RGPD et IA en cabinet comptable : traiter les données RH de ses clients sans risque

Fuite de données personnelles vers des modèles tiers

Saisir des données salariales dans un outil d’IA cloud grand public (type ChatGPT), sans clause de confidentialité ni garantie contractuelle, revient à transférer des données personnelles hors du périmètre maîtrisé du cabinet. Pour le RGPD, cet outil devient un sous-traitant ultérieur : le cabinet ne peut pas y recourir sans l’autorisation écrite préalable de son client, et doit lui imposer les mêmes obligations que celles qu’il a lui-même acceptées. Si l’outil héberge les données hors de l’Union européenne, les règles du RGPD sur les transferts s’ajoutent. Un prompt mal paramétré peut suffire à exposer des bulletins de paie entiers.

Absence de base légale pour le traitement automatisé

Chaque traitement IA doit reposer sur l’une des six bases légales de l’article 6 du RGPD, dont le respect d’une obligation légale. C’est l’entreprise cliente, responsable de traitement, qui la détermine : le cabinet agit sur ses instructions documentées. Une analyse d’impact relative à la protection des données (AIPD) est obligatoire avant la mise en production dès que le traitement présente un risque élevé. La CNIL y range explicitement le profilage RH, par exemple un outil qui cherche à détecter et prévenir les départs de salariés.

Défaut de transparence envers les salariés concernés

L’article 22 du RGPD garantit à toute personne le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou l’affectant de manière significative de façon similaire. Les salariés des clients doivent être informés clairement lorsqu’un outil d’IA intervient dans le traitement de leurs données RH, qu’il s’agisse de calcul de variables ou d’analyse prédictive. Cette information incombe à l’entreprise cliente, en application des articles 13 et 14 du RGPD : le cabinet peut l’aider à la délivrer.

Encore faut-il que cette information parvienne réellement à chaque salarié. Avec le module Communication de Staff & Go, l’entreprise cliente diffuse sa note d’information à tous ses salariés ou à un groupe ciblé, dans un espace sécurisé où chacun retrouve les documents qui le concernent.

C’est aussi un enjeu de fidélité. Selon l’étude Staff & Go, 54 % des professionnels ont envisagé de changer de cabinet en moins d’un an, et ils attendent notamment plus de transparence sur l’usage de l’IA et des données sensibles. Le livre blanc sur la relation client en cabinet détaille ces motifs de départ.

Registre des traitements, DPO et durées de conservation : les fondamentaux à verrouiller

Avant d’intégrer l’IA, il que les fondamentaux de la conformité RGPD soient en place. La CNIL et l’Ordre des experts-comptables ont d’ailleurs noué un partenariat en 2020, renouvelé en 2024, pour accompagner les TPE et PME dans leur mise en conformité.

Construire un registre des traitements adapté aux missions sociales

Le registre doit couvrir chaque flux de données RH traité par le cabinet :

• collecte des DPAE à l’embauche
• édition et diffusion des bulletins de paie
• archivage des documents sociaux
• transmission aux organismes de mutuelle et de prévoyance

Les durées de conservation varient selon les documents : l’employeur conserve un double des bulletins de paie pendant cinq ans et, s’ils sont électroniques, en garantit la disponibilité pendant 50 ans ou jusqu’aux 75 ans du salarié. L’avis de réception de la DPAE se conserve jusqu’à l’accomplissement de la déclaration sociale prévue par le code de la sécurité sociale. Ce suivi rigoureux rejoint d’ailleurs les obligations légales du suivi du temps, souvent gérées en parallèle par les mêmes équipes RH.

Nommer un référent RGPD ou un DPO : critères de choix

La désignation d’un délégué à la protection des données (DPO) est obligatoire notamment lorsque les activités de base du cabinet consistent en un traitement à grande échelle de données sensibles, comme les données de santé. Pour les structures plus modestes, un référent interne formé, avec une fiche de poste documentée précisant son rôle et ses missions, constitue une alternative de bon sens, sans statut légal propre.

Sécuriser le traitement des données RH clients : outils et bonnes pratiques pour le cabinet

La conformité RGPD passe aussi par des choix techniques concrets : stockage sécurisé, signature électronique, distribution dématérialisée des bulletins. L’article 32 du RGPD impose des mesures de sécurité adaptées au risque, comme, selon les besoins, le chiffrement des données. Il ne fixe pas de lieu d’hébergement : choisir la France ou l’Union européenne reste un choix de prudence.