Dangers IA PME : les vrais risques pour vos données clients, en RGPD comme en nLPD

Dans toutes les entreprises que j'ai dirigées, la peur d'un nouvel outil arrivait avant la bonne question. Avec l'IA, c'est pareil. Les dangers ia pme sont réels, mais ils sont plus ordinaires qu'on le dit : des données clients au mauvais endroit, une erreur qu'on ne relit pas, un texte de loi mal lu. Voici comment les séparer du bruit, en RGPD comme en nLPD.

En bref. Le principal danger de l'IA pour une PME n'est pas l'IA elle-même, c'est son usage sans cadre. Quatre risques comptent vraiment : des données clients saisies dans un outil non maîtrisé, une erreur répétée à grande vitesse, l'absence de relecture humaine et une confusion entre RGPD (France) et nLPD (Suisse). Le reste fait surtout du bruit.

Dangers IA PME : l'IA n'est pas le danger, l'usage sans cadre l'est

Première chose : respirez. Un outil d'IA n'a pas d'intentions. Il ne vous veut ni du bien ni du mal. Il fait ce qu'on lui demande, avec les informations qu'on lui donne, et il le fait vite.

C'est cette vitesse qui change la nature du risque. Un collaborateur qui se trompe sur un courriel envoie un courriel faux. Un outil mal installé peut en envoyer deux cents avant la pause de midi.

Et la question n'est plus de savoir si vos équipes l'utilisent. Selon le baromètre France Num du 28 septembre 2026, 40 % des TPE-PME utilisent des solutions d'IA, soit 14 points de plus en un an, et 53 % des PME. Dans votre entreprise, quelqu'un s'en sert probablement déjà, avec ou sans votre accord.

Le vrai sujet, c'est donc : avec quelles données, sous quelle règle, et qui relit ?

Quels sont les vrais risques de l'IA pour une PME ?

J'en retiens quatre. Je les ai rencontrés ou je les ai vus venir, et ils ont un point commun : aucun n'est mystérieux.

1. Les données clients collées dans un outil gratuit. C'est le risque numéro un, et de loin. Un devis, un courriel de réclamation, une liste de contacts : on copie, on colle, on demande une reformulation. Le geste est banal. Mais vous ne savez plus où va cette donnée, qui y a accès, ni si elle sert à entraîner le modèle. Un outil gratuit et un outil sous contrat professionnel n'offrent pas les mêmes garanties. Cela se lit dans les conditions d'utilisation, pas dans la publicité.

2. L'erreur dupliquée à grande vitesse. Le danger de l'IA n'est pas qu'elle se trompe, les humains aussi. C'est la vitesse à laquelle elle reproduit l'erreur. Un mauvais tarif dans un modèle de devis, une mauvaise information dans une réponse automatique : tout part en série. D'où les garde-fous.

J'ai développé ce point dans Agents IA en entreprise : les risques et les garde-fous pour une PME.

3. L'absence de relecture humaine. Une IA écrit avec aplomb, y compris quand elle a tort. Si personne ne relit avant l'envoi, vous engagez votre signature sur un texte que vous n'avez pas lu. Juridiquement, la responsabilité reste la vôtre.

4. La confusion entre RGPD et nLPD. Dans le Grand Genève, beaucoup d'entreprises ont des clients des deux côtés de la frontière. Appliquer « le règlement » sans savoir lequel s'applique, c'est une façon de se tromper avec méthode. J'y reviens plus bas.

Les craintes qui font du bruit

Certaines peurs prennent beaucoup de place dans les conversations et très peu dans la réalité d'une PME.

• « L'IA va prendre le contrôle. » Dans un garage ou un cabinet d'architecte, votre problème est plutôt qu'elle rédige un mail un peu trop enthousiaste.
• « L'IA va remplacer mes équipes. » Ce n'est pas ce que je vois sur le terrain. Ce que je vois, c'est du temps rendu et de la fatigue mentale en moins sur les tâches répétitives.
• « Il vaut mieux tout interdire. » C'est la pire réponse, parce qu'elle n'empêche rien : elle pousse l'usage dans l'ombre, sur des comptes personnels, sans aucune règle.

J'ai développé ce point dans Interdire l'IA par peur : pourquoi la formation du dirigeant vaut mieux.

Une peur a son utilité : elle vous fait regarder. Mais elle ne remplace pas une règle écrite sur une page.

IA et RGPD en PME : ce que dit la CNIL

En France, la CNIL est claire sur la répartition des rôles. Dans ses questions-réponses sur l'IA générative, elle indique qu'en tant qu'utilisateur ou intégrateur, c'est à vous d'interroger le fournisseur sur la conformité de son système au RGPD. Elle recommande aussi d'éviter autant que possible la saisie de données personnelles.

Traduit au comptoir : vous ne pouvez pas dire « c'est l'outil qui a fait ». Vous restez le responsable de traitement des données de vos clients. Le fournisseur est un sous-traitant, et cela se règle par un contrat, pas par une impression de sérieux.

Précision : la page de la CNIL date de 2024 environ. Vérifiez toujours la version en ligne avant de vous appuyer dessus.

IA et nLPD : ce qui change côté Genève et Vaud

En Suisse, il n'existe pas de loi spéciale sur l'IA qui vous attende au tournant. Le Préposé fédéral à la protection des données (PFPDT) rappelle que la loi en vigueur depuis le 1er septembre 2023 s'applique directement aux traitements de données fondés sur l'IA (publication du 8 mai 2025). Pas de nouveau texte à attendre : les règles actuelles suffisent déjà.

Voici les différences que je garde en tête, de manière simplifiée.

La ligne qui me frappe le plus, c'est la troisième. En Suisse, le dirigeant peut être concerné personnellement. Ce n'est pas une raison de paniquer, c'est une raison de documenter ses choix.

Et l'un ne chasse pas l'autre. La nLPD ne remplace pas le RGPD : ce sont deux textes distincts. Une entreprise de Haute-Savoie qui sert des clients genevois, ou une entreprise vaudoise qui traite des données de résidents français, peut devoir tenir compte des deux. Je ne suis pas juriste : pour un cas précis, faites valider avec un avocat. Mais ma double maîtrise RGPD / nLPD me sert à poser les bonnes questions, et c'est déjà l'essentiel.

La grille : sept questions à vous poser sur chaque usage de l'IA

Pour chaque usage, posez-vous ces questions, dans l'ordre. Si vous butez sur une réponse, c'est que l'usage n'est pas prêt.

1. Quelle donnée entre dans l'outil ? Un texte neutre n'a rien à voir avec un nom, une adresse, un état de santé ou un chantier identifiable. Plus la donnée est personnelle, plus la barre monte. RGPD et nLPD : dans les deux cas, ce sont les données personnelles qui déclenchent les obligations.
2. L'outil est-il sous contrat professionnel, ou gratuit ? Lisez les conditions : qui est le fournisseur, où sont hébergées les données, que devient ce que vous saisissez. RGPD : le fournisseur est un sous-traitant, il faut un contrat. nLPD : même logique, avec un devoir de vérifier ses garanties, surtout si les données quittent la Suisse.
3. Le fournisseur réutilise-t-il mes données pour entraîner son modèle ? La réponse dépend de l'offre et des réglages. Ne la devinez pas, vérifiez-la.
4. Qui relit avant que cela parte ? Un nom, pas « l'équipe ». Un devis, un courriel, une réponse à un client : une personne vérifie, puis envoie.
5. Que se passe-t-il si cette erreur se répète cent fois ? C'est la question de la vitesse. Si la réponse vous fait grimacer, ajoutez un plafond, une validation ou une étape manuelle.
6. Mes clients sont-ils informés ? RGPD : information des personnes sur les traitements. nLPD : devoir d'informer lui aussi, et il vaut mieux l'écrire dans vos mentions plutôt que le découvrir lors d'une réclamation.
7. Qui est responsable chez moi, et qui peut tout arrêter ? Une personne désignée, et un moyen simple de couper l'automatisme si quelque chose déraille.

Une piste pour votre équipe. Imprimez ces sept questions et collez-les près du poste de travail. Pas de logiciel, pas de comité : une page, et l'habitude de la lire avant de brancher un nouvel outil.

Un exemple pour fixer les idées

Prenons un chauffagiste d'Annecy, volontairement illustratif. Il colle chaque jour dix courriels de clients dans un assistant gratuit pour gagner du temps sur les réponses. Chaque courriel contient un nom, une adresse, un numéro de téléphone.

Le calcul est simple : dix courriels par jour, sur environ 220 jours ouvrés, cela fait 2 200 fiches clients par an qui passent dans un outil dont il n'a jamais lu les conditions. Chaque geste est anodin. Cumulés, ils ne le sont plus.

La bonne version n'est pas d'arrêter. C'est de garder le gain de temps en changeant le cadre : un outil sous contrat professionnel, des courriels dépersonnalisés quand c'est possible, et une relecture avant l'envoi. C'est exactement ce que fait Eric chez Jour de Pluie, l'entreprise de piscines que j'ai dirigée avant lui : une IA prépare les devis depuis le chantier, et il n'a plus qu'à vérifier et envoyer. Le temps est gagné, la décision reste humaine.

Que faire lundi matin ?

Pas besoin d'un grand projet. Voici l'ordre que je recommande.

1. Faites l'inventaire des usages réels de l'IA chez vous, y compris ceux dont personne ne parle. Demandez-le sans reproche : l'objectif est de savoir, pas de punir.
2. Passez chaque usage dans la grille des sept questions.
3. Écrivez une règle d'une page : ce qui peut être saisi, ce qui ne le peut jamais, qui relit.
4. Faites installer au bon endroit ce qui doit l'être, plutôt que de laisser chacun bricoler dans son coin.

C'est la méthode que j'applique pour cadrer les dangers ia pme avant d'installer quoi que ce soit. Je la fais précéder d'un audit réalisé par un humain qui a dirigé une entreprise, parce qu'un risque se juge mieux quand on a déjà signé les contrats et répondu aux clients. C'était le cas à l'Hôtel Le Montbrillant, à Genève : audit d'abord, puis quatre automatisations en place, sans changer la façon de travailler de l'équipe.

J'ai développé ce point dans Audit IA pour une PME : contenu du rapport et prix.

Questions fréquentes

ChatGPT est-il conforme au RGPD pour une PME ?

Cela dépend de l'offre choisie, des réglages et de ce que vous y saisissez. Aucun outil n'est « conforme » en soi : c'est votre usage qui doit l'être. La CNIL demande à l'utilisateur d'interroger le fournisseur et d'éviter, autant que possible, la saisie de données personnelles.

Une IA peut-elle utiliser mes données clients pour s'entraîner ?

Cela peut arriver, selon les conditions de l'offre et les paramètres du compte. C'est pourquoi la question 3 de la grille existe. Lisez les conditions, vérifiez les réglages, et préférez un contrat professionnel dès que des données de clients sont en jeu.

Faut-il réaliser une analyse d'impact (AIPD) ?

Pas pour chaque usage. Elle s'impose quand un traitement présente un risque élevé pour les personnes, par exemple des données sensibles à grande échelle ou une évaluation automatisée des personnes. Un cabinet médical ou un service de recrutement doit donc se poser la question plus sérieusement qu'un commerce qui reformule ses fiches produits.

La nLPD est-elle plus stricte que le RGPD ?

Pas partout, mais elle est différente. Sur les sanctions, elle peut viser la personne responsable plutôt que l'entreprise seule. Sur d'autres points, le RGPD est plus détaillé. Retenez surtout que la loi suisse s'applique déjà à l'IA, sans attendre un texte spécifique.

La nLPD remplace-t-elle le RGPD pour les entreprises suisses ?

Non. Ce sont deux textes distincts. Une entreprise suisse qui traite des données de résidents de l'Union européenne peut devoir respecter les deux. Pour une situation transfrontalière précise, faites vérifier votre cas par un juriste.

---

Passer de la question à la décision

Avant de choisir un outil, il faut savoir où l'IA a sa place chez vous, avec quelles données et sous quelle responsabilité. L'audit IA Arborys le fait pour 240 € HT en France (250 CHF HT en Suisse) : un rapport personnalisé de 25 à 40 pages, livré sous 48 à 72 h, validé par un humain, satisfait ou remboursé sous 14 jours.

👉 Faire mon audit IA