Aller au contenu
audit-ia-pme.frPré-audits IA pour les TPE et PME

Pré-audit · Vos clients, vos salariés et leurs données

Pré-audit PME : les données de vos clients et de vos salariés dans les outils d’IA

Fichier clients, courriels, CV, arrêts de travail : ce qui peut passer par un outil d’IA, et ce qui doit rester dans l’entreprise.

Dans une PME, les données personnelles sont partout : le fichier clients, les courriels, les dossiers des salariés. Ce pré-audit regarde ce qui en passe par les outils d’IA. Ce n’est pas un avis juridique ; pour ce seul sujet, audit-ia-rgpd.fr va plus loin.

10 questions. Pas de compte à créer, rien d’enregistré : vos réponses ne quittent pas votre ordinateur ou votre téléphone. Vous gardez le fichier, et vous seul décidez de le transmettre.

Avant de commencer

10 questions, une par écran, en mots simples. Répondez oui, non ou je ne sais pas ; si vous ignorez ce que font vos équipes, dites-le : c’est souvent le premier point à éclaircir.

Aucun compte, aucune sauvegarde : si vous quittez la page, tout s’efface. Téléchargez la synthèse avant de partir.

Le nom de votre organisation, ou un simple repère. Il n’apparaît que dans votre fichier.
  1. Question 1 sur 10

    Arrive-t-il que des extraits du fichier clients (noms, coordonnées, historique d’achats) soient copiés dans un assistant d’IA ?

    Pourquoi on vous demande ça. Un fichier clients est fait de données personnelles. Copié dans un outil d’IA, il sort de l’entreprise, aux conditions du fournisseur. Si vous ne savez pas, c’est la première question à poser à vos équipes.

    Pour comprendre : Reconnaître une donnée personnelle (Formation gratuite) ; Prévenir, sans affoler : quatre points d’attention et le geste qui protège (Agence IA Toulouse)

  2. Question 2 sur 10

    Quand vous utilisez l’IA pour répondre à un client, enlevez-vous d’abord son nom, son adresse et ses numéros (anonymiser) ?

    Pourquoi on vous demande ça. Retirer le nom, l’adresse, le numéro et le détail trop parlant avant de coller un texte : c’est le geste qui protège.

    Pour comprendre : Prévenir, sans affoler : quatre points d’attention et le geste qui protège (Agence IA Toulouse) ; Le RGPD en clair (Guide des outils)

  3. Question 3 sur 10

    Des documents de ressources humaines (CV, entretiens annuels, arrêts de travail) passent-ils par un outil d’IA ?

    Pourquoi on vous demande ça. Les données des salariés et des candidats sont des données personnelles, et un arrêt de travail est une donnée de santé, plus protégée encore.

    Pour comprendre : Les données sensibles (Formation gratuite)

  4. Question 4 sur 10

    Vos équipes utilisent-elles l’IA avec un compte payé et géré par l’entreprise, plutôt qu’avec leur compte personnel gratuit (offre professionnelle) ?

    Pourquoi on vous demande ça. Un compte gratuit personnel appartient au salarié : vous ne savez ni ce qui y est conservé, ni ce qu’il devient au départ de la personne.

    Pour comprendre : IA et données personnelles : que fait le fournisseur ? (Diagnostic IA)

  5. Question 5 sur 10

    Savez-vous combien de temps vos outils d’IA gardent ce que vous leur donnez, et comment l’effacer (durée de conservation) ?

    Pourquoi on vous demande ça. Historique des conversations, fichiers déposés : la durée de conservation dépend du fournisseur et des réglages.

    Pour comprendre : IA et données personnelles : combien de temps ? (Diagnostic IA)

  6. Question 6 sur 10

    Avez-vous une liste écrite de ce que vous faites des données de vos clients et de vos salariés, et les outils d’IA y figurent-ils (registre des traitements) ?

    Pourquoi on vous demande ça. Le registre est la liste de ce que l’entreprise fait des données personnelles. Il se tient simplement, et la CNIL explique comment.

    Pour comprendre : Le registre des activités de traitement (CNIL) ; Cartographier ses données personnelles (Formation gratuite)

  7. Question 7 sur 10

    Vos devis, vos contrats et votre site disent-ils aux personnes concernées que l’IA peut utiliser leurs données (mentions d’information) ?

    Pourquoi on vous demande ça. Clients et salariés doivent être informés de l’usage fait de leurs données. Une phrase claire vaut mieux qu’un long paragraphe.

    Pour comprendre : Les principes du RGPD et les droits des personnes (Formation gratuite) ; IA et données personnelles : information et droits (Diagnostic IA)

  8. Question 8 sur 10

    Un outil d’IA vous aide-t-il à trier des candidatures ou à évaluer des salariés ?

    Pourquoi on vous demande ça. Ces usages touchent des décisions sur des personnes : le RGPD les encadre, et le règlement européen sur l’IA les classe à haut risque.

    Pour comprendre : Gestion des risques liés à l’IA : par où commencer (Agence IA Toulouse) ; Les niveaux de risque de l’IA, du minimal à l’interdit (Formation gratuite)

  9. Question 9 sur 10

    Si un client ou un salarié vous demande ce que vous faites de ses données, savez-vous lui répondre ?

    Pourquoi on vous demande ça. Chacun peut demander l’accès à ses données, leur rectification ou leur effacement. La réponse est plus simple quand on sait où elles vont.

    Pour comprendre : Les principes du RGPD et les droits des personnes (Formation gratuite)

  10. Question 10 sur 10

    Avez-vous quelqu’un à qui poser vos questions sur les données personnelles : la personne chargée de ces questions (délégué à la protection des données), un juriste ou un avocat ?

    Pourquoi on vous demande ça. Ce pré-audit repère des questions ; il n’y répond pas juridiquement. Votre interlocuteur saura vous dire ce qui s’applique à votre PME.

    Pour comprendre : Gestion des risques liés à l’IA : par où commencer (Agence IA Toulouse) ; audit-ia-rgpd.fr : les pré-audits IA et données personnelles, plus détaillés (audit-ia-rgpd.fr)

Les dix points en bref

En bref, ce que ce pré-audit vérifie dans une PME, point par point :

  1. Le fichier clients reste hors des assistants d’IA.
  2. Les courriels sont anonymisés avant usage.
  3. Les documents RH restent hors des outils d’IA.
  4. Les comptes utilisés appartiennent à l’entreprise.
  5. La conservation des données est connue et réglée.
  6. Le registre existe et mentionne les outils d’IA.
  7. Vos mentions d’information parlent de l’IA.
  8. Aucun tri de candidatures ni évaluation de salariés par l’IA.
  9. Vous savez répondre aux demandes sur les données.
  10. Vous avez un interlocuteur pour les données personnelles.

Les sources officielles

Les textes officiels et les fiches publiques, pour ceux qui veulent vérifier ; pour votre cas précis, votre conseil habituel.

Adresses relevées le 10 novembre 2026.

Et après ?

Pour la suite, une seule chose : lancer la première action de la synthèse avec votre équipe. Puis, quand vous aurez un moment :

Pré-audit PME : le règlement européen sur l’IA dans votre entreprise