Brancher une base clients sur un modèle d’IA constitue un traitement de données personnelles : le RGPD s’y applique de bout en bout. La CNIL publie des fiches pratiques dédiées au développement des systèmes d’IA, et le règlement européen sur l’IA ajoute des obligations graduées selon le risque. Ni interdiction générale, ni permission générale : un cadre à instruire projet par projet.
Le RGPD s’applique-t-il aux projets d’intelligence artificielle ?
La CNIL indique qu’un système d’IA exploitant des données personnelles est un traitement soumis au RGPD, au même titre que tout autre : finalité définie en amont, base légale établie avant la mise en œuvre, droits des personnes garantis pendant tout le cycle de vie du système. L’IA ne crée aucune zone d’exception.
Cette continuité est une bonne nouvelle pour les annonceurs de la vente à distance : les réflexes déjà acquis sur l’email, le courrier adressé ou la location de fichiers restent valables. Ce qui change avec l’IA, c’est l’échelle et la nouveauté des usages, que la CNIL a entrepris d’éclairer par des recommandations dédiées. Référence : la fiche IA : comment être en conformité avec le RGPD de la CNIL.
Peut-on utiliser les données de son CRM dans un modèle d’IA ?
Aucune réponse générale n’existe : la possibilité d’utiliser des données CRM dans un modèle d’IA s’examine projet par projet, selon la finalité poursuivie, la base légale mobilisable et l’information donnée aux personnes. La CNIL fournit des fiches pratiques qui couvrent ce parcours d’analyse, y compris le cas de la réutilisation de données déjà collectées.
Le point qui mérite le plus d’attention en marketing est la réutilisation : des données collectées pour gérer des commandes ne se réemploient pas automatiquement pour un nouvel usage. Les fiches de la CNIL distinguent les obligations selon le rôle de l’organisme et selon le mode de collecte ou de réutilisation des données. La question de départ est donc : pour quoi ces données ont-elles été collectées, et le nouvel usage est-il compatible avec cette collecte ? Référence : les fiches pratiques IA de la CNIL.
Pourquoi définir la finalité avant tout projet d’IA ?
La CNIL indique qu’un système d’IA doit être développé pour une finalité déterminée en amont, légitime et explicite. Cette exigence n’est pas une formalité : la finalité délimite les données pertinentes, la durée de conservation et l’information à donner. Un projet d’IA « pour voir ce que ça donne » ne remplit pas cette condition.
En pratique, la finalité s’écrit en une phrase avant d’ouvrir le moindre outil : améliorer le ciblage des relances, prioriser les demandes du service client, estimer une propension au réachat. Cette phrase sert ensuite de filtre : chaque champ du CRM mobilisé doit se justifier par rapport à elle. La discipline paraît contraignante, elle est en réalité un gain de projet : les systèmes construits sur un objectif net se mesurent mieux et dérivent moins.
Quelle base légale pour un traitement de données lié à l’IA ?
Tout traitement de données personnelles doit reposer sur l’une des six bases légales prévues par le RGPD, parmi lesquelles le consentement, le contrat et l’intérêt légitime. La CNIL indique que ce choix constitue une étape clé, à établir avant la mise en œuvre du traitement, et publie des repères pour orienter ce choix.
Le choix de la base légale n’est pas interchangeable : chaque base emporte ses conditions et ses conséquences sur les droits des personnes. Sorti des cas simples, la bonne méthode consiste à documenter le traitement envisagé, à s’appuyer sur les publications de la CNIL, et à faire valider l’analyse par son délégué à la protection des données ou son conseil. Référence : la page les bases légales de la CNIL.
Comment informer les personnes dont les données alimentent un modèle ?
La CNIL consacre une fiche pratique à l’information des personnes concernées lorsque des données personnelles servent au développement d’un système d’IA. Le principe reste celui de la transparence : les personnes doivent savoir que leurs données sont traitées, pour quelle finalité, et comment exercer leurs droits d’accès, de rectification et d’opposition.
Pour une marque de vente à distance, le support de cette information existe déjà : la politique de confidentialité et les mentions remises lors de la collecte. Un projet d’IA impose de les relire et, le cas échéant, de les compléter pour que le nouvel usage y figure clairement, avec des procédures internes capables de répondre aux demandes d’exercice des droits. Référence : les fiches pratiques IA de la CNIL, dont la fiche consacrée à l’information des personnes.
Que change le règlement européen sur l’IA (AI Act) ?
Le règlement européen sur l’intelligence artificielle complète le RGPD par une approche fondée sur le risque : la Commission européenne décrit quatre niveaux, du risque inacceptable, interdit, au risque minimal, sans obligation particulière, en passant par le risque élevé et les obligations de transparence. La catégorie d’un système donné s’apprécie au cas par cas.
Selon la présentation de la Commission, la majorité des systèmes d’IA utilisés dans l’Union relève de la catégorie de risque minimal. Pour un usage marketing courant, l’obligation la plus concrète décrite est la transparence : signaler aux personnes qu’elles interagissent avec une IA ou qu’un contenu a été généré par une IA. Les deux cadres se cumulent : l’AI Act ne remplace pas le RGPD, il s’y ajoute. Référence : le cadre réglementaire européen de l’IA présenté par la Commission européenne.
Quelles précautions pratiques avant de brancher une base clients sur une IA ?
Quatre précautions de méthode réduisent l’essentiel du risque avant tout branchement : écrire la finalité en une phrase, limiter les champs transmis au strict nécessaire, vérifier le sort des données chez le fournisseur d’IA, et associer le délégué à la protection des données dès le cadrage. Ces précautions relèvent de l’organisation, pas de la technologie.
- Cartographier : lister les données concernées, leur origine, la finalité de leur collecte initiale.
- Minimiser : ne transmettre au modèle que les champs utiles à la finalité écrite, et s’interroger champ par champ.
- Encadrer le fournisseur : vérifier contractuellement où vont les données, si elles servent à entraîner d’autres modèles, et comment elles s’effacent.
- Associer les compétences : délégué à la protection des données ou conseil juridique au cadrage, pas en fin de projet.
Le repère
Utiliser des données clients dans un modèle d’IA n’est ni interdit ni libre : c’est un traitement de données personnelles ordinaire au sens du RGPD, à instruire avec la méthode habituelle : finalité écrite, base légale établie, personnes informées, droits exerçables. Le règlement européen sur l’IA ajoute une lecture par le risque et des obligations de transparence. Les fiches de la CNIL constituent le point d’entrée de référence pour ce parcours.
Pour poursuivre : la page intelligence artificielle appliquée au marketing replace ces obligations dans l’ensemble des usages, la page base clients traite de la valeur du fichier que ces règles protègent, et la page location et échange de fichiers aborde le cas particulier des données partagées entre marques.
Sources consultées
- CNIL, IA : comment être en conformité avec le RGPD
- CNIL, Les fiches pratiques IA
- CNIL, Les bases légales
- Commission européenne, Regulatory framework on AI (AI Act)