L’IA générative est-elle compatible avec le RGPD ?

Oui, à condition de savoir quelles données personnelles circulent, où elles sont traitées et pourquoi. Les difficultés viennent surtout des usages improvisés. Un cadre clair, posé dès le départ, règle l’essentiel.

Mis à jour le 24 octobre 2026

Ce qui se passe.

L’IA générative ne crée pas de règles nouvelles en matière de données personnelles : le RGPD s’applique comme à tout traitement. Il faut une finalité claire, une base légale, des données limitées à ce qui est nécessaire, une information des personnes et des garanties quand les données sont traitées hors de l’Union européenne.

Ce qui complique les choses, ce sont les usages improvisés. Un compte rendu de réunion qui cite des collaborateurs, un fichier client résumé par un outil gratuit, une candidature analysée par un assistant : autant de traitements de données personnelles que personne n’a déclarés ni encadrés. La CNIL a publié des recommandations sur l’IA qui aident à poser ce cadre.

Ce que nous observons.

Les données personnelles sont partout.Emails, comptes rendus, contrats et demandes clients en contiennent presque toujours.
Le lieu de traitement est rarement vérifié.Beaucoup d’outils traitent les données hors d’Europe, avec des garanties variables.
Le registre des traitements ignore souvent l’IA.Les usages apparus dans les équipes n’y figurent pas.

Ce que vous pouvez faire dès maintenant.

Associez votre délégué à la protection des données, ou la personne chargée de ces questions, dès le choix d’un outil.
Vérifiez pour chaque outil où les données sont traitées et ce que le fournisseur peut en faire.
Inscrivez vos usages d’IA dans votre registre des traitements, avec leur finalité.