Guide · France · Professionnels
Intégrer l’IA en entreprise : usages, cadrage RGPD et points à vérifier avant un projet
Déployer l’intelligence artificielle dans une entreprise implique d’abord de définir un besoin métier précis avant de choisir une technologie. Ce guide s’appuie sur les fiches et recommandations officielles de la CNIL et de Service-Public Entreprendre pour distinguer l’assistance générative de l’IA agentique, encadrer les données personnelles au regard du RGPD, sécuriser les accès et vérifier les engagements d’un prestataire ou intégrateur.
Partir d’un cas d’usage précis avant de choisir un outil
L’intégration d’outils d’intelligence artificielle dans une organisation gagne à débuter par une analyse rigoureuse des besoins de travail plutôt que par la sélection hâtive d’un logiciel. Les travaux de veille et d’analyse publiés par la CNIL mettent en évidence une diversité importante de technologies aux capacités et aux niveaux d’autonomie très différents. Un projet cohérent commence par l’identification d’un processus métier concret : assistance à la synthèse de documents internes, tri de demandes d’information, aide à la classification de dossiers ou automatisation de tâches répétitives.
Une distinction majeure doit être opérée entre l’intelligence artificielle générative classique et les systèmes agentiques. L’intelligence artificielle générative fonctionne principalement comme une aide passive à la rédaction ou à l’analyse : elle produit du texte ou résume des éléments en réponse directe à une sollicitation humaine. À l’inverse, la note d’analyse consacrée à l’intelligence artificielle agentique décrit des dispositifs capables d’agir sur leur environnement à la place de l’utilisateur, de décomposer un objectif complexe en plusieurs sous-tâches, d’enchaîner des actions de manière autonome et de se connecter à des services informatiques externes.
- Identifier si le besoin relève d’une simple assistance textuelle ou d’une délégation d’actions opérationnelles.
- Recenser les logiciels et bases documentaires internes avec lesquels le système devra interagir.
- Définir dès le cadrage les étapes nécessitant l’examen ou l’arbitrage préalable d’un collaborateur.
Cadrer les données traitées et respecter les principes du RGPD
Dès lors qu’un système d’intelligence artificielle traite des informations relatives à des personnes physiques identifiées ou identifiables, les règles issues du Règlement général sur la protection des données s’appliquent pleinement. La fiche d’information officielle de Service-Public Entreprendre rappelle que cette réglementation concerne toute entreprise réalisant des traitements de données personnelles, quel que soit son effectif ou son secteur d’activité. L’utilisation de données de salariés, de clients, de prospects ou de partenaires dans un outil numérique constitue juridiquement un traitement de données à caractère personnel.
La conformité d’un projet repose sur plusieurs obligations fondamentales. Le traitement doit poursuivre une finalité déterminée, explicite et légitime : les données collectées ne peuvent être détournées pour des usages imprévus. En application du principe de minimisation, seules les informations strictement nécessaires à la finalité définie doivent être intégrées ou transmises aux modèles. La durée de conservation des données doit être fixée dès la conception du dispositif, et les personnes concernées doivent recevoir une information claire et transparente sur l’usage de leurs données et sur leurs droits d’accès, de rectification et d’opposition.
- Tenir à jour le registre des activités de traitement, obligatoire pour les traitements non occasionnels et ceux présentant un risque pour les droits des personnes.
- Proscrire par principe l’intégration de données sensibles touchant par exemple à la santé, aux opinions politiques ou aux convictions religieuses sans fondement juridique spécifique.
- Conduire une analyse d’impact sur la protection des données lorsque le traitement envisagé présente un risque élevé pour les droits et libertés des personnes.
Sources : [3]
Encadrer les systèmes d’IA agentique et l’accès aux outils
L’ouverture d’outils d’intelligence artificielle agentique aux systèmes d’information de l’entreprise introduit de nouvelles exigences de sécurité informatique. Comme le souligne la note exploratoire de la CNIL et du Conseil de l’IA et du Numérique, la capacité de ces systèmes à interagir avec une pluralité d’applications décentralise les flux et étend les risques de cybersécurité à l’ensemble des services connectés. Des mécanismes de mémoire persistante et de conservation prolongée des interactions peuvent également conduire à une accumulation non maîtrisée de données sensibles.
Parmi les vulnérabilités propres aux agents autonomes figure le risque d’injection indirecte de consignes : des données issues d’e-mails ou de documents externes non vérifiés peuvent contenir des instructions malveillantes interprétées par le modèle, provoquant des actions non souhaitées ou l’exfiltration de fichiers confidentiels. Pour prévenir ces dérives, les recommandations publiques préconisent d’isoler strictement les droits d’accès et d’encadrer l’autonomie décisionnelle par des garde-fous techniques proportionnés.
- Appliquer le principe du moindre privilège en limitant les permissions de l’agent aux seules ressources indispensables à sa fonction.
- Journaliser les appels d’outils, requêtes sortantes et actions utiles à la traçabilité, avec une granularité adaptée au risque ; protéger ces journaux contre l’altération et limiter leur accès et leur durée de conservation.
- Définir les opérations nécessitant une validation humaine préalable selon leurs risques et le cadre applicable, notamment les engagements financiers ou les actions ayant des conséquences importantes pour les personnes.
Ce qu’il faut vérifier dans la proposition d’un prestataire
Qualifier le rôle du prestataire pour chaque traitement : il agit comme sous-traitant lorsqu’il traite des données personnelles pour le compte de l’entreprise et sur ses instructions. Dans ce cas, un contrat écrit doit préciser notamment l’objet, la durée, la finalité du traitement et les obligations des parties. L’entreprise doit vérifier les garanties apportées pour protéger les données ; un fournisseur qui définit ses propres finalités peut relever d’un autre rôle.
Vérifier la localisation des infrastructures, les transferts éventuels de données hors de l’Union européenne et les conditions de réversibilité. Encadrer dans le contrat toute réutilisation des données ou documents par le fournisseur, notamment pour entraîner ses propres modèles. Lorsqu’elle porte sur des données personnelles, une telle réutilisation exige une finalité et une base légale valables ainsi que le respect des droits des personnes ; le consentement n’est pas la seule base légale prévue par le RGPD.
- Vérifier la localisation géographique de l’hébergement des modèles et l’absence de transferts de données non encadrés.
- Faire préciser les usages de données autorisés et interdits, les mécanismes permettant de les contrôler et les éventuelles options excluant leur utilisation pour entraîner les modèles du fournisseur.
- Prévoir les modalités de restitution complète et de suppression sécurisée des données, des contextes et des historiques en fin de prestation.
- S’assurer de la fourniture d’une documentation claire et de sessions d’accompagnement destinées aux utilisateurs internes.
Les erreurs fréquentes à éviter avant de déployer
Les retours d’expérience documentés par les autorités publiques mettent en évidence plusieurs écueils récurrents lors du déploiement de solutions d’intelligence artificielle. Le premier consiste à adopter une technologie sans avoir au préalable stabilisé le processus de travail correspondant : un outil automatisé appliqué à une organisation floue amplifie les incohérences au lieu de les résoudre. Un autre manquement fréquent réside dans l’absence de sensibilisation des collaborateurs, qui peuvent être amenés à partager des documents protégés sans mesurer la portée de leurs actions.
L’oubli de l’information des personnes constitue une autre faiblesse critique : le règlement impose d’avertir clairement les individus lorsque leurs échanges ou leurs données sont traités par un système automatisé. Enfin, accorder à un modèle une autonomie complète sans traçabilité des opérations expose l’entreprise à des incidents d’exploitation difficiles à reconstituer a posteriori.
- Éviter de déployer un système sans avoir identifié et consigné la base légale de chaque traitement.
- Ne pas autoriser l’accès d’un agent automatisé à des boîtes de messagerie ou des bases clients sans contrôle préalable des permissions.
- Ne pas négliger la formation des utilisateurs aux limites factuelles des modèles et aux vérifications indispensables des résultats produits.
- Planifier des revues régulières de sécurité et d’évaluation des risques pour adapter les garde-fous aux évolutions des usages.
Sources officielles
- Intelligence artificielle | CNIL — CNIL. Consultée le 20 octobre 2026 ; page consultée le 20 octobre 2026.
- IA agentique et données personnelles : la CNIL et le Conseil de l’IA et du Numérique publient une note exploratoire — CNIL. Consultée le 20 octobre 2026 ; note exploratoire publiée le 20 juillet 2026.
- Obligations en matière de protection des données personnelles (RGPD) — Service-Public Entreprendre. Consultée le 20 octobre 2026 ; page vérifiée le 26 avril 2024.
- IA : Garantir la sécurité du développement d’un système d’IA — CNIL. Consultée le 23 octobre 2026 ; page publiée le 22 juillet 2025, relue le 23 octobre 2026.
- IA : Mobiliser la base légale de l’intérêt légitime pour développer un système d’IA — CNIL. Consultée le 23 octobre 2026 ; page publiée le 19 juin 2025, relue le 23 octobre 2026.
Ce guide présente des informations générales tirées de sources publiques. Il ne remplace ni l’avis d’un professionnel ni les pages officielles, à consulter avant toute décision. Comment nous écrivons nos guides · Comment nous sommes rémunérés