Quand le RGPD s'applique-t-il ?
Dès que vous traitez des données de personnes identifiables : clients, prospects, salariés, fournisseurs. Envoyer un document contenant des noms, des adresses ou des historiques à un outil d'IA est un traitement de données, au même titre que le ranger dans un classeur.
Les cinq points à vérifier avant de choisir un outil
- Où les données sont-elles hébergées ? Dans l'Union européenne ou en dehors.
- Qui y a accès ? Votre prestataire, ses propres sous-traitants, l'éditeur de l'outil d'IA.
- Les données servent-elles à entraîner les modèles de l'éditeur ? Cela doit pouvoir être exclu, de préférence par contrat.
- Combien de temps sont-elles conservées, et comment les faire supprimer ?
- Les personnes concernées sont-elles informées, et le traitement figure-t-il dans votre registre ?
Les données sensibles demandent plus de précautions
Santé, opinions, appartenance syndicale ou données sur des mineurs relèvent de règles plus strictes. Pour les données de santé, l'hébergement doit notamment être agréé. Dans ces cas, nous commençons par identifier les tâches qui n'ont pas besoin de ces données : ce sont celles que nous automatisons en premier.
Le bon réflexe : n'envoyer que le nécessaire
Pour la plupart des usages, l'outil n'a pas besoin de tout voir. Retirer les noms, ne transmettre que les champs utiles ou travailler sur des extraits suffit souvent, et réduit d'autant le risque.
Ce que nous faisons de notre côté
Nous précisons par écrit, avant de commencer, où vos données sont traitées et hébergées, qui y a accès et ce qui est envoyé à quel outil. Nous ne les utilisons que pour votre projet, et vous pouvez en demander la suppression à tout moment.
Pour aller plus loin, le site de la CNIL propose des fiches pratiques à destination des professionnels. En cas de doute sur un point précis, consultez un juriste ou votre délégué à la protection des données.