Assistant IA et données de l'entreprise : quoi vérifier

Ce site s'adresse aux dirigeants de TPE et PME, aux responsables administratifs et aux délégués à la protection des données qui s'apprêtent à équiper leur équipe d'un assistant IA capable de répondre à partir des documents de l'entreprise : procédures, catalogues, contrats, notices, FAQ. Avant d'ouvrir les dossiers, une question vient toujours : que devient ce que l'on confie à l'outil ?

Vous trouverez ici ce que disent les textes et les autorités françaises et européennes : le RGPD (règlement général sur la protection des données), la CNIL (Commission nationale de l'informatique et des libertés), l'ANSSI (Agence nationale de la sécurité des systèmes d'information), le Code de commerce et le règlement européen sur l'IA. Chaque page cite ses sources. Aucune ne remplace l'avis de votre délégué à la protection des données ou d'un avocat.

Le repère à garder en tête : trois questions

Avant de verser un dossier dans un assistant, posez-vous trois questions, dans cet ordre :

1. Qu'y a-t-il dedans ? Des données personnelles, des données sensibles, des secrets commerciaux, ou rien de tout cela.
2. Qui y aura accès ? Toute l'équipe, un service, ou des visiteurs de votre site.
3. Où cela part-il, et sous quel contrat ? Le lieu de traitement, les sous-traitants, et ce que le fournisseur a le droit de faire de vos données.

Un catalogue public passe ces trois questions en quelques minutes. Un dossier salarié, presque jamais. Entre les deux, la plupart des documents demandent un tri, pas un refus.

Ce réflexe rejoint la position de la CNIL : selon ses questions-réponses du 18/07/2024, l'entreprise qui connecte un système d'IA à une base de connaissances contenant des données personnelles devient responsable de ce traitement.

Par où commencer

• La checklist en 12 points : la vue d'ensemble, avec un tableau qui renvoie chaque point à son texte.
• Les 20 questions à poser au fournisseur : à envoyer avant une démonstration, quel que soit l'outil étudié.

Le contenu et les documents

• Données personnelles dans les documents : repérer, trier en trois piles, pseudonymiser ou exclure.
• Secret des affaires et IA : tarifs, marges, savoir-faire, et les « mesures de protection raisonnables » du Code de commerce.

Le fournisseur et le contrat

• Contrat de sous-traitance : les clauses obligatoires de l'article 28 du RGPD, traduites pour un assistant IA.
• Réutilisation des données par le fournisseur : entraînement des modèles, autorisation écrite, clause à demander.
• Hébergement des données en Europe : où passent vos documents, et ce que prévoit le RGPD hors Union européenne.

La sécurité et la conformité

• Recommandations de l'ANSSI : les dix recommandations du guide de 2024 utiles à un assistant d'équipe.
• Analyse d'impact : la règle des deux critères sur neuf, appliquée à trois cas.
• Règlement européen sur l'IA : l'obligation d'informer, la maîtrise de l'IA et le calendrier à jour après l'omnibus de 2026.

Les usages dans l'équipe

• Shadow IA : quand les salariés utilisent l'IA sans cadre, et comment reprendre la main.
• Assistant grand public et RGPD : ce que disent la CNIL et l'ANSSI quand un document part dans un service ouvert à tous.

Une méthode en quatre temps

1. Inventaire : listez les dossiers que vous voulez rendre interrogeables et classez-les par sensibilité.
2. Questions : envoyez au fournisseur la liste des questions et demandez les réponses par écrit.
3. Décision : avec votre délégué, décidez ce qui entre dans la base, pour qui, et si une analyse d'impact est nécessaire.
4. Règles et formation : informez les utilisateurs qu'ils échangent avec une IA, formez-les, et revoyez les droits d'accès régulièrement, comme le recommande l'ANSSI.

Les pages sont datées du 15/11/2026. Les textes évoluent, en particulier le règlement européen sur l'IA, modifié en juillet 2026 : vérifiez toujours la version en vigueur.