Protection des données · Luxembourg

L'IA conforme au RGPD au Luxembourg : ce que les petites équipes doivent vraiment maîtriser

Vous pouvez utiliser l'IA sous le RGPD. Le règlement a été conçu pour être neutre sur le plan technologique, et la CNPD le dit clairement. Le risque n'est pas l'IA elle-même ; c'est la destination de vos données quand vous l'utilisez, et votre capacité à montrer que vous gardez le contrôle. Cette page explique ce que cela signifie pour une petite organisation au Luxembourg, en langage clair, avec les sources en lien pour que vous puissiez nous vérifier.

Dernière mise à jour : novembre 2026

Commencer par la version courte Réserver un appel de pré-découverte

Notre recommandation n° 1

Changez de fournisseur d'IA, gardez vos outils

Si votre équipe utilise déjà des outils construits sur OpenAI ou Anthropic, le gain le plus rapide pour la protection des données est de les faire pointer vers un fournisseur d'inférence européen sans conservation des données. Nous recommandons Melious : une entreprise allemande qui exécute plus de 60 modèles open-weight dans des centres de données européens, ne journalise pas le contenu de vos invites ni des réponses, signe un accord de sous-traitance (DPA) et facture à l'usage à des prix abordables. C'est ce que nous utilisons nous-mêmes lorsqu'un travail touche à des données personnelles.

Comme Melious accepte les mêmes formats d'API qu'OpenAI et Anthropic, changer revient souvent à modifier une adresse et une clé plutôt qu'à adopter un nouvel outil. Nous pouvons vous accompagner pour remplacer l'adresse d'API (endpoint) d'OpenAI ou d'Anthropic dans chacun de vos outils actuels, et vous dire lesquels le permettent.

La version courte

Le RGPD ne régit pas spécifiquement l'intelligence artificielle, parce qu'il n'en a pas besoin. Si un outil d'IA touche à des données personnelles (un nom, une adresse courriel, un CV, un ticket de support, la photo d'une personne), les mêmes règles s'appliquent que pour tout autre logiciel : vous avez besoin d'une raison de traiter les données, vous devez en utiliser le moins possible, vous devez savoir où elles sont traitées, et les entreprises luxembourgeoises doivent pouvoir expliquer leurs choix si la CNPD (Commission nationale pour la protection des données) le demande.

Là où les petites équipes se retrouvent en difficulté, ce n'est pas évident : c'est la tuyauterie autour de leur usage de l'IA : un agent conversationnel SaaS qui s'entraîne sur ce que le personnel y colle, un outil hébergé aux États-Unis sans accord sur les données, ou un assistant documentaire qui indexe des fichiers que personne n'était censé conserver. Ce sont à la fois des problèmes d'architecture et de contrôle humain, et les deux ont de bonnes pratiques claires que vous pouvez appliquer.

La meilleure réponse à « où vont mes données » est une configuration d'IA où la réponse est « elles restent ici » : une infrastructure hébergée dans l'UE, ou vos propres serveurs, avec un contrat qui interdit l'entraînement sur vos données. C'est l'architecture que nous pouvons construire pour vous, et c'est pourquoi la protection des données n'est pas un supplément chez nous. C'est la valeur par défaut.

Ce que dit la CNPD

La CNPD publie son propre dossier thématique sur l'IA et la protection des données. Simplifié, il se résume à cinq questions auxquelles vous devriez pouvoir répondre pour tout outil d'IA que vous utilisez.

Pourquoi traitez-vous ces données, au juste ?

Tout usage de données personnelles exige une base légale au titre de l'article 6 : le consentement, un contrat, une obligation légale, ou un intérêt légitime que vous avez pesé face aux droits de la personne. Les orientations de la CNPD sont explicites : cela vaut « pour chaque traitement de données envisagé ». Un outil d'IA n'a pas d'exemption propre, pas même à des fins de test. Besoin de données pour tester ? Nous pouvons fournir de fausses données pour vérifier des flux de travail, de nouvelles fonctions d'IA ou des intégrations.

Utilisez-vous plus de données que la tâche n'en exige ?

La minimisation des données (article 5) signifie « adéquates, pertinentes et limitées à ce qui est nécessaire ». La CNPD note que c'est exactement là que les systèmes d'IA intégrés à de grandes bases de données d'entreprise peinent. Les petites équipes ont l'avantage inverse : avec moins de données, vous pouvez décider précisément ce que voit un assistant d'IA et ce qu'il ne touche jamais.

Où vont les données, et qui d'autre peut les voir ?

Tout fournisseur qui traite des données personnelles pour vous est un sous-traitant et exige un contrat écrit au titre de l'article 28. Si les données quittent l'UE, le chapitre V sur les transferts internationaux s'applique, et il vous faut un mécanisme reconnu (une décision d'adéquation ou des clauses contractuelles types accompagnées d'une évaluation du transfert). C'est la question du RGPD sur laquelle la plupart des outils d'IA grand public échouent pour un usage professionnel.

Les personnes sont-elles informées, et peuvent-elles s'opposer ?

La CNPD attend des organisations qu'elles « soient transparentes sur l'utilisation de l'IA » et qu'elles expliquent comment les données personnelles sont collectées et utilisées. Si un système d'IA prend seul une décision concernant quelqu'un, avec un effet juridique ou aussi significatif, l'article 22 lui donne le droit de ne pas y être soumis, sauf rares exceptions. Garder un humain dans la boucle est le moyen le plus simple de s'en tenir à distance.

Pouvez-vous montrer comment vous travaillez ?

La responsabilité (article 5, paragraphe 2) signifie pouvoir documenter les choix ci-dessus. Pour une petite équipe, cela veut dire un registre des activités de traitement au titre de l'article 30, une règle de conservation (la CNPD est claire : les données « ne peuvent pas être conservées indéfiniment »), et, lorsque l'usage de l'IA est susceptible d'engendrer un risque élevé pour les personnes, une analyse d'impact relative à la protection des données au titre de l'article 35. Pas un classeur de jargon administratif qui prend la poussière dans un tiroir ; quelques pages auxquelles vous vous référez vraiment pour l'habilitation du personnel, et que vous gardez à jour.

Rien de tout cela n'est propre au Luxembourg ; le RGPD est le même règlement pour toutes les entreprises qui servent des clients de l'UE. Ce qui est propre au pays, c'est l'autorité. La CNPD supervise le RGPD ici, et selon le projet de loi actuellement devant la Chambre, elle est aussi appelée à devenir l'autorité nationale pour le règlement IA : le même organisme regardera donc les deux versants de toute question d'IA qui pourrait vous être posée.

Où vont vos données avec quelques outils d'IA courants

C'est le vrai risque pour la conformité et la souveraineté européenne. Il existe trois grandes façons de faire tourner un modèle d'IA, et elles se situent à des distances très différentes du RGPD.

Outils SaaS grand public et hébergés aux États-Unis. L'offre ChatGPT, Gemini ou Copilot gratuite ou en abonnement grand public que la plupart des gens essaient en premier. Vos invites sont traitées hors de l'UE, peuvent servir à améliorer le modèle à moins que vous ne trouviez et ne changiez un réglage, et il n'y a aucun accord de sous-traitance entre vous et le fournisseur. Le rapport du groupe de travail ChatGPT du CEPD fait peser la responsabilité de la conformité au RGPD sur le fournisseur, pas sur la personne qui tape, mais cela ne vous aide pas : en tant qu'organisation, vous êtes le responsable du traitement des données de vos clients, et vous venez de les confier à une partie avec laquelle vous n'avez aucun contrat. Les offres professionnelles règlent la question du contrat et de l'entraînement, et certaines proposent désormais une résidence des données dans l'UE. Elles ne changent pas qui exploite en définitive le service, ni quelles lois peuvent en imposer l'accès (comme le CLOUD Act américain).

Modèles gérés hébergés dans l'UE. Des modèles open-weight comme Mistral ou Qwen, servis par un fournisseur européen sur une infrastructure européenne, sous un accord de sous-traitance qui interdit l'entraînement sur vos données. Rien ne quitte l'UE, le chapitre du RGPD sur les transferts ne s'applique pas, et le fournisseur est un sous-traitant sous contrat. Pour la plupart des petites équipes, c'est le choix proportionné : il coûte une fraction d'un abonnement par utilisateur et l'analyse de risque est courte.

Modèles open source auto-hébergés. Le modèle tourne sur du matériel que vous contrôlez, au Luxembourg ou dans un centre de données de l'UE que vous louez. Pas de sous-traitant, pas de transfert, et aucun tiers qui puisse être contraint de remettre quoi que ce soit. L'avis du CEPD sur les modèles d'IA admet qu'un modèle puisse être traité comme anonyme, au cas par cas, lorsque aucune donnée personnelle ne peut en être extraite, ce qui signifie que le fichier du modèle n'est pas le problème ; seul ce que vous lui donnez l'est. C'est la réponse la plus nette qui existe en matière de résidence des données, et pour les organisations qui traitent des données sensibles, c'est souvent la seule dont l'analyse d'impact est propre.

Notre position, que nous appliquons à notre propre travail : utiliser le meilleur modèle pour construire et pour les tâches qui n'impliquent ni données personnelles ni propriété intellectuelle véritablement unique, et faire passer tout ce qui implique des données personnelles par la deuxième ou la troisième option. Pour les ONG qui traitent des dossiers individuels, cela signifie généralement l'auto-hébergement. Pour les PME, l'hébergement dans l'UE suffit généralement. Le modèle est un outil ; c'est l'architecture autour de lui qui porte la conformité.

Une liste de contrôle pratique pour toute petite équipe au Luxembourg

Six points. Si vous pouvez tous les cocher, vous avez de l'avance sur la plupart des organisations de votre taille.

  1. Un accord de sous-traitance avec chaque fournisseur d'IA qui voit des données personnelles

    Lisez la clause d'entraînement et le lieu de stockage. Si l'un des deux est mauvais, c'est que l'offre est mauvaise, ou que l'entreprise ne convient pas pour fournir des services dans l'UE en tant que sous-traitant.

  2. Hébergé dans l'UE ou auto-hébergé partout où des données personnelles sont en jeu

    Cette seule décision supprime entièrement la question du transfert international, qui est la partie la plus difficile de l'évaluation à réussir.

  3. Aucune donnée personnelle dans les invites vers des outils grand public

    Noms, adresses, informations de santé, tout ce qui concerne une personne identifiable. Caviardez-les ou utilisez l'outil sous contrat. C'est la règle la plus souvent enfreinte, et la plus facile à corriger par le comportement ou par des garde-fous.

  4. Une note interne d'une page sur l'usage de l'IA

    Quels outils sont approuvés, ce qui peut y entrer, à qui s'adresser. Elle sert à la fois de preuve de responsabilité et de volet de la maîtrise de l'IA que le règlement IA exige depuis février 2025.

  5. Une règle de conservation pour tout ce que l'IA stocke

    Historiques de conversation, documents indexés, fichiers téléversés. Décidez combien de temps ils vivent et rendez la suppression automatique.

  6. Un humain relit tout ce qui touche une personne

    Les brouillons peuvent être automatisés. Les décisions sur l'embauche, la tarification, le crédit ou l'éligibilité exigent au minimum une personne qui peut passer outre le résultat, à la fois pour l'article 22 et parce que le résultat est parfois faux. Nous recommandons de ne pas utiliser ces outils pour ce type de décisions.

Agents conversationnels et RGPD

Un agent conversationnel face aux clients est l'usage de l'IA par lequel beaucoup de petites organisations commencent. C'est aussi un candidat idéal pour se retrouver en eaux troubles avec le RGPD. La conformité tient à trois facteurs.

Où va la conversation. Chaque message qu'un visiteur tape est une donnée personnelle dès qu'il contient quoi que ce soit d'identifiant, et les gens saisissent leur nom, leurs numéros de commande et leurs problèmes dans les fenêtres de discussion sans y penser. Si l'agent est une enveloppe autour d'un modèle hébergé aux États-Unis, chaque conversation est un transfert international. Un modèle hébergé dans l'UE ou auto-hébergé derrière la même fenêtre de discussion n'a pas ce problème, et le visiteur ne voit pas la différence.

Ce que vous dites aux gens. Votre notice de confidentialité doit couvrir l'agent conversationnel : son existence, ce qu'il collecte, sur quelle base et pour combien de temps. Par ailleurs, la règle de transparence du règlement IA, en vigueur depuis le 2 août 2026, exige que les personnes soient informées qu'elles parlent à une IA, sauf si c'est évident. Une phrase en haut de chaque conversation couvre les deux.

Ce que vous conservez. Les historiques de conversation sont utiles pour améliorer l'agent et dangereux à garder indéfiniment. Fixez une durée de conservation, retirez les identifiants de tout ce que vous gardez pour l'analyse, et ne réinjectez jamais des conversations brutes dans les données d'entraînement d'un modèle sans base (et consentement) pour le faire.

Le consentement est rarement la bonne base pour un agent de support : la personne est venue vous poser une question, et y répondre relève d'un intérêt légitime ou du contrat. Le consentement compte pour tout ce qui dépasse la conversation elle-même, comme l'utiliser à des fins de marketing ou de profilage. Gardez l'agent sur la seule tâche pour laquelle il a été construit et le tableau juridique reste plus simple.

Le lien avec le règlement IA de l'UE

Le RGPD concerne les données personnelles : pourquoi vous les avez, où elles vont, et ce que les personnes peuvent exiger de vous. Le règlement IA concerne les systèmes d'IA comme des produits : un usage donné est-il interdit, à haut risque, ou doit-il simplement être signalé. Les deux se recoupent dès qu'un système d'IA traite des données personnelles, ce qui arrive la plupart du temps, mais ils posent des questions différentes et appellent un travail différent.

Cette page couvre le côté données. Le côté produit, y compris les obligations de transparence qui s'appliquent depuis août 2026 et ce que « haut risque » signifie réellement pour une petite équipe, est sur notre page sur la conformité au règlement IA. Pour une vue d'ensemble de la façon dont les petites organisations d'ici adoptent l'IA, voir l'IA au Luxembourg. Si le coût vous freine, vous pouvez cofinancer votre premier projet d'IA grâce au dispositif public SME Packages.

Notre place

Nous ne sommes pas un cabinet d'avocats, et cette page est une aide pratique, pas un avis juridique. Ce que nous faisons, c'est la partie qui simplifie le tableau juridique : choisir et mettre en place les outils d'IA pour que la réponse à « où vont les données » soit une réponse que vous êtes heureux de donner. Une infrastructure hébergée dans l'UE, des modèles open-weight là où ils font l'affaire, l'auto-hébergement là où les données le justifient, et un contrat qui interdit l'entraînement sur vos données.

Pour une petite équipe, cela passe généralement par une courte conversation sur les données que vous détenez réellement, une décision sur laquelle des trois voies d'hébergement convient, et une mise en place qui garde la conformité par défaut plutôt qu'un projet auquel il faut penser. Si une question demande vraiment un avocat, nous vous le dirons et travaillerons aux côtés du vôtre.

Réserver un appel de pré-découverte

Le RGPD et l'IA au Luxembourg : questions fréquentes

Puis-je utiliser ChatGPT au travail au Luxembourg sous le RGPD ?

Oui, pour un travail qui n'implique aucune donnée personnelle, et avec prudence pour le reste. Les versions gratuites et grand public posent problème : les invites peuvent servir à entraîner le modèle et les données quittent l'UE. Les offres professionnelles, avec un accord de sous-traitance signé et l'interdiction d'entraînement, sont une autre conversation.

La question à poser n'est pas « ChatGPT est-il autorisé », mais « qu'est-ce que j'y saisis ». Rédiger un courriel générique ou résumer un rapport public n'implique aucune donnée personnelle et ne soulève aucune question de RGPD. Coller le nom d'un client, le CV d'un candidat ou les notes d'évaluation d'un salarié dans un agent conversationnel grand public, c'est transférer des données personnelles à un sous-traitant avec lequel vous n'avez aucun contrat, hébergé hors de l'UE. C'est cette partie que la CNPD vous demanderait d'expliquer. Si votre équipe utilise ces outils, la solution pratique est une courte règle interne sur ce qui peut y entrer ou non, et une offre professionnelle avec accord de sous-traitance pour tout ce qui touche de vraies personnes.

L'auto-hébergement de l'IA me rend-il automatiquement conforme au RGPD ?

Non. L'auto-hébergement règle les questions de transfert et de sous-traitant, qui sont les plus difficiles, mais le RGPD s'applique toujours à ce que vous faites des données : base légale, minimisation, durée de conservation et droits des personnes restent de votre ressort.

L'auto-hébergement est la réponse la plus nette à « où vont mes données », puisque la réponse devient « nulle part ». Il ne répond pas à « pourquoi traitez-vous cela », « combien de temps le gardez-vous » ni « quelqu'un peut-il demander ce que vous détenez sur lui ». Un assistant documentaire auto-hébergé qui indexe tous vos anciens courriels, y compris ceux que vous auriez dû supprimer il y a des années, a un problème de minimisation et de conservation, aussi souverain que soit le serveur. L'architecture supprime une catégorie de risque ; la note interne et la règle de conservation s'occupent du reste.

Ai-je besoin d'un accord de sous-traitance avec mon fournisseur d'IA ?

Si le fournisseur traite des données personnelles pour votre compte, oui : l'article 28 du RGPD exige un contrat aux clauses précises. La plupart des offres professionnelles ou entreprise d'IA en proposent un. Les offres grand public, en général, non, ce qui est la meilleure raison d'y laisser les données personnelles de côté.

Un accord de sous-traitance (DPA, pour data processing agreement) est le contrat qui fait d'un fournisseur votre sous-traitant plutôt qu'un tiers inconnu. Il précise ce qu'il peut faire des données, qu'il agit sur vos instructions, qu'il en assure la sécurité, et ce qui se passe lorsque vous cessez d'utiliser ses services. Selon l'article 28, l'accord doit exister avant le début du traitement. Pour les outils d'IA, vérifiez deux points : si vos données saisies peuvent servir à entraîner ou améliorer les modèles du fournisseur, et où les données sont stockées et traitées. Un accord de sous-traitance qui autorise l'entraînement sur vos données est un accord dont vous ne voulez probablement pas.

Puis-je saisir des données clients dans un outil d'IA ?

Seulement dans un outil que vous avez une base légale d'utiliser pour cette finalité, avec lequel vous avez un accord de sous-traitance, et qui garde les données là où vous pouvez en rendre compte. Pour la plupart des petites équipes, cela signifie un outil hébergé dans l'UE ou auto-hébergé, pas un agent conversationnel grand public.

Les données clients sont des données personnelles : tous les principes du RGPD s'appliquent. La finalité pour laquelle vous les avez collectées doit couvrir ce que fait l'IA, sinon il vous faut une nouvelle base. L'outil doit être un sous-traitant sous contrat. Les données doivent rester dans un lieu que vous pouvez documenter, et se limiter au minimum nécessaire à la tâche : un assistant de support qui répond à des questions sur une commande a besoin de la commande, pas de tout l'historique du client. Si l'outil prend seul des décisions concernant des personnes (tarification, éligibilité, présélection), l'article 22 ajoute des conditions, et garder un humain dans la boucle est généralement le moyen le plus simple de rester du bon côté.

Une IA hébergée dans l'UE suffit-elle, ou me faut-il mes propres serveurs ?

L'hébergement dans l'UE suffit pour la plupart des petites équipes : un fournisseur européen sous un accord de sous-traitance en bonne et due forme garde les données dans le champ du RGPD et évite entièrement la question du transfert. L'auto-hébergement est pour les organisations où même un fournisseur sous contrat est un risque de trop : dossiers sensibles, personnes vulnérables, juridictions hostiles.

La distinction porte sur qui d'autre peut voir les données. Avec un modèle géré hébergé dans l'UE, le fournisseur peut en principe y accéder, et il est tenu par contrat et par le droit de l'UE de ne pas en abuser. Avec un modèle open-weight auto-hébergé sur votre propre infrastructure, personne en dehors de votre organisation ne le peut. Pour une agence de marketing ou un cabinet comptable, l'hébergement dans l'UE est proportionné et bien moins cher à exploiter. Pour une organisation de défense des droits humains qui traite des témoignages, ou une clinique qui traite des données de santé, l'auto-hébergement est souvent la seule architecture dont l'analyse de risque est propre. Nous construisons les deux, et nous vous dirons laquelle votre situation justifie vraiment.

Quel est le lien avec le règlement IA de l'UE ?

Le RGPD régit les données personnelles ; le règlement IA régit les systèmes d'IA comme des produits, selon leur niveau de risque. La plupart des petites équipes rencontrent le règlement IA à travers les obligations de transparence (dire quand un agent conversationnel en est un, étiqueter les médias générés par IA) et le RGPD à travers la destination des données et leur raison d'être. Vous avez besoin des deux, et ils entrent rarement en conflit.

Les deux règlements se recoupent en un seul point : un système d'IA qui traite des données personnelles relève des deux. Le règlement IA demande si le système est interdit, à haut risque ou soumis à des règles de transparence. Le RGPD demande si les données personnelles qui le traversent sont traitées de façon licite. Au Luxembourg, les deux devraient relever de la même autorité, la CNPD, ce qui est une raison de les traiter comme une seule conversation de conformité plutôt que deux. Notre page sur la conformité au règlement IA couvre le côté produit ; cette page couvre le côté données.

Sources

Les déclarations réglementaires de cette page proviennent des sources primaires suivantes :

  • CNPD, IA et protection des données : quelles dispositions du RGPD respecter : cnpd.public.lu
  • CNPD, IA et protection des données : les règles du jeu : cnpd.public.lu
  • Avis 28/2024 du CEPD sur les modèles d'IA (anonymat des modèles, intérêt légitime) : edpb.europa.eu
  • CEPD, rapport du groupe de travail ChatGPT (mai 2024) : edpb.europa.eu
  • Règlement (UE) 2016/679 (RGPD), articles 5, 6, 22, 28, 30, 35 et chapitre V : eur-lex.europa.eu
  • Mise en œuvre du règlement IA au Luxembourg, projet de loi n°8476 : chd.lu

Contenu réglementaire revu pour la dernière fois le 29 septembre 2026. Cette page est une aide pratique, pas un avis juridique. Les orientations de la CNPD et du CEPD évoluent : consultez les sources en lien pour connaître la position actuelle avant de vous fier à une affirmation ici.

Vous ne savez pas où vont vos données aujourd'hui ?

C'est le point de départ normal. Un appel gratuit de 20 minutes pour recenser ce que votre équipe utilise déjà, où se trouvent les données personnelles, et quelle voie d'hébergement fait disparaître la question.

Réserver un appel de pré-découverte