Beaucoup de PME qui déploient des outils d'IA générative se concentrent sur la performance des modèles, la qualité des consignes et la fiabilité des intégrations. Elles regardent moins la provenance des données qui alimentent ces outils. Or le RGPD ne distingue pas les données saisies à la main de celles aspirées automatiquement sur des sites externes. Dès que votre chaîne d'automatisation traite des données personnelles, votre entreprise est responsable de traitement, avec les obligations qui en découlent. C'est la position constante des autorités de contrôle, et la CNIL l'a rappelé par des sanctions.
Ce que « alimenter un outil d'IA » signifie juridiquement
Le RGPD s'applique dès qu'une donnée à caractère personnel est traitée, quelle que soit la technique de collecte. Un outil qui extrait des profils LinkedIn, des adresses mail depuis des annuaires professionnels ou des avis clients sur des plateformes tierces réalise un traitement au sens de l'article 4 du règlement. L'automatisation ne change pas la nature juridique de l'opération ; elle en augmente l'échelle.
Avec l'IA générative, ces données ne servent plus seulement à alimenter un CRM ou un tableau de bord. Elles entrent dans des bases de connaissances, des consignes enrichies ou des jeux d'entraînement. Chaque étape constitue un traitement distinct, qui peut appeler sa propre base légale. Une confusion revient souvent : assimiler « données accessibles publiquement » à « données librement exploitables ». Ce n'est pas la même chose.
Pourquoi « la donnée est publique » ne suffit pas
C'est l'argument le plus fréquent pour justifier une collecte automatisée : la donnée est sur un site public, donc elle est disponible. Au regard du RGPD, ce raisonnement est faux. Une donnée accessible publiquement reste une donnée personnelle si elle permet d'identifier une personne, directement ou indirectement. Sa publicité ne donne pas le droit de la réutiliser pour n'importe quelle finalité.
La CNIL l'a montré en décembre 2024 en sanctionnant la société KASPR de 240 000 euros : son extension de navigateur collectait les coordonnées d'utilisateurs de LinkedIn, y compris de ceux qui avaient restreint leur visibilité. Cette affaire concerne directement les PME qui utilisent des outils d'enrichissement de contacts pour leur prospection.
Pour les traitements commerciaux ou le développement de systèmes d'IA, l'intérêt légitime (article 6.1.f) est souvent la base invoquée. En juin 2025, la CNIL a publié des recommandations sur l'intérêt légitime et une fiche consacrée au moissonnage (web scraping). Elles admettent cette collecte sous conditions : mise en balance documentée entre vos intérêts et les droits des personnes, exclusion de certaines sources et catégories de données, respect des refus exprimés par les sites, information et facilité d'opposition. Peu de PME documentent ce test avant de lancer leur projet.
Le RGPD impose aussi, à son article 6.4, de vérifier que la réutilisation de données collectées pour une finalité est compatible avec cette finalité initiale. Utiliser des données aspirées pour enrichir un outil commercial ne va pas de soi, même si la source était publique.
Les trois obligations à intégrer dès la conception
Ces obligations conditionnent la légalité du traitement, et donc la possibilité d'utiliser sans risque ce que produira l'outil.
- Cartographier les flux de données personnelles dès le début du projet : quelles données entrent dans la chaîne, depuis quelle source, pour quelle finalité, et pendant combien de temps elles sont conservées.
- Établir la base légale de chaque traitement distinct : collecte, stockage, enrichissement, production de résultats. Un même projet peut en mobiliser plusieurs.
- Réaliser une analyse d'impact relative à la protection des données (AIPD) si le traitement est susceptible d'engendrer un risque élevé pour les personnes, ce qui est fréquent quand on croise des données de plusieurs sources pour établir des profils.
Cette cartographie se fait en amont, avant tout développement : une chaîne de traitement mal qualifiée juridiquement produit des résultats que l'entreprise ne peut pas utiliser sereinement.
Ce que les autorités ont déjà sanctionné
La CNIL n'a pas attendu l'AI Act pour se positionner. En 2022, elle a sanctionné Clearview AI de 20 millions d'euros pour avoir constitué une base de photos aspirées sur internet. Elle a publié des ressources sur l'IA dès 2022, puis ses premières recommandations sur le développement des systèmes d'IA en avril 2024. Au niveau européen, le Comité européen de la protection des données a coordonné en 2023 et 2024 les travaux des autorités nationales sur ChatGPT.
Les décisions visent d'abord de grands acteurs, mais la sanction de KASPR montre que les outils utilisés au quotidien par les PME sont aussi concernés. Le même mouvement s'est produit sur les cookies et sur les transferts de données vers les États-Unis : les premières décisions fixent les règles, puis les contrôles s'étendent.
Le règlement européen sur l'IA ajoute ses propres exigences. Depuis le 2 août 2025, les fournisseurs de modèles à usage général doivent notamment publier un résumé des données utilisées pour l'entraînement. Si votre PME adapte un modèle avec des données issues de collecte automatisée, elle se trouve à la croisée du RGPD et de l'AI Act.
La question à poser avant de valider une nouvelle chaîne de traitement
La question utile n'est pas seulement de savoir si l'outil de collecte fonctionne ou si les données sont utiles. Elle est : quel traitement de données personnelles cette chaîne réalise-t-elle, sur quelle base légale, et comment en garde-t-on la trace ?
Elle se pose avant le développement, pas après le déploiement. Une chaîne construite sans réponse écrite à ces questions est un risque. Les responsables informatiques qui intègrent ce contrôle dans la validation des projets ne ralentissent pas les déploiements : ils évitent des reprises coûteuses.
Découvrir après plusieurs mois qu'un outil déjà utilisé traite des données sans base légale oblige à une mise en conformité en urgence, plus coûteuse qu'une intégration dès la conception, avec le risque de devoir interrompre un service dont les équipes dépendent.
Ce que cela change pour votre feuille de route IA
La conformité au RGPD n'empêche pas l'automatisation. C'est une contrainte de conception qui, bien intégrée, rend les outils plus solides : leurs données sont traçables et l'entreprise peut répondre à un contrôle sans improviser.
Un test simple : si la CNIL vous demandait demain le registre des traitements de vos outils d'IA et la base légale de chaque flux de données externe, combien de temps vous faudrait-il pour le produire ? La réponse donne une bonne idée de votre niveau de risque.
Par où commencer dans une PME
- Recensez les outils qui collectent ou enrichissent des données externes (extensions de prospection, outils d'enrichissement, scripts de collecte) et les données personnelles qu'ils manipulent.
- Pour chacun, inscrivez le traitement au registre avec sa finalité, sa base légale et sa durée de conservation ; documentez le test de mise en balance si vous invoquez l'intérêt légitime.
- Arrêtez les collectes qui ne respectent pas les choix de visibilité des personnes ou les refus exprimés par les sites, et prévoyez une AIPD pour les projets qui croisent plusieurs sources.
Notre guide IA, RGPD et souveraineté en PME détaille ce cadre. Pour faire le point sur vos outils actuels, vous pouvez demander un diagnostic gratuit.
Article rédigé par Loïc Mabilon, cofondateur de Lumivi.
