n'est jamais automatique.

Vous devez vérifier où les données sont traitées. Hors UE ? Il faut encadrer le transfert avec des clauses contractuelles types ou une décision d'adéquation.

Un fondateur m'a dit récemment : « On utilise un modèle hébergé en Europe, on est tranquille. » Non. Le lieu d'hébergement règle la question du transfert international. Les obligations de transparence, de DPIA, de profilage s'appliquent que le serveur soit à Paris ou à San Francisco. Héberger en Europe, c'est un bon début. Ce n'est pas une solution complète.

J'ai écrit un guide dédié sur les sous-traitants et les DPA — si vous utilisez ne serait-ce qu'une API IA, commencez par là.

AI Act + RGPD : deux réglementations, un cumul de sanctions

L'AI Act européen entre en application complète le 2 août 2026. Et non, il ne remplace pas le RGPD. Il s'y ajoute.

Le RGPD protège les données personnelles. L'AI Act encadre les systèmes d'IA en tant que tels. Si votre app utilise l'IA et traite des données personnelles, les deux textes s'appliquent simultanément. Les sanctions aussi se cumulent : jusqu'à 20 millions d'euros côté RGPD, jusqu'à 35 millions côté AI Act.

Ce que l'AI Act ajoute :

• Transparence renforcée : si un utilisateur interagit avec un chatbot, il doit savoir que c'est une IA — pas un humain. L'AI Act va plus loin que le RGPD sur ce point.
• Classification par risque : selon ce que fait votre IA, vos obligations changent. Un chatbot d'aide au choix = risque limité. Un scoring crédit ou un tri de CV = haut risque, avec des obligations lourdes de documentation et de contrôle humain.
• Documentation technique : pour les systèmes à haut risque, une documentation complète du fonctionnement et des tests est requise.

J'ai détaillé les obligations concrètes de l'AI Act dans un article séparé. Si vous intégrez de l'IA dans votre produit, lisez les deux.

Checklist : votre app utilise l'IA, vérifiez ces 7 points de conformité RGPD

Avant d'ajouter la prochaine fonctionnalité IA à votre produit, passez cette liste en revue.

1. Politique de confidentialité à jour Elle mentionne explicitement le traitement IA, sa finalité et le droit d'opposition ?

2. Registre des traitements complété Votre fournisseur IA figure dans la liste de vos sous-traitants, avec le détail des données transmises ?

3. DPA signé Vous avez activé et signé le Data Processing Agreement avec votre fournisseur IA ? Vérifiez — c'est rarement automatique.

4. Information sur le profilage Si votre IA score, recommande ou catégorise des individus : les utilisateurs le savent ?

5. Droit d'opposition opérationnel Un utilisateur peut demander à ne pas être soumis au traitement IA. Vous avez un process pour traiter cette demande ?

6. DPIA réalisée Vous avez documenté les risques avant de déployer ? Même un document de 4 pages structuré vaut mieux que rien.

7. Données sensibles sous consentement explicite Si l'IA traite des données de santé, des opinions politiques, des données biométriques : vous avez obtenu un consentement spécifique et explicite ?

Moins de 5 sur 7 ? Votre conformité RGPD a un trou. Et c'est exactement le genre de trou qu'un prospect enterprise ou la CNIL repèrera avant vous.

L'IA ne crée pas un nouveau RGPD. Elle active des obligations qui dormaient dans votre cas d'usage : transparence, profilage, analyse d'impact, sous-traitance. Ajoutez l'AI Act par-dessus, et vous obtenez un empilement réglementaire que la plupart des fondateurs découvrent au pire moment — pendant un audit client ou un contrôle CNIL.

Ce n'est pas insurmontable. Mettre à jour votre politique de confidentialité, réaliser une DPIA de quelques pages, signer un DPA avec votre fournisseur IA : ce sont des actions concrètes, faisables en quelques jours. Mais il faut les faire avant que quelqu'un vous les demande.

Si vous voulez savoir où vous en êtes réellement — IA comprise — c'est exactement ce que je fais dans mes audits RGPD.