Déployer l’IA générative sans enfreindre le RGPD
Le projet est gelé depuis trois mois. Un assistant qui devait aider le service client à répondre plus vite, prêt techniquement, jamais mis en production. La raison n’est pas technique. En comité, quelqu’un a prononcé quatre lettres, RGPD, puis deux mots, AI Act, et le projet s’est arrêté net, par peur de mal faire.
Je vois cette scène de plus en plus souvent. Une entreprise parfaitement capable de construire l’outil, paralysée à l’idée de le brancher. La peur de la sanction fait plus de dégâts que la sanction elle-même.
Trois textes, une même exigence
Le RGPD. L’AI Act européen. Le cadre NIST AI RMF. Trois documents, trois vocabulaires, trois origines. On les lit comme trois murs à franchir. Ils ne le sont pas.
Lus côte à côte, ils disent à peu près la même chose, et cette chose ressemble furieusement à un guide d’hygiène pour ingénieur. Sais-tu quelle donnée tu manipules ? Sais-tu où elle va ? Y a-t-il un humain responsable au bout de la chaîne ? Pourrais-tu rejouer ce qui s’est passé ? Quatre questions. Un dirigeant qui sait y répondre est déjà conforme sur l’essentiel, bien avant d’avoir ouvert un seul article de loi.
Le reste, la qualification fine du niveau de risque, les registres, les analyses d’impact, compte aussi. Mais c’est de la mise en forme. Le fond tient dans les quatre premières questions.
Les quatre questions qui font le job
Quelle donnée entre dans le modèle ? Classer avant de brancher. Publique, interne, personnelle, confidentielle. Un assistant qui résume des comptes rendus de réunion ne joue pas dans la même cour qu’un outil qui trie des candidatures ou évalue un dossier de crédit. Le RGPD appelle ça la minimisation : on ne donne au modèle que ce dont la tâche a besoin, jamais toute la base clients par confort. La moitié des problèmes de conformité disparaissent à cette étape, parce qu’ils n’auraient jamais dû entrer.
Où va cette donnée ? C’est la frontière d’hébergement, que j’ai détaillée dans Où héberger son IA ?. Une requête envoyée à une API hors-UE, c’est une donnée qui quitte le territoire, et le cadre juridique qui la protège. Pour un compte rendu anodin, aucune importance. Pour un dossier RH ou un secret industriel, c’est précisément ce que le RGPD encadre. La réponse n’est pas « tout en local » par principe. C’est la bonne donnée au bon endroit.
Qui décide au bout de la chaîne ? Le point sur lequel l’AI Act est le plus ferme. Les usages qui touchent des personnes, recrutement, crédit, accès à un service, sont classés à haut risque, et le RGPD interdit déjà qu’une décision lourde soit prise sans intervention humaine réelle. L’IA propose, un humain tranche et en répond. Ce n’est pas une contrainte. C’est la même règle de gouvernance que je déploie partout ailleurs : la machine ne porte pas une responsabilité qu’elle ne peut pas assumer.
Pourrais-tu rejouer ce qui s’est passé ? La traçabilité. Quelle requête, quelle réponse, quelle version du modèle, quelle décision humaine derrière. Le cadre NIST appelle ça mesurer et gérer. Concrètement, c’est un journal. Le jour où un candidat, un client ou la CNIL demande « pourquoi cette réponse », l’entreprise qui peut rejouer la séquence répond en dix minutes. Celle qui ne le peut pas passe trois semaines à reconstituer ce qu’elle aurait dû noter.
Le vrai risque est ailleurs
Pendant que le projet officiel reste gelé par prudence, les équipes, elles, n’ont pas attendu. Quelqu’un colle déjà des extraits de contrats dans un chatbot gratuit pour gagner du temps. Quelqu’un d’autre fait relire un courrier RH par un outil dont personne ne connaît l’hébergeur. C’est l’IA clandestine, et c’est elle, pas le projet cadré, qui crée le vrai risque RGPD.
Le paradoxe est cruel. L’entreprise qui interdit l’IA par peur de la sanction pousse ses équipes vers les usages les moins maîtrisés. Le bannissement ne supprime pas l’usage. Il le rend invisible.
Ce que j’installe en premier
Avant l’analyse d’impact, avant le registre, avant le moindre document de trois cents pages, deux choses simples.
Une page d’usage, lisible, qui dit ce qu’on a le droit de confier à une IA et ce qu’on ne lui confie jamais, c’est la charte d’usage de l’IA. Pas un règlement de dix pages mais une boussole. Et un outil certifié, hébergé au bon endroit, mis à disposition des équipes, pour que l’usage légitime ait un chemin officiel. Une équipe qui dispose d’un bon outil cadré n’a plus aucune raison d’aller en chercher un mauvais en cachette.
La conformité vient ensuite, et elle vient plus facilement, parce qu’on documente un usage réel et encadré plutôt que de courir après un usage qu’on ne connait même pas. Qui se vante en effet d’utiliser une IA pour faire ses compte-rendus, rapports et autres emails ? Personne.
Le projet gelé, on l’a relancé. Pas en lisant les textes réglementaires, mais en répondant aux quatre questions, puis en écrivant la page d’usage. La conformité fine est venue après, comme une mise au propre, pas comme un préalable.
Ce que je fais entrer dans l’entreprise, ce n’est pas la peur du gendarme. C’est la capacité à utiliser l’IA en sachant exactement ce qu’on lui donne, où elle va, et qui en répond.
Les lois inutiles affaiblissent les lois nécessaires. — Montesquieu, De l’esprit des lois, 1748