ClickUp AI et le RGPD / AI Act : la productivité augmentée, encadrée

Présentation de ClickUp AI

ClickUp est une plateforme américaine de gestion de travail (tâches, documents, objectifs). ClickUp Brain y apporte génération de contenu, résumés et recherche assistée.

Les données personnelles traitées

ClickUp AI traite les données de projet, documents et échanges (pouvant inclure des données RH/clients) et les données de compte. Éditeur américain : exposition au CLOUD Act ; vérifier l'entraînement.

Quels risques pour votre entreprise ?

Restitution selon les accès existants (sur-exposition), transferts hors UE et conservation sont les principaux risques.

Les principaux risques RGPD

• Point de vigilance n°1 : un assistant IA restitue les informations selon les droits d'accès existants. Des permissions trop larges (« over-sharing ») peuvent exposer à un salarié des documents RH, financiers ou confidentiels. La gouvernance des accès (principe du moindre privilège) est le préalable à tout déploiement.
• Transfert hors UE (CLOUD Act).
• Vérifier l'usage des données pour l'entraînement : privilégier les offres où le contenu client n'est pas utilisé pour entraîner les modèles, et le confirmer dans le contrat.
• Données de projet sensibles ; information des personnes.

Les obligations RGPD

1. Auditer les accès ; signer le DPA ; encadrer les transferts (SCC).
2. Vérifier l'entraînement ; minimiser ; définir la conservation.
3. Informer les personnes ; inscrire au registre ; AIPD si traitement à risque.
4. Encadrer les usages RH éventuels.
5. Impliquer le DPO ; former les équipes.

Les obligations AI Act

Les modèles mobilisés sont des GPAI (obligations fournisseurs depuis le 2 août 2025). Côté déployeur, la transparence (article 50) s'applique aux contenus générés destinés à être diffusés, et la littératie IA des équipes est requise (article 4, depuis le 2 février 2025). L'enjeu propre aux outils de productivité n'est pas tant la classification à haut risque que la gouvernance : un assistant qui accède à vos documents internes doit rester cantonné à un périmètre maîtrisé et supervisé. Un usage détourné vers l'évaluation des salariés basculerait, lui, dans le haut risque (Annexe III).

Les principaux risques AI Act

• Contenus diffusés non signalés (article 50).
• Usage RH détourné (haut risque).
• Absence de gouvernance des usages IA.

Les risques cybersécurité

• Sur-exposition via accès trop larges.
• Transfert hors UE.
• Prompt injection.
• NIS 2 selon la taille.

Les bonnes pratiques

• Auditer les accès ; encadrer les transferts ; vérifier l'entraînement.
• Minimiser ; charte IA ; conservation maîtrisée.
• Encadrer les usages RH ; registre, formation.

Checklist de conformité

• ☐ Audit des accès réalisé
• ☐ DPA + transferts encadrés (SCC)
• ☐ Entraînement vérifié/désactivé
• ☐ Minimisation des données
• ☐ Usage au registre
• ☐ AIPD si traitement à risque
• ☐ Pas d'usage RH détourné
• ☐ Personnes informées
• ☐ Équipes formées

Les sanctions possibles

Les régimes se cumulent. RGPD : jusqu'à 20 M€ ou 4 % du chiffre d'affaires mondial. AI Act : jusqu'à 35 M€ ou 7 % pour les pratiques interdites, 15 M€ ou 3 % pour un manquement à la transparence (article 50) ou aux obligations des fournisseurs GPAI, 7,5 M€ ou 1 % pour des informations inexactes aux autorités. La responsabilité de responsable de traitement demeure celle de l'entreprise utilisatrice, quelles que soient les garanties de l'éditeur.

Conclusion & recommandations d'expert

ClickUp AI accélère la productivité ; sa conformité tient à la gouvernance des accès, à l'encadrement des transferts et à la vérification de l'entraînement. Auditez, minimisez, documentez et formez. Proscrivez tout usage RH détourné.