RGPD et intelligence artificielle : le guide conformité pour dirigeants marketing en 2026

Déployer un outil IA sans vérifier sa conformité RGPD, c’est prendre un risque financier et réputationnel réel. Ce guide donne aux directeurs marketing les critères, les grilles et la méthode pour décider vite et décider juste, sans attendre un juriste.

Le RGPD n’est pas une note de bas de page. C’est souvent le premier blocage réel des directeurs marketing qui veulent déployer des agents IA ou des outils de scoring.

Un outil qui accède aux données de contacts, personnalise des messages ou analyse des comportements traite des données personnelles au sens du RGPD. Sans base légale claire et sans analyse des risques, vous exposez votre entreprise à des sanctions cumulables RGPD et AI Act.

Ce que RGPD et intelligence artificielle signifient concrètement pour votre entreprise

Le RGPD (Règlement Général sur la Protection des Données) fixe les règles de collecte, de stockage et d’utilisation des données personnelles dans l’Union européenne depuis 2018. Il s’applique à toute organisation qui traite des données d’individus résidant en Europe, quelle que soit la localisation du serveur.

L’intelligence artificielle, elle, fonctionne en ingérant des données. Un modèle de langage génère du texte à partir d’entrées. Un outil de scoring analyse des comportements. Un chatbot stocke des conversations. Dans les trois cas, des données personnelles sont traitées au sens du règlement.

La combinaison des deux crée une obligation double : respecter les droits des personnes concernées (accès, rectification, effacement) ET documenter la finalité du traitement dans votre registre des traitements. Ce registre est obligatoire dès lors que votre organisation dépasse 250 salariés, ou dès que les traitements présentent des risques pour les droits et libertés des personnes.

Pour un directeur marketing, cela se traduit par une question simple avant chaque déploiement : «Pour quoi j’utilise les données de mes contacts, et est-ce que je peux le justifier légalement ?»

Quelle est la relation entre intelligence artificielle et données personnelles ?

L’intelligence artificielle traite des données personnelles à trois niveaux que la plupart des équipes marketing ne distinguent pas.

• Données d’entrée : les informations que vous fournissez à l’outil (emails, noms, historique d’achat, comportement sur le site). Ce sont des données personnelles dès qu’elles permettent d’identifier une personne.
• Données inférées : les profils, scores ou segments construits par l’algorithme. Une probabilité d’achat à 87 % associée à un contact est une donnée personnelle, même si elle n’existait pas dans votre base de départ.
• Données d’entraînement : si le modèle se ré-entraîne sur vos données, il mémorise potentiellement des informations personnelles dans ses poids. Ce point est rarement couvert dans les CGU des outils grand public.

Le scoring de leads est l’exemple le plus courant. Un algorithme analyse l’adresse email, le secteur d’activité, les pages visitées et le comportement d’ouverture d’emails pour attribuer un score. Chacune de ces variables est une donnée personnelle.

Notre tutoriel sur l’automatisation du scoring de leads avec n8n, avec la section RGPD et data masking, montre comment configurer le workflow en pseudonymisant les données avant l’analyse.

La finalité du traitement est le critère-clé du RGPD. Vous devez déclarer pourquoi vous collectez les données, et l’utilisation par un outil IA doit rester compatible avec cette finalité déclarée. Utiliser un email collecté pour une newsletter afin d’alimenter un algorithme de scoring commercial sans en informer la personne constitue un détournement de finalité.

RGPD et AI Act : comment les deux réglementations s’articulent

Le RGPD protège les données personnelles. L’AI Act encadre les systèmes d’intelligence artificielle selon leur niveau de risque. Les deux s’appliquent simultanément, et leurs sanctions se cumulent.

L’AI Act classe les systèmes IA en quatre catégories de risque, avec des obligations et des amendes différentes pour chacune.

• Risque inacceptable (interdit) : notation sociale généralisée, manipulation subliminale, exploitation des vulnérabilités. Amende jusqu’à 35 millions d’euros ou 7 % du CA mondial.
• Haut risque : scoring RH, évaluation de crédit, systèmes biométriques, certaines décisions d’accès à l’éducation. Amende jusqu’à 15 millions d’euros ou 3 % du CA mondial. Obligations de transparence, documentation technique et évaluation de conformité avant déploiement.
• Risque limité : chatbots, systèmes génératifs, outils de deepfake. Obligation d’information : l’utilisateur doit savoir qu’il interagit avec une IA.
• Risque minimal : filtres spam, recommandations de contenu standard. Aucune obligation spécifique AI Act au-delà du RGPD.

Calendrier d’application 2026 : les interdictions (risque inacceptable) s’appliquent depuis février 2025. Les obligations pour les systèmes à haut risque entrent en vigueur progressivement jusqu’en août 2026. Les règles sur les modèles d’IA générative à usage général s’appliquent depuis août 2025.

Pour un directeur marketing, la question concrète est la suivante : votre outil de scoring ou votre chatbot commercial entre-t-il dans la catégorie «haut risque» ? Si oui, les obligations AI Act s’ajoutent aux obligations RGPD existantes, avec une documentation technique supplémentaire à produire.

Notre guide sur les obligations de gouvernance et sécurité imposées par l’AI Act aux entreprises qui déploient des agents détaille les exigences techniques pour les systèmes à haut risque.

Est-ce que l’IA est confidentielle ? Le cas ChatGPT et des modèles de langage

La réponse courte est non, par défaut. Quand un membre de votre équipe colle un brief client dans ChatGPT en version gratuite ou dans un LLM public sans accord de traitement de données signé, ces informations peuvent être utilisées pour améliorer le modèle.

OpenAI, Anthropic et Google proposent des versions professionnelles (respectivement ChatGPT Team/Enterprise, Claude for Work, Gemini for Workspace) dans lesquelles les données ne sont pas utilisées pour le ré-entraînement. Mais cela suppose d’avoir activé ce plan et de l’avoir contractualisé.

Un scénario fréquent dans les PME françaises : l’équipe marketing copie un fichier de contacts dans le prompt d’un LLM pour segmenter ou rédiger des emails personnalisés. Ce geste constitue un transfert de données personnelles vers un sous-traitant non déclaré, potentiellement situé hors UE.

Deux vérifications suffisent avant d’utiliser un LLM avec des données clients.

• DPA signé : un Data Processing Agreement (accord de traitement des données) doit être en place entre votre entreprise et l’éditeur du modèle.
• Localisation des données : les serveurs doivent être en UE, ou l’éditeur doit garantir des clauses contractuelles types (CCT) pour les transferts hors UE.

Notre comparatif Claude vs ChatGPT pour la rédaction de contenu marketing, avec les différences de politique de données entre les deux outils, aborde ce point en détail pour les équipes qui rédigent avec un LLM au quotidien.

Quelles IA respectent le RGPD ? La grille de questions à poser avant de signer

Aucun éditeur ne vous dira spontanément que son outil pose des problèmes RGPD. La conformité se négocie et se documente avant la signature, jamais après.

Voici les 8 questions à poser systématiquement à tout éditeur d’outil IA avant de signer un contrat.

• Localisation des serveurs : où sont hébergées les données traitées par l’outil ? UE uniquement, ou transferts hors UE avec quelles garanties ?
• Durée de conservation : combien de temps les données sont-elles conservées par l’éditeur après la fin du contrat ? Existe-t-il une procédure de purge documentée ?
• Sous-traitance : l’éditeur fait-il appel à des sous-traitants pour traiter vos données ? Lesquels, et avec quelles garanties contractuelles ?
• Ré-entraînement du modèle : vos données sont-elles utilisées pour améliorer ou ré-entraîner le modèle IA ? Si oui, comment exercer votre droit d’opposition ?
• Suppression et portabilité : comment effacer toutes vos données à la résiliation ? Le délai est-il garanti contractuellement ?
• DPA disponible : l’éditeur propose-t-il un Data Processing Agreement conforme RGPD, signable immédiatement ?
• Notification de violation : en cas de fuite de données, dans quel délai l’éditeur vous notifie-t-il ? Le RGPD impose 72 heures pour notifier la CNIL.
• Audit et logs : pouvez-vous auditer les traitements effectués sur vos données ? Des logs d’accès sont-ils disponibles ?

Si un éditeur refuse de répondre à l’une de ces questions par écrit, c’est une réponse en soi.

Notre comparatif RGPD, AI Act et souveraineté des données : ce qu’il faut vérifier avant de signer quoi que ce soit propose une grille d’auto-diagnostic complémentaire pour évaluer la maturité de votre PME avant tout déploiement.

AIPD simplifiée : la méthode en 5 étapes pour une équipe marketing sans juriste

L’Analyse d’Impact relative à la Protection des Données (AIPD) est obligatoire dès que votre traitement présente un risque élevé pour les droits et libertés des personnes. En marketing IA, cela concerne notamment le scoring de leads, le profilage comportemental et toute décision automatisée affectant des individus.

Une AIPD n’exige pas un cabinet juridique. Elle demande de la rigueur et une documentation claire. Voici la méthode en 5 étapes conçue pour une équipe marketing de PME.

• Étape 1 : Identifier : décrivez le traitement précisément (quelles données, pour quelle finalité, qui y accède, quelle durée de conservation). Une fiche d’une page suffit.
• Étape 2 : Évaluer les risques : listez les scénarios de risque pour les personnes concernées (fuite, profilage discriminatoire, décision injuste). Pour chaque scénario, notez la probabilité (faible/moyenne/élevée) et la gravité (faible/significative/maximale).
• Étape 3 : Documenter les mesures : pour chaque risque identifié, décrivez la mesure de mitigation mise en place (pseudonymisation, chiffrement, limitation des accès, information des personnes).
• Étape 4 : Valider : si les risques résiduels restent élevés malgré les mesures, consultez votre DPO ou la CNIL avant de déployer. Si les risques sont acceptables, documentez la validation et passez au déploiement.
• Étape 5 : Suivre : l’AIPD n’est pas un document statique. Prévoyez une révision annuelle ou à chaque changement significatif du traitement (nouvel outil, nouvelles données, nouvelle finalité).

La CNIL met à disposition un outil gratuit (PIA, Privacy Impact Assessment) pour structurer cette démarche. Il génère automatiquement la documentation conforme à ses recommandations.

Pour comprendre comment la technologie de ré-entraînement influe sur le périmètre de l’AIPD, notre article sur RAG, fine-tuning et prompt engineering : la vraie différence en matière de données utilisées aide à situer ce que chaque approche technique fait réellement avec vos données.

CRM, chatbots, personnalisation, scoring : le niveau de risque RGPD par usage marketing

Tous les usages IA en marketing ne présentent pas le même niveau de risque RGPD. Voici une lecture rapide par cas d’usage, avec les obligations concrètes qui s’appliquent.

• Enrichissement CRM (données firmographiques) : risque modéré. Base légale recommandée : intérêt légitime en B2B. Obligation principale : informer les contacts de l’enrichissement et permettre l’opposition. Vérifiez que la source des données d’enrichissement est elle-même conforme.
• Chatbot commercial : risque modéré à élevé selon la profondeur des données collectées. Base légale : consentement si données sensibles, intérêt légitime pour la simple assistance. L’AI Act impose d’informer l’utilisateur qu’il parle à une IA. AIPD recommandée si le chatbot collecte des données de santé ou financières.
• Personnalisation comportementale : risque élevé si elle repose sur du profilage. AIPD obligatoire. Base légale : consentement (cookie ou opt-in explicite). Durée de conservation des données comportementales à limiter à la finalité déclarée.
• Scoring de leads : risque élevé. AIPD obligatoire. Si le score entraîne une décision automatisée sans intervention humaine (refus d’accès à une offre, exclusion d’une campagne), le RGPD impose le droit à l’explication et la possibilité de contestation humaine.
• Génération de contenu marketing : risque faible si aucune donnée personnelle de client n’est saisie dans le prompt. Risque élevé si l’équipe colle des fichiers contacts dans le LLM. La distinction est technique mais la sanction est réelle.

Notre comparatif HubSpot, Brevo et ActiveCampaign avec les critères de conformité pour PME françaises inclut une lecture des politiques de traitement des données de chaque outil, utile pour choisir selon votre niveau d’exposition.

Checklist opérationnelle : déployer un outil IA conforme RGPD en 10 points

Cette checklist est conçue pour être parcourue avant tout déploiement d’outil IA en contact avec des données de contacts ou de prospects.

• 1. Finalité déclarée : la finalité du traitement est documentée et correspond exactement à l’usage réel de l’outil.
• 2. Base légale identifiée : consentement, intérêt légitime ou exécution d’un contrat. La base légale est notée dans le registre des traitements.
• 3. DPA signé avec l’éditeur : l’accord de traitement des données est en place avant l’accès aux données de production.
• 4. Localisation des serveurs vérifiée : UE ou CCT en place pour les transferts hors UE.
• 5. Ré-entraînement sur vos données : option désactivée contractuellement ou techniquement vérifiée.
• 6. AIPD réalisée si nécessaire : scoring, profilage, décision automatisée et traitement à grande échelle déclenchent systématiquement une AIPD.
• 7. Information des personnes concernées : la politique de confidentialité mentionne l’usage de l’outil IA et les droits des personnes.
• 8. Minimisation des données : seules les données strictement nécessaires à la finalité sont transmises à l’outil.
• 9. Droits des personnes opérationnels : un processus permet de répondre aux demandes d’accès, de rectification et d’effacement dans les délais légaux (1 mois).
• 10. Registre mis à jour : le nouveau traitement est ajouté au registre des traitements de l’organisation.

Recommandations CNIL, biais algorithmique et bonnes pratiques durables

La CNIL a publié en 2024 une série de recommandations spécifiques sur l’IA et le RGPD. Elles couvrent trois points que les équipes marketing négligent régulièrement.

Le premier concerne la transparence algorithmique. Quand un algorithme influence une décision (accès à une offre, segmentation tarifaire, priorisation d’un lead), la personne concernée doit pouvoir en demander l’explication. Ce droit à l’explication est prévu à l’article 22 du RGPD pour les décisions entièrement automatisées.

Le deuxième point concerne le biais algorithmique. Un modèle entraîné sur des données historiques peut reproduire des discriminations existantes, par exemple en défavorisant systématiquement des leads issus de certaines zones géographiques ou certains secteurs. La CNIL recommande des audits réguliers des outputs pour détecter ces biais avant qu’ils ne produisent des effets discriminatoires documentés.

Notre article sur le tri de CV automatisé par IA et les vérifications RGPD, CNIL et biais algorithmique que le cabinet a dû effectuer illustre concrètement comment un biais peut s’introduire sans que l’équipe s’en aperçoive.

Le troisième point est le registre des systèmes IA. La CNIL recommande aux organisations de tenir un registre spécifique aux traitements IA, distinct du registre RGPD classique, qui documente la logique de chaque algorithme, ses données d’entraînement et ses mécanismes de supervision humaine.

Questions fréquentes