Le 28 septembre 2026, le baromètre France Num confirme un basculement net : 40 % des TPE-PME utilisent désormais l’intelligence artificielle, contre moins de 15 % il y a deux ans (baromètre France Num, DGE, 28 septembre 2026). Mais 39 % d’entre elles ont déjà subi un incident cyber, et 53 % des dirigeants craignent de perdre ou de se faire voler leurs données. Le constat est clair. Ce qui change dès maintenant : coller un devis dans ChatGPT n’est plus un geste anodin. C’est un traitement de données qui engage votre responsabilité, RGPD compris.
Comment ça marchait avant
Avant cette bascule, l’IA générative restait un usage marginal en TPE-PME, testé par curiosité, sans règle écrite ni référent désigné. Rien n’était cadré. Les obligations RGPD et cyber se limitaient aux logiciels métiers déjà identifiés : comptabilité, CRM, paie. Le prompt tapé dans un chatbot échappait à toute cartographie, et personne ne se posait vraiment la question de ce qu’il devenait.
Il y a deux ans, moins de 15 % des TPE-PME françaises avaient touché à un outil d’IA générative. L’IA était un gadget de curieux, pas un outil de travail. Concrètement :
- aucune cartographie des outils utilisés par les salariés : le shadow IT existait déjà, mais personne ne le mesurait ;
- le RGPD s’appliquait aux logiciels connus, jamais aux prompts tapés dans un chatbot ;
- pas de ligne budgétaire ni de référent IA dans la quasi-totalité des TPE.
Résultat : un dirigeant interrogé aurait souvent répondu « chez nous, personne n’utilise vraiment l’IA »… en se trompant déjà.
Ce qui s’applique maintenant
Depuis le 28 septembre 2026, trois obligations concrètes s’imposent. D’abord le RGPD, dont le texte officiel est consultable sur le site de la CNIL : un prompt contenant un nom, un email ou un IBAN de client est un traitement de données qui engage le dirigeant. Ensuite l’AI Act européen (règlement UE 2024/1689, consultable sur EUR-Lex), dont les obligations de transparence montent en puissance pour les utilisatrices, pas seulement pour les éditeurs. Enfin les contrats fournisseurs, à relire ligne par ligne. Ne les survolez pas.
La CNIL le répète depuis longtemps, notamment dans ses recommandations sur l’IA générative : un nom associé à un email constitue une donnée personnelle, traitée par un outil tiers dans les mêmes conditions que n’importe quel logiciel métier. Si cet usage n’a jamais fait l’objet d’une évaluation, c’est le moment : voyez l’analyse d’impact des données pour comprendre ce que ça implique, et les missions du pia rgpd pour savoir qui, dans une petite structure, peut en porter la responsabilité.
Reste le point le plus concret : le contrat fournisseur. Chez ChatGPT comme chez Microsoft Copilot, la case « améliorer le modèle pour tous » est souvent activée par défaut dans les versions gratuites. Votre prompt peut nourrir l’entraînement du modèle, et ressortir, reformulé, ailleurs. C’est le vrai danger. Les versions Team, Enterprise, ou des offres comme Mistral AI et Azure désactivent ce partage. La différence de prix se justifie rarement autant qu’ici.
Côté incidents : 39 % des TPE-PME en ont subi un en 2026, et 65 % d’entre elles l’ont géré en interne, sans signalement à un organisme public (baromètre France Num, DGE, 28 septembre 2026). Pour signaler un incident ou obtenir un accompagnement, le dispositif national cybermalveillance.gouv.fr reste la référence officielle. Sans procédure écrite, ça devient un risque juridique en soi.
| Critère | Avant (avant 2026) | Après (depuis le 28/09/2026) |
|---|---|---|
| Taux d’adoption IA en TPE-PME | Moins de 15 % | 40 % |
| Cadre juridique appliqué | RGPD sur logiciels métiers uniquement | RGPD étendu aux prompts, AI Act en montée de charge |
| Données dans les prompts | Collées en clair, sans vigilance | Anonymisation recommandée avant tout prompt sensible |
| Position contractuelle | Compte gratuit par défaut, entraînement activé | Bascule vers offres pro désactivant l’entraînement |
| Gestion des incidents cyber | Peu mesurée, peu formalisée | 39 % d’incidents déclarés, 65 % gérés sans signalement |
Source : baromètre France Num, DGE, 28 septembre 2026.
Qui y gagne, qui y perd
Les TPE qui ont basculé vers une offre IA payante, avec contrat clair et cartographie des usages, limitent nettement leur exposition. Celles qui laissent chaque salarié coller des documents sensibles dans un compte gratuit personnel cumulent risque RGPD et risque cyber, souvent sans le savoir. Entre les deux, le salarié de bonne foi qui comble un manque d’outil officiel met l’entreprise en danger sans intention de nuire.
Premier profil gagnant : celui qui a pris cinq minutes pour désactiver le partage de données dans les paramètres, ou qui a payé l’abonnement pro. Le coût est réel. Mais il achète une tranquillité contractuelle que le gratuit ne donne jamais.
À l’opposé, le dirigeant qui ignore que son équipe utilise ChatGPT gratuit pour rédiger des devis ou préparer des courriers avec des données de paie. Le jour où une fuite survient, c’est lui qui répond, pas le salarié qui a collé le texte. Principe de base du RGPD, rappelé par la CNIL : la responsabilité du traitement remonte à l’entreprise.
Le cas intermédiaire mérite d’être nommé : le salarié qui colle par bonne foi, faute d’outil officiel fourni par l’entreprise. Il ne cherche pas à nuire, il veut juste aller plus vite. C’est souvent la vraie origine du shadow IA. D’ailleurs, seuls 11 % des TPE-PME ayant adopté l’IA s’en servent pour automatiser des tâches ; le reste reste sur des usages ponctuels de contenu ou de chatbot (baromètre France Num, DGE, 28 septembre 2026). Flemme, peur, ou personne qui n’a montré comment faire mieux : les trois explications circulent, et aucune n’est fausse.
Dernier cas, celui des indépendants en micro-entreprise. L’IA apporte un vrai gain de productivité sur la rédaction ou le premier jet d’un devis. Mais quand les projets se complexifient, la question du statut se pose différemment : rester en micro ou structurer en SASU devient un sujet propre à chaque activité, à examiner au cas par cas.
Ce qu’il faut refaire ou vérifier de son côté
Quatre actions gratuites et rapides suffisent pour cadrer l’essentiel, sans DSI ni budget : lister qui utilise quel outil, interdire le collage de données sensibles en clair, vérifier les paramètres de confidentialité, et tester une vraie restauration de sauvegarde. Aucune ne demande plus d’une heure.
Dans l’ordre :
- Réunissez l’équipe une heure et demandez, sans juger, qui utilise quel outil d’IA et pour quoi. C’est souvent la première surprise du dirigeant.
- Fixez une règle écrite : jamais de nom, d’IBAN, de numéro de sécurité sociale ou de contrat brut collé sans anonymisation préalable. Enlever le nom et l’adresse avant de traiter, les remettre après : trente secondes.
- Désactivez, dans les paramètres de chaque outil, le partage des données pour l’entraînement. Chez ChatGPT et Copilot, l’option se trouve en deux clics.
- Si l’usage professionnel dépasse l’anecdotique, basculez vers une offre payante (Team, Enterprise, Mistral AI, Azure).
- Testez vos sauvegardes. Une sauvegarde connectée au même réseau que vos postes ne sert à rien face à un rançongiciel : elle est chiffrée en même temps que le reste.
- Activez l’authentification multifacteurs partout, et sensibilisez au phishing généré par IA : plus de fautes, un ton calibré, parfois une voix de dirigeant imitée. Les fiches pratiques de cybermalveillance.gouv.fr détaillent chaque réflexe.
Les chiffres parlent d’eux-mêmes : 84 % des TPE-PME disent avoir déjà au moins une mesure de cybersécurité en place (baromètre France Num, DGE, 28 septembre 2026). Le problème n’est donc pas l’absence totale de protection. C’est la cohérence de l’ensemble.
Pour les structures qui emploient du personnel ou traitent des données à volume, il existe aussi des diagnostics ia cofinancés pour se faire accompagner sans tout financer seul. Et pour les organismes de formation, qui manipulent des données stagiaires souvent sensibles, les obligations des organismes formateurs rappellent un cadre antérieur à l’IA, mais qui s’applique directement aux nouveaux usages.
Rien de tout ça ne demande un budget DSI. Juste une heure de réunion, une règle écrite, et la volonté de regarder en face ce que fait vraiment l’équipe.