RGPD et IA : ce que vous devez respecter au travail

Vous copiez un e-mail client dans un outil d'IA pour le reformuler, vous collez un tableau de chiffres pour qu'il vous fasse une synthèse, vous demandez un compte rendu à partir de notes de réunion. Ces gestes sont devenus courants, et ils sont utiles. Mais dès qu'il y a un nom, une adresse, un numéro de dossier ou une donnée de santé, vous entrez dans le champ du RGPD. Bonne nouvelle : respecter la réglementation ne demande pas d'être juriste. Il suffit de comprendre quelques principes et d'adopter des réflexes simples, que vous pouvez appliquer dès demain à votre poste.

Pourquoi le RGPD vous concerne quand vous utilisez l'IA

Le RGPD, c'est le Règlement général sur la protection des données, en vigueur dans toute l'Union européenne. Il encadre la façon dont on collecte, stocke et traite les données personnelles, c'est-à-dire toute information qui permet d'identifier une personne : nom, e-mail, téléphone, mais aussi un matricule, une plaque d'immatriculation ou une adresse IP.

Quand vous saisissez ce type d'information dans un outil d'IA, vous réalisez un traitement de données. Et selon l'outil, ces données peuvent quitter votre organisation, être stockées sur des serveurs à l'étranger, voire servir à entraîner le modèle. Le problème n'est pas l'IA en elle-même : c'est ce que vous lui donnez à lire et ce qu'elle en fait ensuite.

Trois notions valent la peine d'être retenues :

• La minimisation : vous ne fournissez que les données strictement nécessaires à votre besoin.
• La finalité : vous utilisez la donnée pour la raison prévue, pas pour autre chose.
• La responsabilité : même en utilisant un outil externe, vous et votre employeur restez responsables des données traitées.

Les réflexes de confidentialité au quotidien

La plupart des incidents ne viennent pas d'une cyberattaque, mais d'un geste banal fait sans y penser. Voici les habitudes qui protègent à la fois les personnes concernées et votre organisation.

Anonymiser avant de copier-coller

Avant d'envoyer un texte à un outil d'IA, retirez ou remplacez ce qui identifie quelqu'un. « M. Dupont, dossier 4521 » devient « le client ». Un tableau de paie peut être traité sans les noms. Vous gardez tout le bénéfice de l'outil sans exposer personne.

Vérifier où vont les données

Tous les outils ne se valent pas. Certains proposent une version professionnelle qui n'utilise pas vos saisies pour l'entraînement et héberge les données en Europe. Renseignez-vous : votre organisation a peut-être déjà validé un outil précis. Dans le doute, demandez à votre référent informatique ou au délégué à la protection des données (DPO), s'il en existe un.

Ne jamais traiter certaines données sans validation

Les données sensibles appellent une vigilance renforcée : santé, opinions politiques ou religieuses, orientation sexuelle, origine, données bancaires, informations sur des mineurs. Ces catégories ne devraient jamais être saisies dans un outil grand public sans accord explicite de votre hiérarchie et un cadre défini.

Vérifier les sorties : l'IA se trompe, vous restez responsable

Un outil d'IA peut produire un texte fluide et pourtant faux. On parle d'« hallucination » : le modèle invente une référence, un chiffre, une citation ou une règle qui n'existe pas. Si vous reprenez cette information dans un courrier, un devis ou une décision, l'erreur devient la vôtre.

Adoptez trois automatismes :

• Relire et recouper toute donnée factuelle (montant, date, nom, article de loi) auprès d'une source fiable.
• Garder l'humain aux commandes pour toute décision qui affecte une personne : un recrutement, une notation, un refus. Le RGPD interdit qu'une décision purement automatisée ayant un effet significatif soit prise sans intervention humaine.
• Ne pas déléguer votre jugement : l'IA propose, vous décidez. Une synthèse reste un brouillon à valider, pas une vérité.

Cette posture n'est pas seulement une question de conformité. C'est aussi ce qui vous rend légitime : savoir utiliser l'IA et en garder le contrôle est précisément la compétence recherchée aujourd'hui dans la plupart des métiers.

Le cadre européen : RGPD et IA Act, deux textes complémentaires

Depuis 2024, l'Union européenne s'est dotée d'un texte dédié à l'intelligence artificielle, le règlement sur l'IA (souvent appelé « IA Act »). Il ne remplace pas le RGPD : il s'y ajoute. Là où le RGPD protège les données personnelles, l'IA Act encadre les usages de l'IA selon leur niveau de risque.

Ce que vous devez surtout retenir en tant qu'apprenant ou salarié :

• Certains usages sont interdits (par exemple la notation sociale généralisée des personnes).
• D'autres sont considérés comme à haut risque et très encadrés : tri de CV automatisé, évaluation de crédit, certains usages en ressources humaines.
• La plupart des usages courants de bureautique restent à faible risque, avec surtout une exigence de transparence : indiquer, quand c'est pertinent, qu'un contenu a été généré ou assisté par une IA.

Le règlement s'applique progressivement d'ici 2026 et 2027. Vous n'avez pas à en connaître tous les articles, mais savoir qu'il existe vous aide à poser les bonnes questions et à situer votre pratique. Des organismes publics comme la CNIL et France Compétences publient régulièrement des repères actualisés que vous pouvez consulter librement.

Construire une pratique responsable, pas une pratique bloquée

L'objectif n'est pas de renoncer à l'IA par peur du risque. Une organisation qui interdit tout se prive d'un outil précieux ; une organisation qui laisse tout faire s'expose. Le bon équilibre passe par quelques repères partagés :

• Une liste d'outils validés que chacun peut utiliser sereinement.
• Une règle simple d'anonymisation connue de tous.
• Un réflexe de vérification systématique des sorties.
• Un point de contact en cas de doute.

Ces repères s'acquièrent par la pratique, en travaillant sur des cas concrets tirés de votre propre activité. C'est bien plus parlant qu'une longue liste d'interdictions théoriques : vous apprenez à protéger les données là où vous les manipulez réellement.

Et concrètement ?

Le RGPD et l'IA Act ne sont pas des obstacles à l'usage de l'IA : ce sont des garde-fous qui rendent votre pratique fiable et durable. En retenant quelques principes — minimiser les données, anonymiser, choisir un outil adapté, vérifier chaque sortie, garder l'humain dans la boucle — vous transformez une source d'inquiétude en véritable compétence professionnelle.

C'est exactement ce que vous travaillez au sein du centre. Au CNFA, la trajectoire de formation « Trajectoire IA » se déroule sur 8 semaines, à distance et à votre rythme, avec un projet appliqué à votre propre métier : vous mettez ces réflexes en pratique sur vos vrais outils et vos vrais documents, accompagné chaque semaine par un conseiller pédagogique. Le parcours est 100 % no-code et prépare à une certification reconnue par l'État par France Compétences ; le financement par le CPF sera possible prochainement, sous réserve d'éligibilité.

Pour faire le point sur votre trajectoire et voir comment intégrer un usage responsable de l'IA à votre poste, découvrez le programme et les certifications accessibles. Utiliser l'IA au travail en respectant les données de chacun, cela s'apprend — et cela vous rend précieux.