RGPD et agent IA : ce qu'il faut vérifier avant de connecter vos données clients

L’essentiel

• Connecter un agent IA à des données clients (CRM, emails, documents) ne change pas qui est responsable de traitement au sens RGPD : c’est vous, même quand le traitement technique est confié à un prestataire.
• La CNIL publie depuis janvier 2024 une série de recommandations dédiées à l’IA (“fiches pratiques IA”), complétée par un guide spécifique aux TPE/PME coécrit avec la CPME et France Num.
• Le contrat avec le prestataire IA doit qualifier clairement son rôle (sous-traitant ou responsable conjoint) et limiter l’usage des données à des instructions documentées — pas de réutilisation pour entraîner un modèle sans clause explicite.
• Une analyse d’impact (AIPD) n’est pas systématique, mais devient obligatoire dès qu’un risque élevé existe et reste recommandée par la CNIL pour la plupart des projets d’IA.
• 26 % des TPE-PME françaises utilisaient l’IA en 2025, contre 13 % en 2024 (France Num) — l’adoption accélère plus vite, dans beaucoup de structures, que la mise en conformité qui devrait l’accompagner.

Pourquoi cette question devient urgente maintenant

L’usage de l’IA dans les petites structures françaises a doublé en un an : le baromètre France Num 2025, mené auprès de plus de 11 000 entreprises, mesure une progression de 13 % à 26 % des TPE-PME utilisant l’IA entre 2024 et 2025. Cette accélération concerne autant les très petites structures que les PME plus installées, et elle dépasse largement les seuls chatbots grand public : de plus en plus d’agents IA sont désormais connectés directement aux outils internes — CRM, boîte email, documents partagés — pour répondre, classer ou synthétiser à partir de données réelles de l’entreprise.

C’est précisément ce branchement qui change la donne du point de vue RGPD. Un chatbot générique auquel on pose une question ponctuelle traite peu de données personnelles. Un agent connecté en continu à un CRM ou à une boîte email professionnelle, lui, a potentiellement accès à l’ensemble des données de contact, d’échange et parfois de facturation de vos clients — ce qui en fait un traitement de données personnelles à part entière, avec toutes les obligations que cela implique.

Qui est responsable de quoi : la qualification des acteurs

La CNIL distingue trois rôles pour tout système d’IA impliquant des données personnelles, précisés dans sa fiche « Déterminer la qualification juridique des acteurs » publiée en avril 2024 : le fournisseur qui développe ou met sur le marché le système d’IA, le déployeur (ou utilisateur) qui l’exploite dans son activité, et les personnes concernées dont les données sont traitées. Une PME qui connecte un agent IA à son CRM est presque toujours déployeur — et reste, au sens RGPD, responsable de traitement pour les données de ses propres clients, même quand l’infrastructure technique appartient à un tiers.

Ce point est souvent mal compris : faire appel à un prestataire IA ne transfère pas la responsabilité, elle se partage selon un cadre contractuel précis. Le prestataire devient généralement sous-traitant — il traite les données pour le compte de l’entreprise, dans les limites fixées par contrat — mais l’entreprise reste celle qui décide des finalités et répond de la conformité globale du traitement devant la CNIL.

La base légale et le principe de minimisation

Avant de connecter un agent IA à des données réelles, il faut pouvoir répondre à une question simple : sur quelle base légale ce traitement repose-t-il ? Dans sa recommandation du 22 juillet 2025 sur le développement des systèmes d’IA, la CNIL rappelle que l’intérêt légitime est l’une des bases les plus fréquemment mobilisées pour ce type de projet, à condition qu’il soit mis en balance avec les droits des personnes concernées — ce n’est pas une case à cocher automatique.

La même recommandation insiste sur le principe de minimisation : les données transmises à l’agent doivent rester « adéquates, pertinentes et limitées à ce qui est nécessaire » à la tâche qu’on lui confie. Concrètement, cela veut dire ne pas connecter un agent à l’intégralité d’un CRM ou d’une boîte email « au cas où », mais définir précisément quels champs et quels documents lui sont réellement utiles pour la tâche prévue.

Le contrat avec le prestataire : la clause qui change tout

Quand le prestataire IA agit comme sous-traitant, le RGPD impose un contrat qui encadre précisément ce qu’il a le droit de faire des données — et surtout ce qu’il n’a pas le droit de faire. Le point le plus souvent négligé par une petite structure pressée de déployer un outil : sans clause contractuelle qui l’interdit explicitement, rien n’empêche par défaut un prestataire de réutiliser les échanges pour améliorer ou entraîner son propre modèle. Vérifier cette clause avant la signature, pas après le premier incident, fait partie des vérifications de base recommandées par la CNIL pour tout projet d’IA impliquant des données de tiers.

Un second point à vérifier : le lieu d’hébergement des données. Si le prestataire héberge l’agent en dehors de l’Union européenne, le transfert doit s’appuyer sur un mécanisme reconnu par le RGPD (clauses contractuelles types ou décision d’adéquation) — un sujet à traiter en amont plutôt qu’à découvrir après la mise en production.

Quand l’analyse d’impact (AIPD) devient obligatoire

L’analyse d’impact relative à la protection des données (AIPD, ou DPIA en anglais) n’est pas exigée pour chaque projet d’IA, mais devient obligatoire dès que le traitement remplit au moins deux des neuf critères du Comité européen de la protection des données (profilage à grande échelle, décision automatisée avec effet juridique, données sensibles, surveillance systématique, entre autres). Pour un agent IA connecté à un CRM sans décision automatisée ni profilage poussé, l’AIPD n’est pas toujours requise formellement — mais la CNIL la recommande fortement dans sa fiche sur le développement des systèmes d’IA, même hors des cas strictement obligatoires, comme méthode pour formaliser les risques et les mesures prises pour les réduire.

Pour les structures qui n’ont ni DPO ni juriste dédié, la CNIL et la CPME ont coécrit un guide spécifique — « Utiliser l’IA générative dans les TPE et PME » — qui reprend ces questions en langage accessible, avec des recommandations concrètes sur la gouvernance du projet et l’évaluation des risques avant déploiement.

Un choix d’architecture qui limite l’exposition des données

Chez MagicMate, l’intranet développé pour un club sportif de plus de 500 licenciés illustre un choix d’architecture qui réduit ce risque plutôt que de le déplacer chez un tiers : la base de connaissances qui alimente l’assistant conversationnel est indexée dans une base vectorielle hébergée sur une infrastructure maîtrisée, plutôt qu’envoyée à un service tiers qui l’utiliserait pour son propre compte. Les données restent sous le contrôle du club, ce qui simplifie directement la question de la qualification des acteurs : pas de sous-traitant supplémentaire à auditer pour cette brique, pas de transfert de données à documenter en dehors de l’infrastructure choisie dès le départ.

Ce n’est pas une solution universelle — pour beaucoup de PME, passer par un prestataire IA reste le choix le plus rapide et le plus adapté — mais cela montre qu’une partie des questions RGPD se règle en amont, au moment du choix d’architecture, plutôt qu’après coup par des clauses contractuelles correctives.

Par où commencer : cartographier avant de connecter

Avant toute connexion technique, la première étape utile est de cartographier précisément ce que l’agent va voir : quelles données, sur quelles personnes, pendant combien de temps conservées, et chez quel prestataire hébergées. Cette cartographie détermine ensuite tout le reste — la base légale à retenir, le besoin ou non d’une AIPD, et les clauses à vérifier avant de signer avec un prestataire. Sauter cette étape pour aller plus vite au déploiement est la manière la plus courante de découvrir un problème de conformité après coup, au moment où il devient le plus coûteux à corriger.