L’IA générative entre dans les PME par des usages très simples : résumer un mail, reformuler une réponse SAV, trier des CV, préparer un compte rendu. Le problème apparaît quand vos équipes copient des données personnelles dans un outil sans vérifier ce qui est transmis, conservé ou réutilisé. Le sujet RGPD et IA en PME n’est donc pas réservé aux grandes directions juridiques. Chez Docentia, nous voyons surtout un besoin de cadrage pragmatique : savoir quoi autoriser, quoi éviter et quoi documenter. En 5 minutes, vous allez pouvoir lancer un contrôle interne d’une heure, adapté à une TPE ou PME.
Contrôle n°1 : cartographier ce que l’IA reçoit vraiment 🎯
Le premier contrôle consiste à repérer précisément quelles données personnelles vos équipes envoient déjà dans des outils d’IA générative. Sans cette étape, vous risquez de discuter conformité en théorie, alors que le vrai risque se cache dans un copier-coller quotidien.
Selon le Baromètre France Num 2024, 13 % des TPE PME déclarent utiliser des solutions d’intelligence artificielle, dont 10 % de l’IA générative. Le même baromètre indique que 49 % des TPE PME craignent la perte ou le piratage de leurs données. Ce décalage est parlant : l’usage démarre, mais le réflexe de contrôle reste fragile.
Mini-scénario : une PME de 30 personnes dans la maintenance industrielle utilise un chatbot pour reformuler les réponses clients. En une semaine, l’équipe SAV y colle des noms, adresses mail, numéros de contrat, photos de machines et parfois des commentaires sur un litige. Personne n’a voulu mal faire. Pourtant, l’entreprise a transmis plus de données que nécessaire.
Pour faire ce contrôle en 15 minutes, réunissez une personne de chaque fonction concernée : direction, RH, commercial, SAV, administratif. Puis remplissez un tableau simple :
- outil utilisé : ChatGPT, Copilot, Gemini, outil métier, plugin navigateur ;
- usage réel : résumé, rédaction, tri, traduction, analyse de fichier ;
- données envoyées : noms, mails, CV, tickets, devis, contrats, données sensibles ;
- fréquence : ponctuel, hebdomadaire, intégré au processus ;
- personnes concernées : clients, salariés, candidats, fournisseurs.
La règle pratique : si vous ne savez pas ce qui est copié dans l’outil, l’usage doit rester en pause sur les données personnelles. Vous pouvez garder des tests sans données réelles, par exemple avec des textes fictifs ou anonymisés.
Pour sécuriser ce démarrage, un diagnostic IA et données permet de classer vos usages en trois niveaux : autorisé, autorisé sous conditions, à suspendre.
Contrôle n°2 : vérifier l’information des clients, candidats et salariés 🔍
Le deuxième contrôle consiste à vérifier si les personnes concernées savent que leurs données peuvent être traitées avec un outil d’IA. Le RGPD demande de la transparence, y compris quand l’IA sert seulement à assister un salarié.
La CNIL rappelle, dans sa fiche sur l’information des personnes concernées par l’IA, que l’information doit couvrir l’identité du responsable du traitement, la finalité, la base légale, les destinataires, la durée de conservation et les droits des personnes. Pour une PME, cela peut sembler juridique. En pratique, c’est une question simple : une personne raisonnable serait-elle surprise d’apprendre que son mail, son CV ou sa demande SAV passe par une IA ?
Exemple RH : vous recevez 80 candidatures pour un poste de technicien. Votre assistante RH utilise un outil génératif pour résumer les CV et préparer une grille d’entretien. Si les candidats n’ont jamais été informés de cet usage, vous créez un angle mort. Le risque augmente si l’outil influence le classement ou l’exclusion de candidats.
Votre contrôle peut tenir en quatre questions :
- Votre politique de confidentialité mentionne-t-elle l’usage d’outils d’IA pour certains traitements ?
- Les salariés sont-ils informés des usages internes autorisés, par exemple pour les mails ou comptes rendus ?
- Les candidats savent-ils si l’IA intervient dans l’analyse ou la préparation du recrutement ?
- Les clients disposent-ils d’un point de contact pour exercer leurs droits ?
Évitez les formules vagues du type “nous pouvons utiliser des technologies innovantes”. Préférez une mention lisible : “Nous pouvons utiliser un outil d’aide à la rédaction pour préparer une réponse à votre demande. Les données transmises sont limitées au strict nécessaire et la réponse reste validée par un collaborateur.”
Pour vos équipes, formalisez une règle courte : pas de données personnelles dans un outil non validé. Puis ajoutez un canal de validation, même simple, par exemple “demander au responsable administratif avant tout envoi de fichier client ou RH”.
Contrôle n°3 : choisir un cas d’usage acceptable pour le RGPD et IA en PME ⚙️
Le troisième contrôle consiste à distinguer les usages d’IA à faible risque des usages qui touchent à une décision importante pour une personne. C’est souvent ici que les PME gagnent le plus vite en sécurité.
La CNIL met à disposition un espace dédié, IA : comment se mettre en conformité, qui rassemble ses recommandations, fiches pratiques et outils d’auto-évaluation. L’approche utile pour une PME est de partir du cas d’usage, pas de l’outil. Le même chatbot peut être acceptable pour reformuler une note interne anonymisée, mais risqué pour noter des candidats ou traiter une réclamation sensible.
Prenons une PME de services B2B de 18 salariés. Trois idées circulent :
- rédiger des réponses types au SAV ;
- analyser les CV reçus ;
- produire un compte rendu automatique de réunions commerciales.
Le premier usage peut être acceptable si les tickets sont anonymisés et si un salarié valide la réponse. Le deuxième demande plus de prudence, car il touche à l’emploi et peut influencer une décision. Le troisième dépend du contenu : une réunion commerciale peut contenir des noms de clients, des montants, des difficultés financières ou des informations confidentielles.
Pour trancher vite, classez chaque usage dans une matrice simple :
- vert : pas de donnée personnelle réelle, pas de décision sur une personne ;
- orange : données personnelles limitées, validation humaine obligatoire ;
- rouge : RH, santé, données sensibles, litige, décision automatisée ou profilage.
Un bon premier chantier IA en PME n’est pas forcément celui qui paraît le plus spectaculaire. C’est celui qui apporte un gain réel avec peu de données exposées. Par exemple : transformer une procédure interne en FAQ, créer des modèles de réponses sans informations clients, ou aider à synthétiser des documents déjà publics.
Si vous voulez former vos équipes à ce tri, le catalogue des formations IA peut servir de base pour construire des règles communes entre direction, managers et fonctions support.
Contrôle n°4 : limiter les données envoyées et encadrer l’outil choisi 📊
Le quatrième contrôle consiste à réduire les données transmises à l’IA et à vérifier les paramètres de l’outil avant usage. En RGPD, moins vous envoyez de données, plus vous réduisez le risque.
La page d’actualité de la CNIL d’octobre 2026 rappelle que les sujets de violation de données, d’injonctions et de droits des personnes restent très présents dans l’activité du régulateur. Pour une PME, le signal est clair : l’IA doit entrer dans vos processus avec des garde-fous, pas seulement avec de bonnes intentions.
Exemple administratif : votre assistante veut demander à un outil génératif de résumer dix échanges avec un client pour préparer une relance. Elle copie toute la conversation, avec les noms, signatures, coordonnées, historique de paiement et détails de désaccord. L’outil avait seulement besoin du contexte commercial, pas de toutes les données.
Voici une méthode de réduction en 20 minutes :
- remplacez les noms par des rôles : “client A”, “technicien”, “responsable achat” ;
- retirez les mails, téléphones, adresses, numéros de contrat ;
- supprimez les pièces jointes si seules deux lignes sont utiles ;
- interdisez les données sensibles dans les prompts courants ;
- gardez une validation humaine avant tout envoi externe.
Vérifiez ensuite l’outil lui-même. Les points à regarder dans les conditions ou paramètres sont concrets :
- l’historique peut-il être désactivé ?
- les données envoyées servent-elles à entraîner le modèle ?
- les données sont-elles traitées hors Union européenne ?
- existe-t-il une offre professionnelle avec contrat de sous-traitance ?
- pouvez-vous supprimer les conversations ou gérer les accès ?
Votre règle interne doit tenir sur une page. Pas besoin d’un manuel de 40 pages que personne ne lira. Écrivez ce qui est autorisé, ce qui est interdit, qui valide les nouveaux usages et quoi faire en cas d’erreur.
La check-list d’une heure pour cadrer vos usages
Vous pouvez lancer ce contrôle dès cette semaine. Bloquez une heure avec deux ou trois personnes clés, puis suivez ce déroulé :
- 15 minutes : lister les outils IA utilisés et les données envoyées ;
- 15 minutes : repérer les usages RH, SAV, administratif et commercial ;
- 10 minutes : classer chaque usage en vert, orange ou rouge ;
- 10 minutes : vérifier information des personnes et politique de confidentialité ;
- 10 minutes : décider des règles immédiates et du responsable de suivi.
Le bon indicateur n’est pas “avons-nous interdit l’IA ?”. C’est plutôt : “savons-nous quels usages sont permis, avec quelles données, et sous quelle validation ?”
L’IA générative peut vous faire gagner du temps sans exposer inutilement vos clients, candidats ou salariés. Le point de départ reste modeste : cartographier, informer, limiter, encadrer. Une PME qui pose ces quatre contrôles avance déjà plus sereinement que celle qui attend une politique parfaite. Chez Docentia, nous accompagnons les dirigeants et leurs équipes pour transformer ces règles en pratiques de travail, en présentiel autour de Pau, Tarbes, Toulouse ou à distance. Pour faire le point sur vos usages actuels, demandez un diagnostic IA de 30 minutes.