L’IA générative en PME entre parfois par la petite porte : un courrier reformulé, un compte rendu résumé, une réponse client préparée plus vite. Dans les services sensibles, cabinet RH, santé, aide à domicile, conseil, assurance, juridique, cette facilité crée vite un risque : copier trop d’informations, réutiliser des données mal sourcées, oublier qu’un nom, une situation familiale ou un diagnostic sont des données personnelles.
Le 9 juillet 2026, la CNIL a relayé les nouvelles lignes du CEPD sur l’anonymisation et le moissonnage pour l’IA générative. Chez Docentia, nous voyons surtout une question très pratique : comment garder les bénéfices de l’IA sans prendre de mauvaises habitudes dès cet été ?
Garde-fou 1 : cartographier vos usages d’IA générative en PME 🎯
La première protection consiste à savoir précisément où l’IA générative est déjà utilisée dans votre PME. Sans cette cartographie, vous risquez de sécuriser l’outil officiel tout en laissant circuler des usages parallèles : comptes personnels, extensions de navigateur, copier-coller dans un chatbot gratuit, transcription automatique non validée.
Le sujet est concret. Selon le Baromètre France Num 2025, 26 % des TPE PME déclarent utiliser des solutions d’intelligence artificielle, soit deux fois plus qu’un an plus tôt. Les usages les plus répandus sont l’IA générative, à 22 %, puis les chatbots et assistants, à 14 %. Dans les services spécialisés et techniques, le taux d’utilisation de l’IA atteint 41 %.
Imaginez une PME de 30 personnes dans les services RH. Une assistante utilise l’IA pour reformuler des offres d’emploi. Un consultant y colle un extrait d’entretien candidat pour préparer une synthèse. Le dirigeant teste un outil de compte rendu automatique. Chaque usage paraît raisonnable, mais l’ensemble crée une zone floue : quelles données entrent dans l’outil, pour quelle finalité, avec quelle conservation ?
À faire cette semaine
Prenez 45 minutes avec une personne de chaque équipe et remplissez un tableau simple :
- Outil utilisé : ChatGPT, Copilot, Gemini, outil métier, module CRM, application de transcription.
- Usage réel : rédaction, synthèse, traduction, recherche, analyse de documents.
- Données introduites : noms, coordonnées, informations RH, santé, contrats, données clients.
- Niveau de risque : faible, moyen, sensible.
- Décision : autorisé, autorisé sous conditions, interdit.
Ne cherchez pas la perfection au premier passage. Le but est de révéler les usages invisibles, puis de prioriser.
Pour une PME de services sensibles, une règle simple fonctionne bien : tout usage impliquant une personne identifiable doit être revu avant généralisation. Cela concerne un client nommé, un salarié, un candidat, un patient, un bénéficiaire ou un prospect.
Si vous découvrez plus de dix usages différents, commencez par les trois plus fréquents. Par exemple : reformulation de mails clients, comptes rendus de rendez-vous, synthèse de dossiers. Un diagnostic IA ciblé peut ensuite aider à distinguer ce qui relève d’une simple consigne interne et ce qui demande un cadrage RGPD plus formel.
Garde-fou 2 : vérifier vos sources avant tout moissonnage 🔍
Le deuxième garde-fou est de ne jamais considérer une donnée trouvée en ligne comme librement exploitable pour l’IA. Le moissonnage, ou web scraping, consiste à extraire automatiquement des données à grande échelle. Pour une PME, cela peut sembler lointain. Pourtant, certains outils commerciaux intègrent déjà des fonctions de collecte de profils, d’avis clients, d’annuaires ou de publications publiques.
Le 9 juillet 2026, la CNIL a relayé les lignes directrices du CEPD indiquant que le RGPD s’applique au moissonnage lorsqu’il porte sur des données personnelles, notamment lors de la collecte, du stockage, de l’organisation ou de l’extraction. Le CEPD recommande aussi d’extraire les données uniquement à partir de sources fiables, d’horodater la collecte et de valider les données avant usage pour entraîner ou alimenter une IA, selon la publication de la CNIL sur l’IA générative et le moissonnage.
Prenons un cas plausible. Une agence de services aux particuliers veut créer une base locale de prospects à partir de sites publics : noms de responsables associatifs, numéros, adresses e-mail, commentaires sur les réseaux sociaux. L’objectif commercial est clair, mais la collecte automatisée peut contenir des données personnelles, parfois sensibles par contexte : santé, handicap, précarité, situation familiale.
Les questions à poser avant de collecter
Avant tout export massif, même via un outil “prêt à l’emploi”, posez quatre questions :
- La source autorise-t-elle cet usage dans ses conditions ?
- Les personnes pouvaient-elles raisonnablement s’attendre à cette réutilisation ?
- Les données sont-elles nécessaires à votre finalité, ou seulement “intéressantes” ?
- Pouvez-vous prouver la date, la source et le périmètre de collecte ?
Si vous ne pouvez pas répondre, ne lancez pas l’automatisation. Limitez-vous à une recherche ponctuelle, vérifiée manuellement, ou demandez un avis.
La prudence est encore plus forte pour les catégories particulières de données : santé, opinions, religion, orientation sexuelle, données biométriques, appartenance syndicale. Le CEPD rappelle qu’il n’existe pas d’exemption générale pour ces données. Pour une PME, la traduction opérationnelle est simple : ne moissonnez pas ce que vous ne sauriez pas justifier en cas de contrôle.
Un bon réflexe consiste à créer une fiche “source de données” pour chaque base utilisée avec l’IA :
- Origine de la donnée.
- Date de collecte.
- Finalité prévue.
- Données exclues.
- Personne responsable de la validation.
Ce document tient sur une page. Il évite surtout les décisions prises trop vite par opportunité commerciale.
Garde-fou 3 : encadrer les copier-coller dans les outils d’IA ⚙️
Le troisième garde-fou porte sur le geste le plus courant : copier un contenu interne dans un outil d’IA générative. C’est là que les incidents naissent souvent, sans intention de nuire. Un salarié veut gagner du temps. Il colle un contrat, un échange client, un CV, une note médicale ou une réclamation. L’outil répond bien. L’habitude s’installe.
La CNIL rappelle que, comme tout traitement de données personnelles, la collecte et l’utilisation de données via un système d’IA doivent respecter le RGPD et les droits des personnes, dans sa page IA : professionnels, comment se mettre en conformité ?. Pour vos équipes, cela signifie qu’un prompt n’est pas un brouillon sans conséquence. C’est une entrée de données dans un système.
Mini-scénario : une responsable d’agence d’aide à domicile veut améliorer un courrier à une famille. Elle colle dans l’IA le nom du bénéficiaire, son adresse, des détails sur sa perte d’autonomie et un différend avec un intervenant. Le courrier ressort plus clair, mais des données très sensibles ont été transmises à un service dont les paramètres, la conservation et l’usage ne sont pas toujours compris par l’équipe.
La règle des 4 niveaux
Vous pouvez adopter une règle interne en quatre niveaux, affichée près des postes ou intégrée à votre intranet :
- Vert : texte générique, sans personne identifiable, autorisé.
- Jaune : données professionnelles peu sensibles, à anonymiser avant usage.
- Orange : dossier client, RH ou contrat, usage réservé aux outils validés.
- Rouge : santé, situation sociale, litige, données de mineurs, interdit sans validation.
L’anonymisation mérite une attention particulière. Le CEPD précise que des données sont anonymes si elles ne concernent pas une personne identifiée ou identifiable. Il propose trois critères : pas d’individualisation, pas de corrélation, pas d’inférence. En clair, remplacer “Madame Dupont” par “la cliente” ne suffit pas toujours si le contexte permet de retrouver la personne.
Pour rendre ce garde-fou utilisable, donnez des exemples à vos équipes.
À éviter :
“Reformule ce mail pour Madame X, 82 ans, suivie à Pau pour une maladie neurologique, dont la fille conteste notre facture.”
Préférer :
“Reformule ce courrier de réponse à une famille concernant une contestation de facture. Ton professionnel, clair, sans agressivité. Ne crée aucun fait nouveau.”
Vous gardez le bénéfice rédactionnel, sans exposer les données inutiles.
Pour aller plus loin, vos modèles de prompts peuvent être préparés en atelier. Une formation IA adaptée aux métiers de services aide vos équipes à distinguer ce qui peut être partagé, ce qui doit être masqué et ce qui ne doit pas sortir de vos outils internes.
Garde-fou 4 : formaliser des consignes d’équipe courtes et vérifiables 📊
Le quatrième garde-fou est de transformer les règles en consignes simples, connues et contrôlables. Une politique IA de 25 pages sera peu lue dans une PME. Une fiche d’une page, testée sur vos cas réels, aura plus d’effet.
Le but n’est pas de bloquer vos équipes. Il s’agit de leur donner un cadre qui évite les décisions improvisées. Dans les PME de services sensibles, les usages d’IA concernent rarement un seul service. Les RH rédigent des offres. L’accueil prépare des réponses. Les managers synthétisent des incidents. La direction analyse des tableaux. Sans langage commun, chacun applique sa propre prudence.
Exemple plausible : un cabinet de conseil de 18 personnes à Toulouse utilise l’IA pour préparer des comptes rendus client. Après un audit interne, le dirigeant découvre trois pratiques différentes : transcription intégrale de réunions, résumé manuel anonymisé, copie de documents clients dans un outil grand public. La solution n’est pas d’interdire toute IA. Elle consiste à choisir un mode de travail commun.
Une mini check-list à adopter
Voici une version courte que vous pouvez reprendre dès maintenant :
- Je n’entre pas de données sensibles dans un outil non validé.
- Je retire les noms, coordonnées et détails identifiants quand ils ne sont pas nécessaires.
- Je vérifie la source des données avant toute collecte automatisée.
- Je relis toute sortie IA avant usage client, RH ou médical.
- Je signale tout doute à une personne référente.
Ajoutez deux informations pratiques : le nom de la personne référente et la liste des outils autorisés. Sans cela, la consigne reste théorique.
Vous pouvez aussi prévoir un rituel léger : 15 minutes par mois en réunion d’équipe. Chacun partage un usage utile, un doute, une erreur évitée. Cette approche installe une culture de vigilance sans dramatiser.
Le bon niveau de preuve
Pour une PME, documenter ne signifie pas produire un dossier complexe. Gardez simplement une trace :
- Liste des outils IA autorisés.
- Usages permis et interdits.
- Modèles de prompts validés.
- Décisions prises sur les sources de données.
- Date de la dernière sensibilisation équipe.
Cette trace vous aide à piloter. Elle montre aussi que votre entreprise ne laisse pas les usages d’IA se développer sans cadre.
Le point de vigilance le plus utile tient en une phrase : si votre équipe ne sait pas expliquer pourquoi une donnée personnelle est nécessaire dans un prompt ou une collecte, elle ne doit pas l’utiliser à ce stade.
L’IA générative peut rendre de vrais services à une PME, surtout quand les journées sont remplies de courriers, synthèses, recherches et tâches répétitives. Mais dans les activités qui manipulent des données personnelles, la bonne vitesse est celle qui reste maîtrisée.
Commencez par une cartographie courte, bloquez les copier-coller risqués, vérifiez vos sources et diffusez une fiche d’équipe d’une page. Vous aurez déjà réduit une grande partie du risque. Chez Docentia, nous accompagnons les TPE PME à Pau, Tarbes, Toulouse et dans les départements 64/65 pour cadrer leurs usages IA sans jargon. Pour faire le point sur vos pratiques, demandez un diagnostic de 30 minutes.