Résumé
- Une IA d'entreprise relève du RGPD dès qu'elle traite une donnée personnelle : un email client, un CV, un dossier, un enregistrement de voix suffisent à déclencher vos obligations.
- Quatre obligations s'activent avec un projet IA : définir une base légale, informer les personnes, tenir le registre des traitements, mener une analyse d'impact (AIPD) si le traitement est à risque.
- Le point dur reste les transferts hors UE : un outil grand public exporte souvent la donnée vers les États-Unis, où le Cloud Act s'applique. L'hébergement en Europe par un acteur non américain referme la porte.
- Au Luxembourg, la CNPD est l'autorité de contrôle. Le RGPD et l'AI Act sont deux cadres distincts : ici, on traite la conformité RGPD de la donnée, pas le règlement IA.
Introduction : votre IA traite des données, le RGPD s'invite
Vous préparez un projet d'IA : un assistant interne, un chatbot, un agent qui trie vos documents. Première question avant de signer : qu'est-ce que cela déclenche au RGPD ?
La réponse tient en une phrase : dès que votre IA touche une donnée personnelle, vous entrez dans le champ du RGPD, avec des obligations précises. Cet article déroule la marche à suivre au Luxembourg, pas un cours de droit mais une feuille de route. Le RGPD encadre la donnée ; c'est un cadre distinct du règlement IA (l'AI Act), que nous traitons à part dans notre comparatif AI Act, Cloud Act, RGPD.
1. Pourquoi une IA d'entreprise relève du RGPD (et quand exactement)
Une IA d'entreprise relève du RGPD dès qu'elle traite une donnée à caractère personnel. Au sens du Règlement UE 2016/679, une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable : un nom, un email, un numéro de dossier, une voix enregistrée, une photo.
Dans la pratique, presque tout projet IA en entreprise touche ce périmètre : un assistant qui résume des emails clients, un chatbot qui collecte les messages de prospects, un agent qui lit des CV traitent tous des données personnelles. La question n'est donc pas si votre IA est concernée, mais comment la mettre en conformité.
Le seuil est bas, et le bon moment pour ces questions est avant le déploiement, pas après un contrôle. Si vos collaborateurs utilisent déjà des outils grand public sans cadrage, voir notre guide sur la protection des données de votre entreprise face à l'IA.
2. Les 4 obligations RGPD déclenchées par un projet IA
Quand votre IA traite des données personnelles, quatre obligations s'activent, récapitulées dans le tableau ci-dessous et détaillées ensuite.
Les 4 obligations RGPD déclenchées par un projet IA d'entreprise, avec leur article de référence.
|
Obligation |
Article RGPD |
Ce que ça implique |
|---|---|---|
|
Définir une base légale |
Article 6 |
Choisir l'une des six bases (consentement, contrat, obligation légale, intérêt vital, mission d'intérêt public, intérêt légitime) avant de brancher l'IA sur la donnée. |
|
Informer les personnes |
Articles 13 et 14 |
Dire qui traite, pourquoi, sur quelle base, vers où vont les données et combien de temps : politique de confidentialité plus mention claire de l'IA. |
|
Tenir le registre des traitements |
Article 30 |
Inscrire le projet IA comme nouveau traitement, avec finalité, catégories de données, destinataires et durées de conservation. |
|
Mener une AIPD si risque élevé |
Article 35 |
Conduire l'analyse d'impact avant production quand le traitement est à risque (données sensibles à grande échelle, profilage, surveillance systématique). |
Obligation 1 : définir une base légale
Avant de brancher une IA sur un flux de données, vous devez savoir laquelle des six bases de l'article 6 du RGPD s'applique : souvent le contrat ou l'intérêt légitime pour un chatbot de support, le consentement pour le marketing. Cette qualification conditionne ce que vous avez le droit de faire avec la donnée.
Obligation 2 : informer les personnes concernées
Les personnes dont les données passent par votre IA doivent être informées (articles 13 et 14 du RGPD) : via votre politique de confidentialité, et par une mention claire quand un visiteur dialogue avec un assistant IA plutôt qu'avec un humain.
Obligation 3 : tenir le registre des traitements
Le registre des activités de traitement (article 30 du RGPD) recense chaque traitement de l'entreprise. Un projet IA en est un nouveau : il doit y figurer, ou justifier la création du registre s'il n'existe pas encore.
Obligation 4 : mener une analyse d'impact (AIPD) si le traitement est à risque
L'AIPD (article 35 du RGPD) est obligatoire quand un traitement risque d'engendrer un risque élevé pour les personnes. La CNPD publie la liste des traitements pour lesquels une AIPD est requise au Luxembourg (liste mise à jour en 2019, complétée par les critères du Comité européen de la protection des données). En cas de doute, l'AIPD est le réflexe prudent.
3. Le vrai point dur : les transferts de données hors UE
Les quatre obligations ci-dessus sont gérables avec de la méthode. Le vrai point dur est ailleurs : où part réellement la donnée ?
Avec un outil IA grand public adossé à un éditeur américain, vos données peuvent être traitées hors de l'Union européenne ou accessibles à un fournisseur de droit américain. Le RGPD encadre strictement ces transferts hors UE (chapitre V, articles 44 et suivants) : ils ne sont licites que sous conditions, par exemple une décision d'adéquation ou des garanties contractuelles appropriées.
Une subtilité que beaucoup de dirigeants découvrent tard : un fournisseur américain peut héberger ses serveurs en Europe et rester soumis au Cloud Act, car ce texte suit la nationalité du fournisseur, pas la localisation du data center. Un serveur à Francfort opéré par une société de droit américain n'est donc pas une garantie absolue. Nous détaillons cette articulation dans notre analyse AI Act, Cloud Act, RGPD : quelle loi s'applique.
La sortie la plus propre sur données sensibles est structurelle : héberger l'IA en Europe, chez un acteur non soumis au droit américain, avec une donnée qui ne quitte pas le périmètre maîtrisé. C'est la logique d'une IA privée pour entreprise au Luxembourg : le transfert hors UE n'a pas lieu.
4. Le rôle de la CNPD au Luxembourg
Au Luxembourg, l'autorité de contrôle du RGPD est la Commission nationale pour la protection des données (CNPD). Elle veille à l'application du règlement, publie des lignes directrices et instruit les plaintes et les contrôles.
Ce qu'elle attend, c'est de pouvoir démontrer sa conformité : base légale documentée, registre tenu, information des personnes en place, AIPD menée quand elle était requise. C'est le principe de responsabilité (accountability) : vous devez non seulement être conforme, mais pouvoir le prouver.
En cas de contrôle, l'entreprise qui a anticipé présente un dossier carré ; celle qui a improvisé cherche après coup une base légale à un traitement déjà en production. Anticiper transforme un contrôle en vérification de routine.
5. RGPD et AI Act : deux cadres, pas le même
Une clarification qui revient souvent : RGPD et AI Act ne sont pas le même texte et ne traitent pas la même chose.
Le RGPD (Règlement UE 2016/679, applicable depuis 2018) encadre la donnée personnelle : collecte, traitement, circulation. C'est le sujet de cet article.
L'AI Act (Règlement UE 2024/1689, pleine applicabilité au 2 août 2026) encadre le système d'IA lui-même, classé selon son niveau de risque. C'est un cadre distinct, avec ses propres obligations.
Les deux se cumulent : une même IA d'entreprise peut relever du RGPD (données personnelles) et de l'AI Act (système d'IA). Notre panorama des cas d'usage d'agents IA en entreprise situe chaque obligation sur des exemples concrets ; cet article-ci reste focalisé sur le RGPD.
6. Comment une IA souveraine simplifie votre conformité RGPD
La conformité RGPD est plus simple quand l'architecture joue en votre faveur dès le départ. Une IA souveraine, hébergée en Europe et opérée par un acteur non soumis au droit américain, déplace plusieurs verrous :
- Transferts hors UE : la donnée reste dans le périmètre européen ; le chapitre V du RGPD cesse d'être un casse-tête.
- Données non partagées : vos contenus n'entraînent pas un modèle tiers, ce qui simplifie la base légale et l'information des personnes.
- Base légale maîtrisée : vous savez qui traite quoi, où, et avec quelles garanties contractuelles.
- Réversibilité : vous gardez la main sur vos données et pouvez les récupérer, exigence de bonne gouvernance.
C'est pourquoi nous recommandons cette approche aux organisations qui manipulent des données sensibles. Voir pourquoi opter pour une IA privée, et la comparaison avec un outil grand public dans notre page alternative à ChatGPT au Luxembourg pour les entreprises.
7. Votre feuille de route conformité en pratique
- Cartographier la donnée : quelles données personnelles votre IA va-t-elle réellement traiter, et d'où viennent-elles ?
- Qualifier la base légale : consentement, contrat, intérêt légitime ? Une finalité, une base.
- Tracer le trajet de la donnée : où est-elle traitée, par qui, sort-elle de l'UE ? C'est là que se joue l'essentiel.
- Inscrire le traitement au registre et mettre à jour l'information des personnes.
- Décider de l'AIPD : traitement à risque ? Si oui, vous la menez avant la mise en production.
- Choisir une architecture qui simplifie le tout : une IA hébergée en Europe referme la question des transferts dès la conception.
Cet enchaînement n'est pas réservé aux grandes structures : une PME luxembourgeoise peut le tenir avec un accompagnement adapté. C'est le terrain sur lequel nous intervenons, avec des agents IA pour entreprises au Luxembourg pensés conformité dès la conception.
Vous voulez savoir ce que le RGPD implique dans votre cas précis ? Discutons de votre cas d'usage lors d'un rendez-vous : on regarde ensemble vos données, votre base légale et l'architecture la plus simple.
Questions fréquentes
ChatGPT est-il conforme RGPD pour mon entreprise ?
Cela dépend de l'usage. Un outil grand public adossé à un éditeur américain pose deux questions : où part la donnée et qui peut y accéder. Sur des données ordinaires avec un cadrage contractuel, un usage encadré peut s'envisager. Sur des données sensibles (juridiques, médicales, financières), une IA hébergée en Europe par un acteur non américain est la voie la plus sûre, car elle referme la question des transferts hors UE.
Faut-il une AIPD pour un chatbot IA ?
Pas systématiquement. L'AIPD (article 35 du RGPD) est obligatoire quand le traitement présente un risque élevé pour les personnes. Un chatbot de FAQ basique sur des données peu sensibles n'en déclenche pas forcément ; un chatbot qui profile, traite des données sensibles ou opère à grande échelle, oui. La CNPD publie la liste des traitements pour lesquels une AIPD est requise au Luxembourg : c'est le premier réflexe pour trancher.
Qui est responsable de traitement, moi ou l'éditeur de l'IA ?
En général, c'est vous : l'entreprise qui décide des finalités et des moyens du traitement en est responsable. L'éditeur de l'outil IA est le plus souvent sous-traitant au sens du RGPD (article 28), ce qui impose un contrat de sous-traitance encadrant ses obligations. La responsabilité de la conformité ne se délègue pas entièrement à l'outil.
L'hébergement en Europe suffit-il à être conforme au RGPD ?
Important, mais pas suffisant à lui seul. D'abord parce qu'un fournisseur de droit américain reste soumis au Cloud Act même avec des serveurs européens. Ensuite parce que la conformité RGPD couvre bien plus que la localisation : base légale, information des personnes, registre, durées de conservation, droits des personnes. L'hébergement européen par un acteur non américain règle le point dur des transferts, pas l'ensemble.
En résumé
Introduire une IA, c'est ouvrir un nouveau traitement de données personnelles, donc activer le RGPD. Quatre obligations s'enclenchent : base légale, information, registre, AIPD si risque. Le point le plus délicat reste le transfert hors UE, que l'hébergement européen par un acteur non américain referme à la source. Au Luxembourg, la CNPD est l'autorité de référence, et le RGPD reste distinct de l'AI Act. Anticiper avant le déploiement transforme la conformité en avantage. Discutons de votre cas d'usage.
