Votre PME utilise un chatbot, un outil de scoring client ou un logiciel de tri de CV. Dès qu'un système d'intelligence artificielle traite des données personnelles, le Règlement général sur la protection des données s'applique. En 2026, les contrôles se durcissent. Cette checklist en six étapes vous aide à structurer votre mise en conformité.
L'essentiel en 30 secondes
- Le RGPD, Règlement (UE) 2016/679, s'applique dès qu'un système d'IA traite des données personnelles (Art. 2 et Art. 4).
- Les sanctions pour non-conformité peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial (Art. 83, §5).
- Le plan d'action de l'UE pour l'IA prévoit un renforcement de l'accompagnement et des contrôles pour les PME [à vérifier].
- La CNIL recommande une approche par étapes : cartographie, évaluation des risques, mesures techniques et organisationnelles.
- Les PME peuvent s'appuyer sur les 13 fiches pratiques IA de la CNIL et sur des modèles documentaires pour avancer vite.
1. Introduction : contexte et importance de la conformité RGPD pour l'IA
Le RGPD encadre tout traitement de données personnelles depuis 2018. L'IA n'échappe pas à cette règle. Un modèle qui apprend sur des données clients, un algorithme qui note un dossier ou un assistant qui répond à un usager : chacun traite des données personnelles.
Pour une PME, l'enjeu est double. D'abord, la conformité protège vos clients et vos salariés. Ensuite, elle évite des sanctions lourdes. Le RGPD et l'EU AI Act se cumulent : un système d'IA à haut risque doit respecter les deux textes.
Les risques d'infraction sont concrets. Une sanction financière peut fragiliser une petite structure. Le risque réputationnel est parfois pire : la perte de confiance des clients se répare lentement. La CNIL publie régulièrement ses décisions, y compris contre des acteurs de taille modeste.
La préparation pour 2026 n'est pas optionnelle. L'AI Act entre en application par étapes jusqu'en 2027. Les obligations de transparence et de gouvernance des données montent en puissance. Anticiper coûte moins cher que corriger dans l'urgence. Pour le cadre général applicable aux petites structures, consultez notre guide AI Act et PME françaises.
2. Les obligations RGPD spécifiques aux systèmes d'IA
Trois obligations méritent une attention particulière quand l'IA entre en jeu.
La transparence d'abord. Vous devez informer les personnes concernées (Art. 13 et Art. 14 du RGPD). Si une décision repose sur un traitement automatisé, l'Art. 22 impose des garanties supplémentaires : information sur la logique du traitement, droit à une intervention humaine.
La protection des droits ensuite. Les personnes gardent leurs droits d'accès, de rectification, d'effacement et d'opposition (Art. 15 à Art. 21). Un système d'IA doit permettre d'exercer ces droits, même sur des données utilisées pour l'entraînement.
L'évaluation d'impact enfin. L'analyse d'impact relative à la protection des données (AIPD, ou EIPD) est obligatoire pour les traitements à haut risque (Art. 35). Un système d'IA de profilage à grande échelle relève souvent de cette obligation.
| Obligation | Base RGPD | Ce que la PME doit faire |
|---|---|---|
| Information des personnes | Art. 13, Art. 14 | Mentions claires sur l'usage de l'IA |
| Décision automatisée | Art. 22 | Garanties + intervention humaine |
| Droits des personnes | Art. 15 à Art. 21 | Procédure de traitement des demandes |
| Analyse d'impact (AIPD) | Art. 35 | EIPD documentée pour le haut risque |
| Sécurité du traitement | Art. 32 | Mesures techniques adaptées |
3. Étape 1 : Cartographie des systèmes d'IA et des données personnelles
On ne protège pas ce qu'on ne connaît pas. La cartographie est le point de départ.
- Identifiez tous les systèmes d'IA qui utilisent des données personnelles. Incluez les outils SaaS, les extensions et les modèles internes. Un correcteur intelligent ou un CRM enrichi comptent aussi.
- Cataloguez les types de données traitées : identité, contact, données financières, données sensibles (santé, opinions). Les données sensibles relèvent de l'Art. 9 et imposent des garanties renforcées.
- Déterminez les flux de données et les acteurs. Qui est responsable de traitement ? Qui est sous-traitant (Art. 28) ? Où les données transitent-elles, notamment hors UE (Art. 44 et suivants) ?
Ce travail alimente directement votre registre des traitements (Art. 30). Pour lever toute ambiguïté sur les termes employés, appuyez-vous sur notre glossaire.
Structurez votre mise en conformité sans repartir de zéro
regulia propose des modèles de registre, de cartographie et d'analyse d'impact prêts à adapter à votre PME.
Découvrir le pack documentaire complet4. Étape 2 : Évaluation des risques et impact RGPD
La cartographie révèle où se trouvent les risques. L'étape suivante consiste à les mesurer.
Analysez les risques pour les droits et libertés des personnes. Un scoring erroné peut exclure un client à tort. Une fuite de données d'entraînement peut exposer des milliers de profils. Hiérarchisez selon la gravité et la probabilité.
Définissez ensuite les mesures nécessaires. Sécurité, confidentialité, limitation de la conservation : chaque risque appelle une réponse proportionnée. Documentez ces choix.
Vérifiez enfin la conformité aux principes de l'Art. 5 : licéité, minimisation, exactitude, limitation de la conservation. La minimisation des données est souvent le point faible des projets d'IA. Un modèle n'a pas besoin de toutes les données disponibles pour fonctionner.
| Niveau de risque | Exemple de système IA | Réponse attendue |
|---|---|---|
| Faible | Filtre anti-spam interne | Mesures de sécurité standard |
| Modéré | Recommandation produit | Information + registre à jour |
| Élevé | Scoring crédit, tri de CV | EIPD obligatoire (Art. 35) |
| Critique | Profilage à grande échelle | EIPD + consultation CNIL possible (Art. 36) |
5. Étape 3 : Mise en place des mesures techniques et organisationnelles
Le RGPD impose des mesures « appropriées » (Art. 32). L'objectif : garantir un niveau de sécurité adapté au risque.
Côté technique, plusieurs leviers existent :
- Chiffrement des données au repos et en transit.
- Pseudonymisation ou anonymisation des jeux d'entraînement.
- Journalisation des accès et des traitements.
- Cloisonnement des environnements de test et de production.
Côté organisationnel, formalisez vos procédures :
- Gestion des habilitations et des accès selon le principe du besoin d'en connaître.
- Procédure de réponse aux violations de données (notification sous 72 heures, Art. 33).
- Contrats de sous-traitance conformes à l'Art. 28.
La protection des données dès la conception (Art. 25) doit guider chaque nouveau projet d'IA. Intégrer la conformité en amont coûte bien moins cher qu'une reprise après coup.
6. Étape 4 : Formation et sensibilisation du personnel
La technique ne suffit pas. La majorité des incidents vient d'erreurs humaines.
Formez vos équipes aux obligations RGPD et aux spécificités de l'IA. Un développeur doit comprendre la minimisation. Un commercial doit savoir ce qu'il peut dire sur l'usage des données.
Sensibilisez au-delà de la conformité formelle. Les bons réflexes se construisent dans la durée : ne pas verser de données personnelles dans un outil non validé, signaler une anomalie, questionner un traitement douteux.
Définissez des rôles clairs. Qui est DPO ? Qui valide un nouveau traitement ? Qui répond aux demandes d'exercice de droits ? Une matrice de responsabilités évite les zones grises.
| Public | Contenu prioritaire | Fréquence |
|---|---|---|
| Direction | Enjeux, sanctions, gouvernance | Annuelle |
| Équipes IT / data | Sécurité, minimisation, logs | Semestrielle |
| Métiers | Droits des personnes, bons réflexes | Annuelle |
| DPO | Veille réglementaire, EIPD | Continue |
7. Étape 5 : Mise en place d'un processus de surveillance et de contrôle
La conformité n'est pas un état figé. Un modèle évolue, se réentraîne, dérive. La surveillance doit être continue.
Établissez un suivi régulier des systèmes d'IA : performances, biais, incidents. L'AI Act impose d'ailleurs une surveillance post-commercialisation pour les systèmes à haut risque.
Mettez en place des contrôles internes. Revues périodiques des accès, tests de restauration, vérification des durées de conservation. Ces contrôles nourrissent votre documentation.
Planifiez des audits réguliers. Un audit annuel interne, complété si besoin par un regard externe, permet de détecter les écarts avant l'autorité de contrôle. Pour comprendre l'ampleur des risques financiers, consultez notre analyse dédiée aux sanctions et amendes pour les PME.
8. Étape 6 : Documentation et traçabilité
Sans preuve, pas de conformité. Le principe de responsabilité (accountability, Art. 5, §2) impose de démontrer votre démarche.
Documentez chaque étape : registre des traitements (Art. 30), EIPD (Art. 35), mesures de sécurité, contrats de sous-traitance. Une politique de gouvernance des données complète l'ensemble.
Assurez la traçabilité des décisions. Pourquoi ce traitement ? Sur quelle base légale (Art. 6) ? Qui l'a validé et quand ? Ces réponses doivent être écrites, datées et accessibles.
Préparez les documents pour un contrôle. En cas d'inspection de la CNIL, un dossier clair et à jour fait la différence. La désorganisation aggrave souvent l'appréciation de la sanction.
9. Les sanctions et responsabilités
L'Art. 83 du RGPD prévoit deux plafonds de sanctions administratives.
| Type de manquement | Plafond | Base RGPD |
|---|---|---|
| Manquements « procéduraux » (registre, sécurité, sous-traitance) | 10 M€ ou 2 % du CA annuel mondial | Art. 83, §4 |
| Manquements « graves » (principes, droits, transferts) | 20 M€ ou 4 % du CA annuel mondial | Art. 83, §5 |
Le montant retenu est le plus élevé des deux. Pour une PME, même une fraction de ce plafond représente une somme significative.
La responsabilité pèse d'abord sur le responsable de traitement, souvent le dirigeant. Le DPO conseille et alerte, mais n'endosse pas la responsabilité juridique du traitement. Une mauvaise répartition des rôles fragilise la structure.
Des recours existent. Toute décision de la CNIL peut faire l'objet d'un recours devant le Conseil d'État. La coopération et la démonstration de bonne foi peuvent atténuer une sanction. La conformité documentée reste votre meilleure défense.
Sécurisez votre conformité RGPD et IA avant les contrôles 2026
Obtenez des modèles de politiques, procédures et analyses d'impact conçus pour les PME françaises, à adapter à votre contexte.
Accéder au pack conformité regulia10. Ressources et outils pour les PME
Vous n'avez pas à tout construire seul. Plusieurs ressources fiables existent.
Pour la cartographie et l'évaluation des risques, la CNIL met à disposition le logiciel PIA, gratuit, pour mener vos analyses d'impact. Ses gabarits structurent la démarche.
Pour la formation, la CNIL propose des guides, un MOOC « Atelier RGPD » et 13 fiches pratiques sur l'IA. Ces ressources officielles sont régulièrement mises à jour.
Pour un accompagnement, des consultants et prestataires spécialisés existent. Choisissez-les selon votre secteur et vérifiez leurs références.
| Besoin | Ressource | Accès |
|---|---|---|
| Analyse d'impact | Logiciel PIA (CNIL) | Gratuit |
| Formation de base | MOOC Atelier RGPD (CNIL) | Gratuit |
| Fiches IA | 13 fiches pratiques IA (CNIL) | Gratuit |
| Modèles documentaires | Packs regulia | Payant |
Retrouvez l'ensemble des textes et références officielles sur notre page sources.
FAQ
Quelles sont les principales obligations RGPD pour les systèmes d'IA utilisant des données personnelles ?
Les principales obligations sont la transparence (Art. 13 et Art. 14), la protection des droits des personnes concernées — accès, rectification, effacement, opposition (Art. 15 à Art. 21) — et l'analyse d'impact (EIPD) pour les traitements à haut risque (Art. 35). Les PME doivent aussi respecter la minimisation des données (Art. 5) et la sécurité des traitements (Art. 32).
Quelles sont les sanctions pour non-conformité RGPD pour les PME ?
Les sanctions peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé (Art. 83, §5). Un plafond inférieur de 10 millions d'euros ou 2 % s'applique aux manquements procéduraux (Art. 83, §4). Ces montants justifient une mise en conformité rigoureuse.
Comment une PME peut-elle cartographier ses systèmes d'IA et les données personnelles ?
Elle identifie tous les systèmes d'IA utilisant des données personnelles, catalogue les types de données traitées, puis détermine les flux et les acteurs (responsable, sous-traitant). Cette cartographie alimente le registre des traitements (Art. 30). Des outils comme le logiciel PIA de la CNIL facilitent la démarche.
Quelle est l'importance de l'évaluation des risques RGPD pour les systèmes d'IA ?
Elle identifie les failles potentielles et permet de définir des mesures de sécurité proportionnées. Elle vérifie aussi la conformité aux principes de minimisation et de transparence. Pour les traitements à haut risque, cette évaluation devient une obligation formelle sous forme d'EIPD (Art. 35).
Où puis-je trouver des ressources pour aider ma PME à se conformer au RGPD pour l'IA ?
Consultez le site de la CNIL (cnil.fr) pour ses guides, son logiciel PIA et ses fiches pratiques IA. Le glossaire regulia définit les termes techniques. Le service desk de l'AI Act (ai-act-service-desk.ec.europa.eu) propose des ressources dédiées aux PME.
Sources officielles
- CNIL — protection des données
- Règlement (UE) 2016/679 (RGPD) — texte officiel EUR-Lex
- AI Act Service Desk — Commission européenne
- EU AI Act — texte consolidé
Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.