Audit RGPD en PME : les 6 points à vérifier, sans prestataire
Aucun texte n’oblige une entreprise à faire « un audit RGPD ». Ce que le règlement impose, c’est d’être en mesure de démontrer sa conformité à tout moment. L’audit n’est qu’un moyen — et vous pouvez en faire l’essentiel vous-même, en une journée.
À jour au 22 septembre 2026 — RGPD & PME
Check-list gratuite. Faites le point en 15 minutes sur les 10 points AI Act et RGPD à vérifier dans votre PME. Ouvrir la check-list →
Ce que la loi demande réellement
Le RGPD ne parle d’audit que pour trois choses : les contrôles de vos sous-traitants (article 28, paragraphe 3, point h), les missions du délégué à la protection des données (article 39) et les pouvoirs de l’autorité de contrôle (article 58). Il n’impose nulle part à une entreprise de faire auditer sa propre conformité. Ce qui y figure, c’est le principe de responsabilité de l’article 5, paragraphe 2 : le responsable du traitement « est responsable du respect » des principes de protection des données « et est en mesure de démontrer que celui-ci est respecté ». L’article 24 ajoute qu’il met en œuvre des mesures « appropriées » pour s’en assurer, et qu’il les réexamine.
Autrement dit : personne ne vous demandera un rapport d’audit. On vous demandera des preuves. Un audit, c’est simplement la méthode qui permet de savoir si vous en avez.
Les quatre documents, déjà rédigés. Le kit de conformité AI Act réunit la politique d’usage, le registre des systèmes d’IA, le journal des usages sensibles et la note d’information au personnel. Vous saisissez vos informations, chaque document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF.
Essayer un des quatre documents — remplir et voir le résultat →
Facture fournie. Remboursement sous 14 jours, sans justification.
Les six points à vérifier
1. Le registre des traitements
C’est la pièce maîtresse, et celle qui manque le plus souvent. L’article 30 impose de tenir un registre des activités de traitement : finalités, catégories de personnes et de données, destinataires, transferts hors Union, durées de conservation, mesures de sécurité.
Attention à une idée reçue. L’article 30, paragraphe 5, prévoit une dérogation pour les organismes de moins de 250 salariés — mais elle ne s’applique pas si le traitement est susceptible de comporter un risque, s’il n’est pas occasionnel, ou s’il porte sur des données sensibles. La CNIL le formule clairement : « en pratique, cette dérogation est donc limitée à des cas très particuliers ». La paie, la gestion des clients et celle des fournisseurs ne sont pas occasionnelles. Pour une PME ordinaire, le registre est donc obligatoire.
Voir notre modèle de registre des systèmes d’IA, qui s’articule avec le registre RGPD.
2. La base légale de chaque traitement
L’article 6 en prévoit six : consentement, contrat, obligation légale, intérêts vitaux, mission d’intérêt public, intérêt légitime. Chaque traitement doit reposer sur l’une d’elles, et une seule à la fois. L’erreur classique consiste à invoquer le consentement pour ce qui relève en réalité de l’exécution du contrat — et à se retrouver démuni le jour où la personne le retire.
3. L’information des personnes
Les articles 13 et 14 fixent ce qu’il faut dire aux personnes concernées, et quand : identité du responsable, finalités, base légale, destinataires, durée de conservation, droits, réclamation auprès de la CNIL. Sur un site, cela se traduit par une politique de confidentialité à jour. Dans un contrat de travail ou un formulaire, par une mention claire.
4. Les droits et les délais
Accès, rectification, effacement, limitation, portabilité, opposition (articles 15 à 21). Le point à vérifier n’est pas seulement de savoir si ces droits existent, mais si quelqu’un, chez vous, saurait quoi faire en recevant la demande. L’article 12, paragraphe 3, donne un mois pour répondre, prolongeable de deux mois en cas de complexité, à condition d’en informer la personne dans le premier mois.
5. Les sous-traitants et les transferts
L’article 28 exige un contrat écrit avec chaque sous-traitant — votre hébergeur, votre logiciel de paie, votre outil de messagerie, votre CRM. Faites la liste : elle est presque toujours plus longue que prévu.
Si l’un d’eux est établi hors de l’Union européenne, il faut une base pour le transfert : décision d’adéquation, clauses contractuelles types de l’article 46, ou autre garantie du chapitre V. Voir ce qu’il faut vérifier avant d’utiliser une IA américaine et les clauses à prévoir avec vos prestataires.
6. La sécurité et la procédure en cas de violation
L’article 32 impose des mesures techniques et organisationnelles appropriées afin de garantir « un niveau de sécurité adapté au risque ». Pour une PME, cela veut dire des choses concrètes : qui a accès à quoi, comment les accès sont retirés quand quelqu’un part, où sont les sauvegardes, si elles ont déjà été testées.
L’article 33 impose de notifier une violation à la CNIL dans les 72 heures après en avoir pris connaissance, sauf si elle est peu susceptible d’engendrer un risque. L’article 34 ajoute l’information des personnes lorsque le risque est élevé. Ce qui se prépare à l’avance, c’est la procédure : qui appelle qui, et avec quelles informations. Voir ce qu’il faut faire en 72 heures.
Faut-il une analyse d’impact ?
L’article 35 la rend obligatoire lorsqu’un traitement est « susceptible d’engendrer un risque élevé », en particulier en cas d’évaluation systématique fondée sur un traitement automatisé, de traitement à grande échelle de données sensibles, ou de surveillance systématique à grande échelle d’une zone accessible au public. La CNIL publie une liste de traitements pour lesquels elle est requise. Voir Outil d’IA : quand l’AIPD est-elle obligatoire ?
Ce que l’audit doit ajouter depuis 2026
Le RGPD ne suffit plus à lui seul. Depuis le 2 février 2025, l’article 4 de l’AI Act impose aux entreprises qui utilisent des systèmes d’IA de prendre des mesures pour favoriser le développement de la maîtrise de l’IA de leur personnel (rédaction issue du règlement (UE) 2026/1744). Garder une trace de ces mesures n’est pas exigé par le texte, mais c’est utile pour pouvoir les montrer. Depuis le 2 août 2026, l’article 50 impose au fournisseur de concevoir l’agent conversationnel de manière que la personne sache qu’elle parle à une machine (paragraphe 1) et de marquer les contenus générés (paragraphe 2). Le déployeur, lui, doit signaler les hypertrucages et les textes publiés pour informer le public (paragraphe 4). Votre travail consiste donc à vérifier que votre éditeur le fait, et que la mention s’affiche bien chez vous.
Concrètement, un point RGPD mené en 2026 doit désormais inclure trois questions de plus : quels outils d’IA sont utilisés, qui a été informé de quoi et quand, et ce qui est affiché aux personnes. Le cadre complet est dans notre guide de l’AI Act.
Faut-il passer par un prestataire ?
Pas nécessairement. Pour une entreprise de moins de cinquante personnes dont les traitements sont classiques — paie, clients, fournisseurs, site vitrine — l’essentiel du travail consiste à écrire ce que vous faites déjà, et à corriger deux ou trois manques. Un prestataire devient utile quand les traitements sortent de l’ordinaire : données de santé, profilage, surveillance, transferts complexes, ou lorsque vous devez désigner un délégué à la protection des données.
Sur ce dernier point, voir Faut-il un DPO quand on utilise l’IA en PME ? — l’article 37 ne fixe aucun seuil d’effectif.
En résumé
- Aucune obligation d’audit : une obligation de pouvoir démontrer, à tout moment.
- Le registre des traitements est le point de départ, et la dérogation « moins de 250 salariés » ne joue presque jamais.
- Une base légale par traitement, une information claire, une procédure pour les droits.
- Un contrat écrit avec chaque sous-traitant, une base pour chaque transfert hors Union.
- 72 heures pour notifier une violation : la procédure se prépare avant.
- Depuis 2026, ajoutez l’inventaire des outils d’IA, la trace des actions de formation et les mentions de transparence.
Pour aller plus loin. Le kit de conformité AI Act réunit quatre documents à compléter : politique d’usage de l’IA, registre des systèmes d’IA, journal des usages sensibles et note d’information au personnel.
À lire ensuite
Sources : règlement (UE) 2016/679 (articles 5, 6, 12 à 22, 24, 28, 30, 32 à 35, 37, chapitre V) ; CNIL, « Le registre des activités de traitement » ; règlement (UE) 2024/1689 (articles 4 et 50), modifié par le règlement (UE) 2026/1744 du 8 juillet 2026.
Rédigé par Adrien Bano, fondateur d’IA en Règle. Nous ne sommes pas avocats : cet article a été préparé avec l’aide d’outils d’IA et vérifié sur les textes officiels cités.
Cet article a un but d’information générale, établi d’après les textes en vigueur au 22 septembre 2026 ; il ne constitue pas un conseil juridique.
