RGPD : votre application créée avec l’IA est-elle conforme ?

Votre application enregistre des comptes utilisateurs, des coordonnées de clients, peut-être des documents. Ce sont des données personnelles, et le Règlement général sur la protection des données (RGPD) s’applique, que l’application ait été écrite par une équipe de développeurs ou générée en quelques jours avec l’IA.

Le RGPD peut sembler intimidant. En pratique, pour la plupart des applications de PME, il repose sur quelques principes de bon sens. Cet article vous aide à faire le point : ce qui relève de votre responsabilité, ce que les outils d’IA font ou ne font pas pour vous, et les vérifications à mener avant d’ouvrir l’application. Il ne remplace pas l’avis d’un juriste pour les situations complexes, mais il vous permettra de poser les bonnes questions.

Qui est responsable ?

Le RGPD distingue deux rôles. Le responsable de traitement décide pourquoi et comment les données sont utilisées : c’est vous, l’entreprise qui exploite l’application. Les sous-traitants traitent les données pour votre compte : votre hébergeur, votre base de données comme Supabase, votre service d’envoi d’e-mails, l’IA à laquelle votre application envoie des informations.

L’outil d’IA qui a construit l’application ne porte donc pas votre responsabilité. C’est à vous de vous assurer que chaque sous-traitant présente des garanties suffisantes, et qu’un contrat de sous-traitance vous lie à lui. Les grands services proposent généralement ce contrat, souvent appelé « DPA », dans leurs conditions ou leurs réglages : il suffit de l’accepter et de le conserver.

Les points à vérifier

Pour une application de PME, la conformité repose surtout sur les points suivants.

Savoir quelles données vous collectez

Listez les informations enregistrées par votre application, pourquoi vous en avez besoin et combien de temps vous les gardez. C’est le principe de minimisation : ne collectez que ce qui est utile. Une application générée par l’IA ajoute parfois des champs « au cas où » ; supprimez ceux qui ne servent à rien. Cette liste alimente votre registre des traitements, un document que toute entreprise doit tenir et que la CNIL met à disposition sous forme de modèle.

Savoir où sont hébergées les données

Vérifiez dans les réglages de votre base de données et de votre hébergement la région choisie. Un hébergement dans l’Union européenne simplifie les choses. Un hébergement aux États-Unis reste possible, notamment si le fournisseur adhère au cadre de protection des données entre l’Union européenne et les États-Unis, mais il doit être documenté. Notre article sur ce que l’IA a construit vous aide à retrouver ces informations.

Informer vos utilisateurs

Votre application doit présenter une politique de confidentialité claire : quelles données, pour quoi faire, combien de temps, avec quels sous-traitants, et comment exercer ses droits. Si vous utilisez des cookies ou des outils de mesure d’audience qui ne sont pas strictement nécessaires, le consentement de l’utilisateur doit être recueilli avant de les activer.

Sécuriser l’accès aux données

Le RGPD impose des mesures de sécurité adaptées aux risques. Dans une application créée avec l’IA, cela veut dire avant tout des droits d’accès bien configurés et des clés secrètes protégées : chaque utilisateur ne doit voir que ce qui le concerne. Ce sont précisément les failles les plus fréquentes que nous rencontrons.

Permettre l’exercice des droits

Vos utilisateurs peuvent demander à consulter, corriger, récupérer ou supprimer leurs données. Vous devez leur répondre dans un délai d’un mois. Vérifiez que votre application permet de supprimer réellement un compte et ses données associées, et pas seulement de le masquer.

Les données sensibles

Certaines données font l’objet de règles renforcées : la santé, les opinions politiques ou religieuses, l’orientation sexuelle, les données biométriques ou génétiques. Les données bancaires et celles des mineurs demandent aussi une vigilance particulière.

Pour les données de santé, une règle s’ajoute en France : elles doivent être hébergées chez un hébergeur certifié HDS (hébergeur de données de santé). La plupart des plateformes grand public de création d’applications ne le sont pas. Si votre projet touche à la santé, même indirectement, comme un outil de prise de rendez-vous pour des praticiens, vérifiez ce point avant de collecter la moindre donnée. Une analyse d’impact (AIPD) peut aussi être nécessaire selon l’ampleur du traitement.

Et l’IA dans tout ça ?

Si votre application envoie des informations à un service d’IA, par exemple pour résumer un échange client ou rédiger une réponse, ces données quittent votre application. Vérifiez trois choses : que vous n’envoyez que le strict nécessaire, que le fournisseur n’utilise pas vos données pour entraîner ses modèles (une option souvent réglable dans les offres professionnelles), et que ce traitement apparaît dans votre registre et votre politique de confidentialité.

N’oubliez pas non plus l’outil qui a servi à construire l’application : évitez d’y coller de vraies données clients pendant vos tests. Utilisez des données fictives.

Si un incident survient

Une fuite, une suppression accidentelle ou un accès non autorisé aux données est une « violation de données ». Si elle présente un risque pour les personnes, elle doit être notifiée à la CNIL dans les 72 heures après en avoir pris connaissance, et les personnes concernées doivent être informées si le risque est élevé. Dans tous les cas, l’incident doit être consigné en interne. D’où l’importance de pouvoir repérer rapidement un problème, par exemple une clé API exposée.

Votre liste de vérification

Avant d’ouvrir votre application à de vrais utilisateurs :

• la liste des données collectées et de leurs durées de conservation est à jour ;
• les données sont hébergées dans l’Union européenne, ou le transfert est documenté ;
• les contrats de sous-traitance de chaque service sont acceptés et conservés ;
• une politique de confidentialité est accessible depuis l’application ;
• les cookies non essentiels attendent le consentement de l’utilisateur ;
• chaque utilisateur ne voit que ses propres données ;
• un compte peut être réellement supprimé ;
• les données de santé, si vous en traitez, sont chez un hébergeur certifié HDS.

En résumé

Une application créée avec l’IA est soumise au RGPD comme n’importe quel logiciel, et c’est vous qui en êtes responsable. Sachez quelles données vous collectez et où elles sont hébergées, liez-vous à vos sous-traitants par contrat, informez vos utilisateurs, sécurisez les accès et permettez l’exercice des droits. Pour les données sensibles, renforcez vos précautions, et pensez à l’hébergement HDS pour la santé. Le volet technique, comme les droits d’accès ou la suppression des comptes, se vérifie lors d’une relecture par un développeur. Dans le prochain article, nous verrons combien coûte une application créée avec l’IA une fois en ligne.