PME françaises et IA américaine : protégez vos données clients

67% des PME françaises utilisent déjà un outil d’IA, souvent sans mesurer le risque

Deux PME françaises sur trois utilisent au moins un outil d’IA, selon l’état des lieux publié par DFM.fr en 2025. Mais seulement 11% revendiquent un usage avancé. Ce déséquilibre révèle quelque chose de concret : la majorité des entreprises qui ont adopté l’IA bricolent encore. Personne n’a vraiment réfléchi à ce qui entre dans la machine.

L’Insee confirme la tendance. Dans son enquête publiée en 2024 (Insee Première n°2061), 10% des entreprises françaises de 10 salariés ou plus déclarent utiliser au moins une technologie d’IA – contre 6% en 2023. La progression existe. Mais l’écart entre ce chiffre institutionnel et les 67% mesurés sur le terrain montre quelque chose : beaucoup de dirigeants ignorent ce que leurs salariés utilisent vraiment.

Prenons un cas concret. Un comptable reçoit une base de données clients à analyser. Il copie-colle les colonnes dans ChatGPT pour gagner vingt minutes. Une assistante commerciale rédige un email de relance en y intégrant le prénom, l’entreprise et le contexte d’achat du client. Un responsable après-vente résume ses notes de réunion – avec les noms, les litiges en cours, les montants – dans un outil trouvé sur le web.

Où vont ces données ? Qui peut les lire ? Peuvent-elles servir à entraîner un modèle utilisé par des milliers d’autres entreprises ? Ces questions ne sont pas du domaine de la science-fiction. Et pour la grande majorité des PME françaises, personne n’y a encore répondu.

61% des salariés utilisent l’IA en dehors du cadre officiel : la shadow IA, bombe à retardement pour vos données

61% des collaborateurs français utilisent des outils d’IA en dehors du cadre officiel de leur entreprise, selon une étude Microsoft relayée en février 2026. Ce chiffre résonne fortement pour quiconque a connu la vague shadow IT des années 2010.

À l’époque, c’était Dropbox et les boîtes Gmail personnelles utilisées pour partager des fichiers professionnels. Les DSI criaient à la catastrophe, les salariés haussaient les épaules. Le résultat : des données d’entreprise dispersées sur des serveurs grand public, sans contrat, sans traçabilité. La shadow IA reproduit ce même schéma. Mais les risques sont bien plus lourds.

À lire aussi : Shadow AI en entreprise : le risque de conformité ignoré des DAF et DRH.

Dans une PME de 20 personnes, voici ce qui se passe probablement en ce moment :

• Un commercial résume ses appels clients sur Claude.ai pour alimenter son CRM plus vite
• Une RH utilise Gemini pour rédiger des fiches de poste – avec les fourchettes de salaires réelles
• Un développeur colle du code propriétaire dans GitHub Copilot sur son compte personnel gratuit
• Un dirigeant envoie un brouillon de proposition commerciale stratégique dans ChatGPT pour le « polir »

Chacun de ces actes pris seul semble anodin. Ensemble, ils constituent une fuite de données non déclarée, non encadrée, potentiellement non conforme au RGPD.

L’article 28 du RGPD ne prête pas à confusion : tout sous-traitant qui traite des données personnelles pour le compte d’une entreprise doit être encadré par un contrat spécifique, le DPA (Data Processing Agreement). Un outil gratuit sans DPA signé n’est pas RGPD-compatible. C’est aussi simple que ça.

ChatGPT, Copilot, Gemini : ce que les CGU vous font vraiment signer sur vos données

Avant de comparer les outils, une précision terminologique qui change tout. Les CGU distinguent généralement trois niveaux : l’entraînement du modèle global (vos données servent à améliorer l’IA pour tous les utilisateurs), la mémorisation conversationnelle (l’outil se souvient de vos échanges passés) et l’accès humain aux données (des employés peuvent relire vos conversations pour vérifier la qualité). Ces trois risques sont indépendants. Ils ne s’appliquent pas tous dans les mêmes conditions.

Mistral AI sort du lot : serveurs en Europe, politique d’entraînement restrictive, entreprise soumise au droit français et européen. Soyons honnêtes sur un point – ses performances restent inférieures à celles de GPT-4o sur certaines tâches complexes de raisonnement.

Même dans les versions payantes des outils américains, un problème structurel persiste. Le stockage temporaire aux États-Unis expose les données au Cloud Act, peu importe ce que disent les brochures commerciales sur les « serveurs européens ».

Sur le même sujet : AI Act et PME industrielles : la bombe à retardement des contrats B2B.

Le Cloud Act américain rend vos données clients accessibles aux autorités US, même stockées en Europe

Quelles alternatives européennes existent vraiment pour les PME qui veulent garder la main sur leurs données ?

Voici ce qui existe réellement – sans prétendre qu’on atteint la parité fonctionnelle avec les outils américains aujourd’hui.

• Mistral Le Chat Enterprise: hébergement européen, conformité RGPD plus solide, DPA disponible. Moins puissant que GPT-4o sur le raisonnement complexe, mais amplement suffisant pour la majorité des usages PME courants – rédaction, résumé, classification.
• OVHcloud AI / Scaleway: ces opérateurs français permettent de déployer des modèles open source sur une infrastructure entièrement européenne. C’est plus technique à mettre en place. Mais aucune donnée ne quitte l’UE.
• Modèles open source auto-hébergés (Llama de Meta, Mistral 7B): pour les PME disposant d’un minimum de ressources techniques, l’auto-hébergement devient la solution la plus souveraine. La donnée ne sort pas de l’entreprise. Il faut en revanche un administrateur système capable de maintenir l’infrastructure.
• Outils sectoriels conformes RGPD: plusieurs éditeurs français développent des solutions IA métier (juridique, RH, comptabilité) avec hébergement européen et contrats DPA intégrés. Moins polyvalents que les généralists. Mais conçus pour des usages précis.

Et le budget ? Le programme France 2030 et les aides BPI France couvrent partiellement les projets de structuration IA pour les PME, notamment la mise en conformité et le déploiement de solutions souveraines. Cela mérite une investigation avant d’investir.

Voici une règle de décision simple : si vos données sont publiques ou génériques, les outils américains en version pro avec DPA fonctionnent. Si vos données sont sensibles – clients, RH, finances, stratégie – adoptez Mistral, OVHcloud ou l’auto-hébergement. Si vos données sont critiques ou confidentielles, aucun outil cloud ne devrait les toucher.

Mon avis tranché : l’IA made in USA n’est pas l’ennemi, mais l’inconscience des dirigeants, si

Soyons directs. Interdire ChatGPT dans une PME sans proposer d’alternative crédible revient à demander à vos commerciaux de travailler sans téléphone. 44% de la population en âge de travailler en France a déjà utilisé l’IA au moins une fois en 2025 – la question n’est plus de savoir si vos salariés utilisent ces outils. Elle porte sur les conditions d’utilisation.

Le vrai problème n’est pas la nationalité de l’éditeur. C’est l’absence de gouvernance des données dans la majorité des PME françaises. Pas de registre de traitements à jour. Pas de politique IA écrite. Pas de formation des salariés. Pas de contrats DPA signés avec les fournisseurs. Cette situation est exposée juridiquement – et le sera de plus en plus.

Ma position est claire : adoptez une stratégie hybride assumée. Les outils américains performants pour tout ce qui est générique – brainstorming, rédaction sans données sensibles, veille, reformulation. Les outils européens ou auto-hébergés pour tout ce qui touche aux données clients, RH, finances et stratégie. Ce n’est pas du nationalisme technologique. C’est de la gestion de risque basique.

Et l’urgence est réelle. L’AI Act européen entre progressivement en application jusqu’en 2027, avec des obligations croissantes sur la transparence, la traçabilité et la conformité des systèmes d’IA. L’article 28 du RGPD, lui, s’applique maintenant. Aujourd’hui. Pas demain.

Les PME qui structurent leur gouvernance IA cette année partiront avec un avantage net sur celles qui découvriront le sujet lors d’un premier contrôle CNIL – ou pire, lors d’une fuite de données client rendue publique.