Asana AI et le RGPD / AI Act : coordonner les équipes en conformité

Présentation de Asana AI

Asana est une plateforme américaine de gestion de projet. Asana Intelligence y ajoute résumés, génération de contenu, aide à la priorisation et analyses.

Les données personnelles traitées

Asana AI traite les données de projet (tâches, échanges, parfois données RH/clients) et les données de compte. Éditeur américain : exposition au CLOUD Act ; vérifier l'entraînement.

Quels risques pour votre entreprise ?

Restitution selon les accès (sur-exposition), transferts hors UE et conservation ; l'aide à la priorisation ne doit pas se transformer en évaluation des personnes.

Les principaux risques RGPD

• Point de vigilance n°1 : un assistant IA restitue les informations selon les droits d'accès existants. Des permissions trop larges (« over-sharing ») peuvent exposer à un salarié des documents RH, financiers ou confidentiels. La gouvernance des accès (principe du moindre privilège) est le préalable à tout déploiement.
• Transfert hors UE (CLOUD Act).
• Vérifier l'usage des données pour l'entraînement : privilégier les offres où le contenu client n'est pas utilisé pour entraîner les modèles, et le confirmer dans le contrat.
• Aide à la priorisation : ne pas dériver vers l'évaluation des salariés ; information des personnes.

Les obligations RGPD

1. Auditer les accès ; signer le DPA ; encadrer les transferts (SCC).
2. Vérifier l'entraînement ; minimiser ; définir la conservation.
3. Encadrer l'aide à la priorisation ; informer les personnes.
4. Inscrire au registre ; AIPD si traitement à risque.
5. Impliquer le DPO ; former les équipes.

Les obligations AI Act

Les modèles mobilisés sont des GPAI (obligations fournisseurs depuis le 2 août 2025). Côté déployeur, la transparence (article 50) s'applique aux contenus générés destinés à être diffusés, et la littératie IA des équipes est requise (article 4, depuis le 2 février 2025). L'enjeu propre aux outils de productivité n'est pas tant la classification à haut risque que la gouvernance : un assistant qui accède à vos documents internes doit rester cantonné à un périmètre maîtrisé et supervisé. Un usage détourné vers l'évaluation des salariés basculerait, lui, dans le haut risque (Annexe III).

Les principaux risques AI Act

• Contenus diffusés non signalés (article 50).
• Priorisation dérivant vers l'évaluation RH (haut risque).
• Absence de gouvernance des usages IA.

Les risques cybersécurité

• Sur-exposition via accès trop larges.
• Transfert hors UE.
• Prompt injection.
• NIS 2 selon la taille.

Les bonnes pratiques

• Auditer les accès ; encadrer les transferts ; vérifier l'entraînement.
• Cadrer l'aide à la priorisation (pas d'évaluation des personnes) ; minimisation.
• Charte IA ; registre, formation.

Checklist de conformité

• ☐ Audit des accès réalisé
• ☐ DPA + transferts encadrés (SCC)
• ☐ Entraînement vérifié/désactivé
• ☐ Priorisation cadrée (pas d'évaluation RH)
• ☐ Minimisation des données
• ☐ Usage au registre
• ☐ AIPD si traitement à risque
• ☐ Personnes informées
• ☐ Équipes formées

Les sanctions possibles

Les régimes se cumulent. RGPD : jusqu'à 20 M€ ou 4 % du chiffre d'affaires mondial. AI Act : jusqu'à 35 M€ ou 7 % pour les pratiques interdites, 15 M€ ou 3 % pour un manquement à la transparence (article 50) ou aux obligations des fournisseurs GPAI, 7,5 M€ ou 1 % pour des informations inexactes aux autorités. La responsabilité de responsable de traitement demeure celle de l'entreprise utilisatrice, quelles que soient les garanties de l'éditeur.

Conclusion & recommandations d'expert

Asana AI fluidifie la coordination ; veillez à ce que l'aide à la priorisation ne devienne pas une évaluation des salariés. Auditez les accès, encadrez les transferts, vérifiez l'entraînement et documentez. Formez vos équipes à un usage maîtrisé.