Protection des données
Outils d'IA et RGPD : ce qu'une PME de l'UE doit vérifier
Avant de confier des données clients à un outil d'IA : lieu de traitement, DPA, transferts et entraînement, comparés pour Chatbase, Sintra, Submagic et Taskade.
Mis à jour le 14 octobre 2026
Un outil d’IA qui répond à vos clients, leur écrit ou stocke leurs projets traite des données personnelles pour votre compte. Au regard du RGPD, vous en restez responsable. Cinq questions vous disent si un outil peut tout simplement servir à cela, et les réponses se trouvent dans les documents de l’éditeur, pas dans son marketing. Ce guide explique ce qu’il faut regarder ; ce n’est pas un conseil juridique.
Question 1 : l’éditeur signe-t-il un accord de traitement des données ?
Lorsqu’un prestataire traite des données personnelles pour vous, l’article 28 du RGPD exige un contrat qui l’oblige à suivre vos instructions : le DPA (accord de traitement des données). Sans lui, les données clients n’ont rien à faire dans l’outil. Cherchez une page intitulée « DPA » ou « Data Processing Addendum », généralement accessible depuis la politique de confidentialité ou le pied de page.
Question 2 : où les données sont-elles traitées ?
Un traitement hors de l’UE est autorisé, mais le transfert doit reposer sur une base légale : une décision d’adéquation (pour les États-Unis, un éditeur certifié selon le EU-US Data Privacy Framework) ou les clauses contractuelles types de l’UE (CCT, en anglais SCC). La politique de confidentialité ou le DPA indique le lieu et la garantie.
Question 3 : vos données servent-elles à entraîner des modèles d’IA ?
Les bons éditeurs disent clairement que le contenu des clients ne sert pas à entraîner des modèles, et que les fournisseurs d’IA auxquels ils font appel y sont tenus aussi.
Question 4 : qui sont les sous-traitants ?
La plupart des outils d’IA transmettent vos données à des fournisseurs de modèles (OpenAI, Anthropic, Google et d’autres) et à des hébergeurs. Une liste publiée des sous-traitants, avec un préavis avant tout changement, vous permet de voir qui d’autre manipule vos données, et de vous y opposer.
Question 5 : que deviennent les données quand vous partez ?
Vérifiez combien de temps les données sont conservées après la résiliation et si vous pouvez les supprimer ou les exporter.
Comparatif des quatre outils testés
| Critère | Chatbase | Sintra AI | Submagic | Taskade |
|---|---|---|---|---|
| Société | Chatbase Inc., États-Unis | playOS, Inc., États-Unis | TURBO STUDIO S.A.S., Paris | Taskcade Inc., États-Unis |
| Traitement | États-Unis (AWS) | États-Unis ou UE, plus les pays des sous-traitants | AWS États-Unis/UE ; la politique de confidentialité indique les États-Unis | États-Unis (AWS US-East) ; certains modèles d’IA via des fournisseurs en Chine |
| DPA pour les clients | Oui, s’applique automatiquement | Oui, s’applique dès l’utilisation | Courte clause de sous-traitance dans les conditions, pas de DPA séparé | Explicitement non proposé |
| Garantie de transfert | CCT dans le DPA | CCT dans le DPA | CCT | Aucune proposée aux clients |
| Entraînement sur vos données | Non, quelle que soit la formule | Les fournisseurs d’IA ne peuvent pas s’entraîner sur des données personnelles | Non abordé ; les fichiers envoyés peuvent servir à la promotion sauf refus de votre part | Fournisseurs contractuellement exclus ; aucune garantie donnée |
Sources : politique de confidentialité, DPA et page sécurité de chaque éditeur, vérifiés le 20 octobre 2026, et cités à la fin de chaque test.
Ce que cela signifie en pratique
- Chatbase a un DPA avec CCT qui s’applique automatiquement : un bot de support entraîné sur vos pages d’aide est donc envisageable, à condition que votre politique de confidentialité le mentionne. Voir le test de Chatbase (en anglais).
- Sintra AI a un DPA avec CCT, mais pas d’hébergement exclusivement dans l’UE ni de certificat SOC 2 ou ISO. Utilisez-le pour des brouillons marketing et des publications sur les réseaux sociaux, pas pour des fichiers clients. Voir le test de Sintra (en anglais).
- Submagic est une entreprise de l’UE avec des CCT, mais ne propose qu’une courte clause de sous-traitance dans ses conditions, pas de DPA séparé, et ne dit rien de l’entraînement des modèles. Convient pour vos propres vidéos marketing ; renseignez-vous avant d’envoyer des enregistrements de clients. Voir le test de Submagic (en anglais).
- Taskade indique dans sa politique de confidentialité qu’il ne signe ni DPA ni CCT, et certains modèles d’IA transmettent les requêtes à des fournisseurs en Chine. N’y mettez pas de données personnelles de clients. Voir le test de Taskade (en anglais).
Une courte checklist
- Des données personnelles de clients ou de salariés iront-elles dans l’outil ? Si non, l’essentiel de ce qui précède ne s’applique pas.
- Existe-t-il un DPA, et s’applique-t-il à votre formule ?
- Où les données sont-elles traitées, et sur quelle base légale sont-elles transférées ?
- Le contenu des clients est-il exclu de l’entraînement des modèles ?
- Existe-t-il une liste des sous-traitants ?
- L’outil est-il mentionné dans votre propre politique de confidentialité ?
En cas de doute, interrogez l’éditeur par écrit et conservez sa réponse. Si vous traitez des données sensibles, consultez un conseiller en protection des données avant de vous inscrire.