RGPD et IA : un petit-déjeuner pour agir, Mois de l'ESS à Chambéry

L'intelligence artificielle occupe tout l'espace des conversations. Elle fait aussi passer au second plan les fondamentaux : répertorier les données personnelles que l'on détient, pourquoi, où elles sont stockées et qui y a accès.

Ces fondamentaux sont pourtant ceux du RGPD (Règlement européen sur la protection des données), adopté en 2016 et applicable depuis 2018. Pour les associations, les coopératives, les TPE et les PME, la question reste simple : où en êtes-vous, et par quoi commencer ?

Le rendez-vous : un petit-déjeuner pour faire le point

À l'occasion du Mois de l'ESS, France Active Savoie Mont-Blanc organise un petit-déjeuner RGPD, que j'animerai.

Je m'inscris sur la page de l'événement

Le format est court et concret. Il s'agit de repartir avec des réflexes simples à mettre en place dès la semaine suivante.

Pourquoi parler de données personnelles quand tout le monde parle d'IA ?

Parce que les deux sujets sont étroitement liés. Une structure qui ne sait pas quelles données elle détient ne sait pas non plus ce qu'elle expose quand elle utilise un nouvel outil, par exemple en copiant une liste de contacts dans un assistant d'IA.

Elle est aussi plus vulnérable face à une cyberattaque ou une défaillance informatique. Un fichier d'adhérent.es oublié sur un ancien disque, un accès jamais supprimé après le départ d'un.e bénévole ou d'un.e salarié.e : ces failles ordinaires sont celles qui coûtent cher en temps de gestion, en confiance et en relations avec vos partenaires, vos adhérent.es et vos équipes.

Le sujet concerne d'abord les personnes dont vous détenez les données : adhérent.es, bénévoles, salarié.es, bénéficiaires, client.es. Les protéger fait partie de la confiance qui fonde votre activité.

Concrètement, quelles situations sont concernées ?

Plus souvent qu'on ne le croit, car presque toutes les structures traitent des données personnelles :

• Le fichier adhérents ou clients : qui y a accès, combien de temps le conservez-vous, que se passe-t-il quand une personne quitte la structure ?
• Les photos et vidéos : une photo d'événement publiée sur les réseaux sociaux ou le site relève à la fois du droit à l'image et de la protection des données.
• Les prestataires : votre hébergeur, votre outil d'emailing, votre logiciel de paie ou de gestion traitent des données pour votre compte, et vous restez responsable de ce choix.
• Les outils du quotidien : messageries, tableurs partagés, et désormais outils d'IA.

Quels risques pour une structure de petite taille ?

Le RGPD s'applique à toutes les organisations, quelle que soit leur taille ou leur statut. Les associations n'y échappent pas.

La CNIL, l'autorité de contrôle, peut contrôler, mettre en demeure ou sanctionner. Les plafonds d'amende prévus par le règlement sont élevés, mais ils ne disent pas tout. Le risque le plus concret pour une petite structure est souvent la perte de confiance de ses membres, de ses financeurs ou de ses partenaires après un incident. À cela s'ajoutent le temps passé à gérer la crise et, en cas de fuite de données, l'obligation de la signaler dans des délais courts.

Le but n'est pas de s'alarmer, mais de travailler sur une mise en conformité étape par étape.

Et l'IA dans tout ça ?

Le règlement européen sur l'IA (« AI Act ») est entré en vigueur en 2024, avec une application progressive. Il n'a pas vocation à remplacer le RGPD : les deux textes se complètent. Si vous utilisez des outils d'IA avec des données de personnes, c'est d'abord le RGPD qui s'applique. Le petit-déjeuner sera l'occasion d'en dire un mot, sans perdre de vue l'essentiel : maîtriser les bases avant d'ajouter une couche d'outils.

Au programme du petit-déjeuner

1. Un rappel des définitions essentielles : donnée personnelle, traitement, responsable de traitement, sous-traitant.
2. Les risques à connaître pour votre structure.
3. Des conseils opérationnels pour déployer rapidement des mesures de sécurité minimales.

Pas besoin de connaissances juridiques préalables.

À retenir

S'inscrire au petit-déjeuner

L'inscription se fait auprès de France Active Savoie Mont-Blanc, organisateur de l'événement :

Je m'inscris sur la page de l'événement

Vous ne pouvez pas venir, ou vous avez une question précise sur votre structure ? Demander à être rappelé.e

Pour en savoir plus sur la conformité et la sécurisation de vos pratiques, découvrez notre expertise Droit commercial. Blue Avocat accompagne les structures de toute la zone d'intervention Auvergne-Rhône-Alpes et en France entière.

Toutes les publications

Avocate au barreau de Chambéry, j'accompagne depuis quinze ans les organisations en droit des affaires, y compris les structures de l'ESS, et en droit du numérique. Cet article donne un cadre général d'information. Il ne remplace pas une consultation adaptée à la situation de votre structure.