IA et RGPD : où vivent vraiment les données de votre PME (et comment garder le contrôle)

« Si je colle un dossier RH ou un fichier clients dans une IA, est-ce que je viole le RGPD ? » C'est une des premières questions qu'un dirigeant de PME me pose, et elle est saine. La réponse honnête : l'IA n'est pas interdite par le RGPD — elle se cadre. Ce qui détermine si votre usage est conforme et raisonnable, ce n'est pas l'outil en lui-même, c'est *où vos données atterrissent physiquement, qui peut les lire, et ce qu'on en fait*. La bonne nouvelle, c'est que vous avez beaucoup plus de leviers de contrôle qu'on ne vous le laisse croire.

Cet article s'adresse au patron-opérationnel d'une PME de 10 à 50 salariés qui traite du sensible au quotidien — fiches de paie, comptes, données médicales, contrats, informations clients. Pas de jargon juridique : je traduis ce que le RGPD exige réellement, je vous montre concrètement où vont vos données selon la solution choisie, et je vous donne les trois leviers qui transforment une zone grise en architecture maîtrisée. Et je termine sur le point que peu de dirigeants voient venir : bien jouée, la souveraineté de vos données n'est pas une contrainte, c'est une avance.

Où vont vraiment vos données quand vous utilisez une IA

La question la plus importante — et la plus souvent ignorée — est physique : quand vous tapez du texte dans une IA, vos données quittent votre PME et atterrissent sur un serveur. Lequel, dans quel pays, et qui y a accès ? La réponse change tout, et elle dépend entièrement de la solution. Schématiquement, il existe trois grands cas de figure pour une PME belge.

Cas 1 — Le SaaS américain grand public (la version gratuite)

Vous ouvrez un onglet, vous collez votre fichier de salaires, vous demandez un résumé. Vos données partent sur les serveurs d'un éditeur américain, souvent hébergées hors d'Europe. Sur les offres grand public, deux problèmes se cumulent. D'abord, selon les conditions du compte, vos saisies peuvent servir à entraîner les modèles — autrement dit, vos données nourrissent un système que vous ne contrôlez pas. Ensuite, il y a un transfert de données hors Union européenne, qui est précisément le point le plus sensible du RGPD (j'y reviens). Pour des données anodines, ce n'est pas dramatique. Pour des données RH, médicales ou financières, c'est exactement ce qu'il faut éviter.

Cas 2 — Le SaaS professionnel avec garanties contractuelles

Les mêmes éditeurs proposent des offres « entreprise » ou « API » nettement plus sérieuses : engagement contractuel de ne pas réutiliser vos données pour l'entraînement, possibilité d'héberger les traitements dans une région européenne, contrat de sous-traitance en bonne et due forme. C'est un terrain solide pour une grande partie des usages d'une PME. La donnée transite toujours par un prestataire externe, mais sous un cadre juridique qui vous protège. La nuance : il faut lire le contrat et choisir consciemment la région d'hébergement — ce n'est jamais coché par défaut sur les offres d'entrée.

Cas 3 — La solution auto-hébergée ou hébergée en Europe

À l'autre extrême, vos données ne quittent jamais l'Europe — voire jamais votre propre infrastructure. On parle ici d'orchestration auto-hébergée (un outil comme n8n, une plateforme d'automatisation que vous installez sur un serveur que vous maîtrisez, plutôt que de louer un service tout-en-un) et, pour le très sensible, de modèles d'IA locaux : une intelligence artificielle qui tourne directement sur une machine chez vous ou chez un hébergeur belge ou européen, sans qu'aucune donnée ne sorte. C'est l'option la plus exigeante techniquement, mais c'est aussi celle qui offre le contrôle maximal — et, fait nouveau, elle est devenue réaliste pour une PME, ce qui n'était pas le cas il y a deux ans.

Le piège, c'est de croire qu'il faut choisir un seul de ces trois mondes pour toute l'entreprise. Faux. La bonne architecture *mélange* les trois selon la sensibilité de chaque donnée : du SaaS professionnel pour rédiger une offre commerciale anodine, du local pour traiter un dossier médical. C'est tout l'enjeu d'un cadrage sérieux — et c'est là que se joue la différence entre subir l'IA et la maîtriser.

Ce que le RGPD exige vraiment de votre PME (en langage simple)

Oubliez l'image du règlement tatillon qui interdit tout. Le RGPD repose sur quelques principes de bon sens. Pour une PME qui veut utiliser l'IA, quatre d'entre eux comptent vraiment.

1. La base légale — pourquoi avez-vous le droit de traiter cette donnée ?

Toute donnée personnelle que vous traitez doit reposer sur une justification : un contrat (vous traitez la paie d'un employé parce qu'il travaille pour vous), une obligation légale, le consentement de la personne, ou votre intérêt légitime. Faire passer un texte par une IA ne crée pas un nouveau traitement magique : si vous aviez déjà le droit de traiter cette donnée pour votre activité, l'IA n'est qu'un outil de plus dans la chaîne. Ce qui change, c'est que l'outil envoie peut-être la donnée à un tiers — d'où les trois points suivants.

2. La minimisation — n'envoyez que le strict nécessaire

Le RGPD demande de ne traiter que les données réellement utiles à la finalité. Concrètement : si une IA doit reformuler une lettre de licenciement, elle a besoin du contexte, pas forcément du numéro de registre national, de l'adresse complète et du salaire exact de la personne. La minimisation est votre meilleure amie, parce qu'elle ouvre directement le levier le plus puissant : si vous retirez ou masquez les éléments identifiants *avant* d'envoyer la donnée, le risque s'effondre. On y arrive dans la section suivante.

3. La sous-traitance (article 28) — votre prestataire IA est un sous-traitant

Dès qu'un outil externe traite des données personnelles pour votre compte, c'est un sous-traitant au sens du RGPD. Vous devez avoir avec lui un contrat — souvent appelé « accord de traitement des données » — qui encadre ce qu'il a le droit de faire : ne pas réutiliser vos données pour ses propres fins, les sécuriser, vous prévenir en cas de fuite, les supprimer en fin de contrat. C'est précisément pour cette raison que la version grand public gratuite d'une IA est inadaptée au sensible : il n'y a pas ce cadre. La version professionnelle, oui.

4. Les transferts hors UE — le vrai point chaud

Si vos données partent vers un serveur situé hors de l'Union européenne (typiquement aux États-Unis), le RGPD impose des garanties supplémentaires. Le cadre juridique encadrant ces transferts a été plusieurs fois remis en cause par la justice européenne, ce qui crée une insécurité durable pour qui mise tout sur un prestataire hors UE. La parade est simple à formuler : privilégier un hébergement des données en Europe. La plupart des éditeurs sérieux le proposent désormais — encore faut-il l'activer et le vérifier au contrat, ce qui n'est jamais automatique sur les offres d'entrée.

Voilà tout le RGPD utile à votre décision, résumé en quatre idées. Aucune ne dit « interdit ». Toutes disent « cadre-le ». Et cadrer, c'est exactement ce que sont les leviers de contrôle qui suivent.

Les trois leviers pour garder le contrôle de vos données

Entre « je n'utilise pas l'IA par peur » et « j'envoie tout dans le premier outil venu », il existe un large espace de solutions maîtrisées. Voici les trois leviers que je combine selon le niveau de sensibilité, du plus simple au plus exigeant.

Levier 1 — Anonymiser ou pseudonymiser avant le traitement

C'est le levier le plus sous-estimé et souvent le plus efficace. L'idée : avant d'envoyer une donnée à une IA, on remplace automatiquement les éléments identifiants (noms, numéros de registre national, adresses, numéros de compte) par des étiquettes neutres — « Client A », « Employé 1 ». L'IA travaille sur le contenu utile sans jamais voir qui est concerné. Une fois le résultat revenu, on réintègre les vraies informations en local, chez vous. Pour beaucoup de cas RH ou comptables, ce seul mécanisme fait passer un traitement de « risqué » à « anodin », parce que ce qui quitte l'entreprise n'est plus une donnée personnelle identifiable. C'est de la minimisation appliquée, et c'est automatisable de bout en bout.

Levier 2 — Héberger les traitements en Europe

Pour tout ce qui passe par un prestataire externe, choisir explicitement une région d'hébergement européenne et un éditeur qui s'engage contractuellement à ne pas réutiliser vos données. Cela règle le point chaud des transferts hors UE et vous donne un contrat de sous-traitance propre. C'est le socle raisonnable pour 70 à 80 % des usages d'une PME : assez sérieux pour du commercial, des opérations, du marketing, de la documentation. On garde le local pour le cran au-dessus.

Levier 3 — Les modèles open-source auto-hébergés, pour le très sensible

Pour les données les plus critiques — dossiers médicaux, données financières détaillées, secrets industriels — il existe désormais des modèles d'IA open-source que l'on peut faire tourner *localement*, sur une machine chez vous ou chez un hébergeur belge, sans aucune connexion à un service externe. Un outil comme Ollama permet par exemple de faire fonctionner ce type de modèle directement sur votre infrastructure : la donnée sensible ne quitte jamais vos murs, point. Combiné à une orchestration n8n auto-hébergée (vos automatisations tournent sur votre serveur, pas sur un service tiers), vous obtenez une chaîne de bout en bout où vous maîtrisez chaque maillon. C'est plus exigeant à mettre en place et un peu moins puissant que les meilleurs modèles commerciaux, mais pour le très sensible, le contrôle total vaut largement la différence.

La vraie compétence, ce n'est pas de choisir un levier, c'est de les répartir intelligemment. C'est exactement la démarche que je décris dans par où commencer l'IA quand on est une PME en Wallonie : on cartographie d'abord les processus et la sensibilité des données, ensuite on choisit l'outil. Jamais l'inverse.

La souveraineté des données : une contrainte ? Non, une avance stratégique

Voici le retournement que peu de dirigeants voient venir. Maîtriser où vivent vos données, ce n'est pas seulement « être en règle ». C'est un argument commercial et un actif de résilience — et l'avance que vous prenez là-dessus aujourd'hui deviendra l'évidence de demain.

D'abord, vis-à-vis de vos clients. Une PME qui peut affirmer « vos données restent en Europe, et les plus sensibles ne sortent même pas de nos serveurs » dispose d'un argument de confiance que ses concurrents qui ont tout balancé dans un outil grand public n'ont pas. Pour un cabinet, un prestataire RH, un bureau d'études, un acteur de la santé, c'est un différenciateur concret dans un appel d'offres — exactement le genre de détail qui fait pencher la balance quand deux offres se valent par ailleurs.

Ensuite, en termes de résilience. Dépendre entièrement d'un prestataire étranger pour un processus critique, c'est s'exposer à un changement de tarif, de conditions, ou à un cadre juridique qui bascule du jour au lendemain. Une architecture où vous savez exactement ce qui peut être ré-internalisé vous laisse une porte de sortie. La souveraineté, ce n'est pas du repli — c'est garder le volant. C'est aussi pour ça que je distingue toujours, avec mes clients, l'IA-outil que l'on consomme passivement de l'IA-partenaire que l'on intègre en maîtrisant ses fondations ; j'en parle plus longuement dans où est la bulle de l'IA.

Comment je cadre concrètement la conformité avec une PME

Mon point de départ n'est jamais l'outil, c'est votre métier et vos données. Je fais de la technique, mais je pense business d'abord — et la séquence est simple.

1. On cartographie les données et leur sensibilité. Quelles données vous traitez, lesquelles sont personnelles, lesquelles sont vraiment sensibles. C'est la base : on ne protège bien que ce qu'on a identifié.
2. On associe chaque usage au bon levier. Donnée anodine → SaaS professionnel hébergé en Europe. Donnée personnelle → anonymisation en amont. Donnée très sensible → traitement local, rien ne sort.
3. On documente. Base légale, finalité, sous-traitants, où vont les données. C'est ce qui vous protège en cas de question d'un client ou d'un contrôle — et c'est beaucoup plus léger à tenir qu'on ne le craint.
4. On reste honnête sur les limites. Si pour un usage donné l'IA n'apporte pas de gain réel, ou si le risque ne vaut pas le bénéfice, je vous le dis. L'objectif est un système qui vous fait gagner du temps en dormant tranquille, pas une démo qui clignote.

Cette démarche est le cœur d'un audit de cadrage à 500 € HTVA : une demi-journée sur site pour cartographier vos processus et la sensibilité de vos données, avec un livrable concret sous cinq jours — quels usages d'IA sont pertinents pour vous, et quelle architecture de données les rend conformes et sûrs. Pas de slides génériques, un plan d'action sur mesure. Et si la suite a du sens, elle prend la forme d'un sprint de livraison qui met un premier outil réellement en production.

En clair : l'IA n'est pas un risque, l'IA non cadrée en est un

Le vrai danger pour une PME belge, ce n'est pas d'utiliser l'IA — c'est de l'utiliser sans savoir où vont les données. La différence entre les deux n'est pas une question de chance, c'est une question d'architecture : anonymiser ce qui sort, héberger en Europe ce qui transite, garder en local ce qui est critique. Bien posée, cette architecture transforme une crainte en avantage : vous gagnez des heures *et* vous gagnez un argument de confiance face à vos clients.

Si vous traitez du sensible — RH, finance, données clients, santé — et que la question « est-ce que j'ai le droit, est-ce que c'est prudent ? » vous freine, le plus simple est d'en parler. Un diagnostic initial est gratuit et dure 30 minutes, sans engagement : on regarde ensemble vos processus et où sont vos vrais points de vigilance. Si vous voulez aller plus loin, l'audit de cadrage à 500 € HTVA vous fait repartir avec une architecture conforme et un plan concret. Appelez le 0491 505 505 ou écrivez à info@simplifiez.ai — vous m'apprenez votre business, je vous montre comment l'IA peut le transformer sans jamais vous exposer.

La question n'est pas « ai-je le droit de confier mes données à l'IA ? » — c'est « est-ce que je sais où elles vivent ? ». Le jour où vous le savez, le RGPD cesse d'être une peur pour devenir votre avance.