IA conforme au RGPD : comment choisir un outil sans risque

01

Une IA peut-elle être conforme au RGPD ?

Oui, à condition de traiter l’outil d’IA comme n’importe quel prestataire qui manipule des données personnelles. Votre organisation reste responsable du traitement ; l’éditeur de l’outil agit comme sous-traitant au sens de l’article 28 du RGPD et doit s’engager par contrat à ne traiter les données que sur vos instructions, à les protéger et à vous aider à respecter les droits des personnes.

Une réunion enregistrée contient presque toujours des données personnelles : des voix, des noms, des opinions, parfois des informations sur la santé ou l’appartenance syndicale, qui relèvent des catégories particulières de l’article 9. Il vous faut donc une base légale (article 6), une information claire des participants (articles 13 et 14) et une durée de conservation définie.

02

Où partent les données, et qui peut y accéder ?

La première question à poser à un éditeur d’IA est la liste complète de ses sous-traitants ultérieurs et le pays où chacun traite les données. Un outil hébergé en Europe peut envoyer les requêtes d’IA à un fournisseur de modèles situé ailleurs : c’est alors un transfert hors de l’Union, encadré par le chapitre V du RGPD.

Vers les États-Unis, ces transferts reposent aujourd’hui le plus souvent sur le Data Privacy Framework. Le Tribunal de l’Union européenne a rejeté le recours en annulation de Philippe Latombe le 3 septembre 2025 (affaire T-553/23) ; un pourvoi a été formé devant la Cour de justice (affaire C-703/25 P). Vérifiez son état avant de fonder une décision durable sur ce cadre.

Le lieu d’hébergement ne dit pas tout. Une entreprise soumise au droit américain peut être tenue de communiquer des données qu’elle contrôle, même stockées en Europe, en vertu du CLOUD Act. C’est la raison pour laquelle de nombreux acheteurs publics et réglementés regardent aussi la nationalité des prestataires, et pas seulement l’adresse du centre de données.

03

Faut-il une analyse d’impact (AIPD) ?

Souvent, oui. L’article 35 du RGPD impose une analyse d’impact lorsque le traitement est susceptible d’engendrer un risque élevé pour les personnes, et la CNIL publie la liste des types de traitements pour lesquels elle est obligatoire. Enregistrer systématiquement les réunions de salariés, des entretiens RH ou des échanges avec des usagers vulnérables, ou recourir à une technologie nouvelle comme l’IA, sont des critères qui pèsent dans ce sens.

Une AIPD sérieuse documente la finalité (par exemple « produire le compte rendu des comités de direction »), les données collectées, les destinataires, la conservation, les mesures de sécurité et la façon dont les participants sont informés. Un éditeur sérieux fournit les éléments techniques nécessaires : sous-traitants, chiffrement, localisation, certification.

04

IA souveraine, SecNumCloud, HDS, ISO 27001 : que garantit chaque label ?

« IA souveraine » n’est pas un label juridique. Le terme désigne en général une IA développée, hébergée et opérée sous juridiction européenne, à l’abri des lois extraterritoriales. Demandez toujours ce qu’il recouvre concrètement : qui héberge, qui exécute les modèles, quelles entités ont accès aux données.

Les certifications, elles, ont un périmètre précis. Aucune ne remplace les autres, et un outil de réunion n’a pas besoin des trois : tout dépend de vos données et de votre secteur.

• ISO/IEC 27001 : norme internationale de management de la sécurité de l’information, auditée par un organisme certificateur. Klang est certifié ISO 27001.
• SecNumCloud : qualification délivrée par l’ANSSI à des offres cloud, avec des exigences de sécurité et de protection contre les lois extra-européennes. Klang n’est pas qualifié SecNumCloud.
• HDS (hébergeur de données de santé) : certification obligatoire en France pour héberger des données de santé à caractère personnel pour le compte d’un tiers. Klang n’est pas certifié HDS : n’y versez pas de données de santé de patients.
• Pour les exigences les plus strictes, Klang propose, avec l’offre Enterprise, Klang Vault (environnement mono-tenant, clés de chiffrement gérées par vous, choix du lieu de stockage) et un déploiement sur site.

05

Ce que l’AI Act change pour l’organisation qui utilise l’outil

Le règlement européen sur l’IA (UE) 2024/1689 s’ajoute au RGPD sans le remplacer. Depuis le 2 février 2025, l’article 4 demande aux organisations qui utilisent un système d’IA de prendre des mesures pour développer la maîtrise de l’IA de leurs équipes ; le règlement (UE) 2026/1744 a assoupli cette obligation sans la supprimer. Former les équipes reste donc la bonne pratique.

Les obligations de transparence de l’article 50 s’appliquent depuis le 2 août 2026 (le marquage des contenus de l’article 50(2) est reporté au 2 décembre 2026 pour les systèmes déjà mis sur le marché). Un outil qui transcrit et résume des réunions n’est pas, en soi, un système à haut risque ; il peut le devenir selon l’usage, par exemple s’il sert à évaluer des salariés ou des candidats, domaine visé par l’annexe III. Le résumé doit rester une aide à la rédaction, relue par un humain.

06

Rédiger une charte IA d’entreprise en une page

Une charte IA courte et appliquée vaut mieux qu’un document de quarante pages que personne ne lit. Elle dit quels outils sont autorisés, pour quelles données et avec quelles règles. Pour les réunions, cinq règles suffisent souvent :

• Seuls les outils validés par la DSI et le DPO sont utilisés ; les assistants grand public ne reçoivent ni données clients ni données RH.
• Les participants sont informés de l’enregistrement au début de la réunion, et la personne qui refuse est respectée.
• Aucune donnée de santé ni donnée sensible n’est enregistrée sans cadre juridique adapté.
• Le compte rendu produit par l’IA est relu et validé par une personne nommée avant diffusion.
• Les enregistrements sont supprimés à l’issue de la durée de conservation définie pour chaque type de réunion.