RGPD pour PME : ce que vous devez savoir avant de brancher une IA en 2026

Vous regardez ChatGPT, Gemini ou Claude avec une vraie envie de les brancher dans votre PME. Vos commerciaux gagneraient du temps sur les mails clients, votre service support traiterait deux fois plus de demandes, votre marketing produirait plus de contenu à coût constant. Et puis un mot vous arrête : RGPD. À côté, un deuxième dont les obligations de transparence s'appliquent à partir du 2 août 2026 : EU AI Act. Vous reculez. C'est dommage, parce que la grande majorité des usages PME peuvent se faire en pleine conformité, à condition de savoir où sont les vraies lignes.

Voici ce qu'une PME belge doit comprendre pour intégrer l'IA sans risquer une sanction, et où sont vraiment les points de blocage.

Ce qu'il faut retenir avant de lire la suite :

• Le RGPD reste votre obligation de base : aucune IA, gratuite ou payante, ne vous libère de vos responsabilités sur les données personnelles que vous traitez. L'IA s'ajoute, elle ne se substitue pas.
• L'EU AI Act est entré en application progressivement : pratiques interdites depuis février 2025, obligations GPAI depuis août 2025, transparence et systèmes à haut risque depuis le 2 août 2026. Les sanctions cumulatives RGPD + AI Act peuvent atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial.
• Pour la grande majorité des PME wallonnes, les usages IA courants (rédaction de mails, brouillons de contenu, synthèse de réunions, brainstorm) restent en zone safe à condition d'anonymiser les données client avant de les soumettre à un outil gratuit, et de tenir un registre simple des outils utilisés.
• L'Autorité de Protection des Données belge (APD) est votre interlocuteur de référence en cas de doute ou de plainte. Pas la CNIL française, malgré une jurisprudence souvent similaire.
• Notre verdict ATTA : sur les missions qu'on accompagne, on héberge les composants sensibles en Europe (et idéalement en Belgique quand c'est techniquement possible), on documente les flux de données dans un registre simple, et on forme les équipes à la littératie IA que l'article 4 de l'AI Act impose désormais. Aucun de ces points n'est insurmontable pour une PME.

Le cadre légal en 2026 : RGPD + AI Act, ce qui se cumule

Premier point important : ces deux textes ne s'excluent pas, ils s'additionnent. L'article 2 §7 du règlement IA précise expressément que son application est sans préjudice du RGPD. Cela signifie qu'un même système d'IA, sur un même fait, peut faire l'objet de sanctions distinctes au titre des deux règlements. Un cas typique : un système de reconnaissance faciale non conforme peut être attaqué simultanément sur la base du RGPD (traitement de données biométriques sans base légale) et de l'AI Act (pratique interdite).

Voici les ordres de grandeur des sanctions :

Pour une PME, ces chiffres maximaux paraissent vertigineux. Dans la pratique, les amendes sont calibrées selon la gravité du manquement, la nature des données, et la coopération du contrôleur. Une PME wallonne qui a un usage IA mesuré et un minimum de documentation ne risque pas le plafond. Mais en cas de plainte d'un client ou d'un audit APD, l'absence totale de cadre interne devient un facteur aggravant.

L'EU AI Act : ce qui concerne directement une PME utilisatrice

La majorité des PME ne développent pas d'IA, elles en utilisent. Sur le détail des trois outils dominants en 2026 (ChatGPT, Gemini, Claude), leurs plans gratuits, et ce qu'on en fait réellement chez nos clients, voir notre comparatif IA pour PME. Du point de vue de l'AI Act, vous êtes alors un « déployeur » (et pas un « fournisseur »). Vos obligations sont plus légères que celles d'OpenAI ou de Google, mais elles existent.

Article 4 : la littératie IA obligatoire

Depuis le 2 février 2025, l'article 4 impose que toute personne impliquée dans le fonctionnement ou l'utilisation d'un système IA dispose d'un niveau suffisant de « littératie IA ». Concrètement, pour une PME, ça veut dire trois choses :

1. Un guide de sensibilisation interne, même court, qui explique à vos employés ce qu'ils peuvent et ne peuvent pas faire avec ChatGPT, Gemini, Claude ou tout autre outil IA.
2. Une attestation de lecture signée par chaque collaborateur qui utilise ces outils, datée et conservée.
3. Une formation adaptée à chaque fonction : un commercial qui rédige des mails n'a pas les mêmes risques qu'un RH qui filtre des CV.

Ce n'est pas un formulaire à 40 pages. Un Google Doc d'une page, un tableau partagé avec les signatures de l'équipe, et une réunion d'équipe annuelle de 30 minutes pour faire le tour. C'est exactement la profondeur que l'APD attendra d'une PME, et ça suffit.

Article 50 : la transparence dès août 2026

Depuis le 2 août 2026, l'article 50 impose les obligations de transparence suivantes :

• Tout chatbot client qui parle directement à un utilisateur doit indiquer qu'il s'agit d'une IA (sauf si c'est évident contextuellement)
• Tout contenu généré par IA qui pourrait passer pour authentique (images, vidéos, textes) doit être marqué comme tel
• Toute catégorisation biométrique ou reconnaissance émotionnelle appliquée à des personnes nécessite notification et, selon le contexte, consentement explicite

Pour la grande majorité des PME wallonnes, ces obligations sont gérables : un chatbot WhatsApp qui se présente dès le premier message comme « assistant virtuel de [nom de l'entreprise] » coche la case. Une publication LinkedIn générée avec ChatGPT et mentionnant « contenu rédigé avec assistance IA » coche la case. Pas besoin de procédures lourdes pour respecter le texte.

Le RGPD : où sont les vraies lignes pour l'IA générative

Le RGPD a 7 ans d'application en 2026 et la jurisprudence est mature. Pour l'usage de l'IA générative en PME, voici les points où l'APD et la CNIL convergent et qui méritent votre attention. La synthèse 2026 des avocats de La Tribune et le guide Leto.legal couvrent l'essentiel.

1. Le piège du plan gratuit

C'est de loin la première erreur des PME. Les plans gratuits de ChatGPT, Gemini, Claude et la plupart des outils IA utilisent vos prompts pour entraîner les modèles. Si vous mettez le nom, l'email ou l'historique de votre client dans une conversation gratuite, ces données peuvent se retrouver, sous une forme transformée, dans les réponses servies à d'autres utilisateurs. C'est précisément ce que le RGPD interdit sans base légale ni consentement.

Règle simple : sur un plan gratuit, jamais de données client identifiables. Anonymisez avant : remplacez « Jean Dupont » par « le client », remplacez l'adresse par « zone Liège », remplacez l'historique d'achat par les ordres de grandeur. Pour la majorité des cas d'usage (brouillon de mail, synthèse de réunion, brainstorm), l'anonymisation prend 10 secondes et résout le problème.

2. La base légale du traitement

Avant d'envoyer des données personnelles vers une IA, même payante, vous devez identifier votre base légale parmi les 6 du RGPD : consentement, contrat, obligation légale, intérêt vital, mission d'intérêt public, ou intérêt légitime. Pour la plupart des usages PME, c'est soit le contrat (« je traite les données de mon client pour exécuter notre contrat »), soit l'intérêt légitime (« j'analyse les retours clients pour améliorer mon service »).

Le piège : si vous utilisez l'intérêt légitime, vous devez documenter un test de balance des intérêts (Test d'Intérêt Légitime / Legitimate Interest Assessment) qui démontre que votre usage ne porte pas atteinte disproportionnée aux droits des personnes. Pour une PME, un document d'une page suffit en général.

3. Le DPA avec l'éditeur

Quand vous utilisez un plan Business, Team ou Enterprise des outils IA, vous devez signer un Data Processing Agreement (DPA) avec l'éditeur. Ce document précise les rôles (vous êtes responsable du traitement, l'éditeur est sous-traitant), les durées de conservation, les transferts hors UE le cas échéant. Tous les éditeurs sérieux (OpenAI, Anthropic, Google) proposent un DPA standard sur demande. À récupérer et à conserver dans votre dossier conformité.

4. Les AIPD pour les traitements à risque

Si vous mettez en place un usage IA à risque élevé (recrutement automatisé, scoring client, prise de décision impactant les personnes), vous devez réaliser une Analyse d'Impact relative à la Protection des Données (AIPD), aussi appelée DPIA en anglais. C'est un document plus structuré qui décrit le traitement, évalue les risques pour les personnes, et propose des mesures correctives. Pour les cas vraiment risqués, l'APD recommande de la soumettre pour avis préalable.

Pour la grande majorité des PME qui font de l'IA pour rédiger des mails et synthétiser des réunions, l'AIPD n'est pas nécessaire. Elle devient utile dès qu'on automatise une décision impactant un humain.

L'hébergement : pourquoi héberger ses solutions IA en Europe

Le sujet de l'hébergement revient souvent dans les discussions RGPD + IA, et les positions sont parfois caricaturales. Voici la réalité opérationnelle 2026.

Le cloud souverain n'est pas, à lui seul, une garantie de conformité RGPD. Héberger en Belgique ou en France ne dispense pas de la gouvernance des données : qui y a accès, sous quelles conditions, avec quelles traces ? Mais l'hébergement européen reste fortement préférable pour deux raisons concrètes.

Première raison, l'exposition à la législation extraterritoriale. Les hébergeurs américains (AWS, Azure, GCP en région US) restent soumis au Cloud Act américain, qui peut contraindre à divulguer des données stockées même en Europe. Les hébergeurs européens (OVHcloud, Scaleway, certains services de Microsoft Azure Belgium Central et Azure West Europe) ne sont pas soumis à ces régimes.

Deuxième raison, la simplicité juridique pour vos clients belges. Quand vous dites à un client wallon que ses données sont hébergées à Bruxelles ou à Paris, le sujet est clos en une phrase. Quand vous expliquez que vos données sont chez AWS US East mais avec contrat Standard Contractual Clauses et clauses additionnelles, vous perdez son temps et le vôtre.

En 2025, Microsoft a lancé Azure Belgium Central, un nouveau datacenter belge qui rend possible une stack cloud puissante avec hébergement national. C'est un signal fort : la souveraineté numérique européenne devient une attente structurante. Pour une PME wallonne, c'est l'occasion de simplifier son discours conformité auprès de ses clients.

Notre position chez ATTA : sur les missions qu'on accompagne (par exemple le chatbot WhatsApp posé chez une agence immobilière belge), quand on conçoit une solution avec une couche IA et des données personnelles, on privilégie par défaut un hébergement européen (Belgique ou Allemagne le plus souvent), avec une stack qui n'envoie aux LLMs grand public (OpenAI, Anthropic, Google) que les données anonymisées strictement nécessaires. Le reste du flux reste en Europe. Ce n'est pas du purisme, c'est ce qui rend le projet défendable juridiquement et commercialement.

FAQ

Q : Mes employés utilisent ChatGPT en plan gratuit pour leur travail. Suis-je en infraction ?

Cela dépend de ce qu'ils mettent dedans. S'ils anonymisent leurs prompts (pas de nom client, pas d'email, pas de données identifiables), l'usage reste légal mais doit être encadré par un guide interne (littératie IA, article 4 AI Act). S'ils copient-collent des dossiers client complets dans ChatGPT gratuit, vous êtes en risque RGPD direct. Le minimum à faire dès demain : une charte interne en une page + signature des employés concernés.

Q : Le RGPD m'oblige-t-il à passer aux plans Business des outils IA ?

Pas systématiquement. Mais si vous traitez régulièrement des données client réelles, les plans Business/Team/Enterprise (qui désactivent l'entraînement sur vos données et fournissent un DPA) sont le minimum recommandé. Le surcoût (20-60 € par utilisateur par mois) est marginal vs le risque RGPD couvert.

Q : Faut-il déclarer mes traitements IA à l'APD ?

Pas pour la plupart des usages PME courants. Le RGPD a supprimé l'obligation de déclaration générale en 2018, sauf cas particuliers (DPIA soumise pour avis préalable sur traitements à risque résiduel élevé). Tenez un registre des activités de traitement (obligatoire pour toutes les entreprises, simple Excel ou Google Sheet) qui liste vos traitements IA. C'est l'APD qui peut vous le demander en cas de contrôle, pas vous qui devez le pousser.

Q : Qu'est-ce qu'une « pratique interdite » de l'AI Act et est-ce que ça concerne une PME ?

Très peu. Les pratiques interdites par l'article 5 de l'AI Act sont : la manipulation cognitive nocive, l'exploitation des vulnérabilités, la notation sociale par les autorités publiques, certains usages biométriques de masse dans l'espace public. Une PME qui fait du RPA, de la facturation automatique, du chatbot client, de la rédaction assistée IA n'est strictement jamais dans le périmètre des pratiques interdites. Vous restez en zone safe.

Q : Et si mon comptable ou mon avocat me demande des preuves de ma conformité ?

Préparez un dossier simple en 5 documents : (1) la charte IA interne signée par les employés, (2) le registre des traitements à jour, (3) les DPA signés avec les éditeurs IA Business/Enterprise, (4) le test d'intérêt légitime documenté pour les traitements concernés, (5) la liste des hébergements européens utilisés. Avec ça, vous couvrez 95 % des questions qu'un audit léger peut soulever.

Échéance concrète à ne pas rater : le 2 août 2026. Notre checklist AI Act pour PME belge reprend, étape par étape, ce qu'il faut avoir fait avant cette date.

Pour aller plus loin

Si vous voulez intégrer de l'IA dans votre PME mais que vous bloquez sur le volet conformité, le bon réflexe est de chiffrer concrètement vos cas d'usage avant de chiffrer le budget conformité. Beaucoup de PME wallonnes pensent que le RGPD + AI Act est un obstacle prohibitif, alors qu'en pratique 80 % des usages courants se règlent en moins d'une journée de travail (charte interne + registre + bon plan d'abonnement). Les 20 % qui restent (traitements automatisés à enjeu humain, données sensibles, scoring client) méritent un vrai accompagnement, mais ce sont des cas précis.

C'est exactement ce qu'on regarde dans un audit Quick Wins d'ATTA : on cartographie vos cas d'usage IA réels ou planifiés, on identifie ceux qui sont en zone safe et ceux qui méritent un travail conformité, et on vous dit franchement par où commencer. C'est gratuit, sans engagement, et même sans mission derrière, vous repartez avec une vision claire de ce que vous pouvez faire dès demain.