Quelle IA choisir en conformité RGPD / AI Act ?
Hébergement, entraînement sur vos données, DPA, transferts hors UE et verdict : notre analyse comparative de 70 outils d'IA — assistants généralistes, comptables/ERP, CRM/prospection/support, vidéo générative, marketing & contenu, chatbots de support, productivité, RH/paie et réunions/transcription — au regard du RGPD et de l'AI Act.
Aucune IA n'est « conforme par magie » : la conformité dépend de la version utilisée, des données saisies et de la gouvernance mise en place. Ce comparatif classe chaque outil selon son cadre de conformité par défaut. Cliquez sur une ligne pour accéder à l'analyse détaillée (données traitées, obligations RGPD, AI Act, cybersécurité, sanctions et checklist).
Assistants IA généralistes
ChatGPT, Copilot, Gemini, Claude, Mistral, Perplexity, Meta AI, Grok, DeepSeek
| Outil | Éditeur | Hébergement | Entraînement / données | Verdict | |
|---|---|---|---|---|---|
| ChatGPT | OpenAI (US) | États-Unis (CLOUD Act) | Oui (gratuit) · Non (pro) | Sous conditions Version Team/Enterprise + DPA | |
| Microsoft Copilot | Microsoft (US) | EU Data Boundary | Non (365) | Bon cadre La plus « entreprise-ready » (365) | |
| Google Gemini | Google (US) | US · options UE | Non (Workspace) | Sous conditions Workspace + DPA | |
| Claude | Anthropic (US) | États-Unis (CLOUD Act) | Non (offres pro) | Bon cadre Offres commerciales + DPA | |
| Mistral Le Chat | Mistral AI (FR) | Union européenne | Non (pro) · Oui (gratuit) | Recommandé Alternative souveraine (offre pro) | |
| Perplexity | Perplexity (US) | États-Unis (CLOUD Act) | Non (Enterprise Pro) | Sous conditions Enterprise Pro uniquement | |
| Meta AI | Meta (US) | États-Unis (CLOUD Act) | Oui (opt-out) | Prudence Opt-out à exercer, base légale fragile | |
| Grok | xAI (US) | États-Unis (CLOUD Act) | Oui par défaut (X) | À éviter Enquêtes DPC en cours | |
| DeepSeek | DeepSeek (CN) | Chine (pas d’adéquation) | Oui | À proscrire Bloqué en Italie, serveurs en Chine |
Outils IA métier, comptables & ERP
Pennylane, Spendesk, SAP Joule, Sage Copilot, Xero, QuickBooks, Oracle Fusion AI, Expensify
| Outil | Éditeur | Hébergement | Point de vigilance clé | Verdict | |
|---|---|---|---|---|---|
| Pennylane | Pennylane (FR) | UE · ISO 27001 | Secret professionnel à encadrer | Recommandé | |
| Spendesk | Spendesk (FR) | Union européenne | DORA si prestataire financier | Bon cadre | |
| SAP Joule | SAP (DE) | UE (options à activer) | Gouvernance des accès finance/RH | Bon cadre | |
| Sage Copilot | Sage (UK) | Royaume-Uni (adéquation) | Données de paie très sensibles | Sous conditions | |
| Xero (JAX) | Xero (NZ) | NZ (adéquation) · multi-régions | Vérifier l’hébergement réel | Sous conditions | |
| QuickBooks | Intuit (US) | États-Unis (CLOUD Act) | SCC + alternative souveraine | Sous conditions | |
| Oracle Fusion AI | Oracle (US) | US · régions UE | CLOUD Act + accès de support | Sous conditions | |
| Expensify | Expensify (US) | États-Unis (CLOUD Act) | Shadow AI (comptes individuels) | Sous conditions |
Verdicts éditoriaux Data Comply One — la conformité effective dépend de la version choisie, du DPA signé, de l'encadrement des transferts et de votre gouvernance interne.
Outils IA CRM, prospection & support
HubSpot, Salesforce, Zoho, Pipedrive, Apollo, Outreach, Gong, Clari, Zendesk, Freshworks
| Outil | Éditeur | Hébergement | Point de vigilance clé | Verdict | |
|---|---|---|---|---|---|
| Pipedrive AI | Pipedrive (EE/UE) | UE (à confirmer) | Shadow AI + localisation à vérifier | Bon cadre | |
| HubSpot Breeze | HubSpot (US) | UE (Francfort) | Opt-in téléphonique 2026 + art. 14 | Sous conditions | |
| Zoho Zia | Zoho (IN) | Data centre UE | Activer l’UE + scoring de leads | Sous conditions | |
| Salesforce Agentforce | Salesforce (US) | UE (Hyperforce) | Autonomie des agents + Trust Layer | Sous conditions | |
| Salesforce Einstein | Salesforce (US) | UE (Hyperforce) | Profilage / scoring (art. 22) | Sous conditions | |
| Clari | Clari (US) | États-Unis (CLOUD Act) | Prévision + Copilot (appels) | Sous conditions | |
| Zendesk AI | Zendesk (US) | États-Unis (CLOUD Act) | Transparence chatbot (art. 50) | Sous conditions | |
| Freshworks Freddy | Freshworks (multi-régions) | UE (à activer) | Transparence chatbot + localisation | Sous conditions | |
| Apollo | Apollo (US) | États-Unis (CLOUD Act) | Info indirecte art. 14 (le + sensible) | Prudence | |
| Outreach (Kaia) | Outreach (US) | États-Unis (CLOUD Act) | Enregistrement d’appels + consentement | Prudence | |
| Gong | Gong (US) | États-Unis (CLOUD Act) | Enregistrement + analyse RH | Prudence |
Prospection : la loi n° 2025-594 du 30 juin 2025 fait basculer le démarchage téléphonique B2C en opt-in au 11 août 2026. Les outils manipulant des données de tiers (Apollo) ou enregistrant des appels (Gong, Outreach) exigent une vigilance renforcée (article 14, consentement).
Génération vidéo & deepfakes
Synthesia, HeyGen, Sora, Veo, Runway, Pika
| Outil | Éditeur | Hébergement / marquage | Point de vigilance clé | Verdict | |
|---|---|---|---|---|---|
| Synthesia | Synthesia (UK) | UK (adéquation) | Avatars : droit à l’image + marquage | Sous conditions | |
| Veo (Google) | Google (US) | US · SynthID natif | Divulgation deepfake (art. 50) | Sous conditions | |
| Runway | Runway (US) | États-Unis (CLOUD Act) | Personnes réelles : consentement | Sous conditions | |
| Sora | OpenAI (US) | US · provenance C2PA | Prototype du risque deepfake | Prudence | |
| HeyGen | HeyGen (US) | États-Unis (CLOUD Act) | Clonage vocal : anti-usurpation | Prudence | |
| Pika | Pika (US) | États-Unis (CLOUD Act) | Viralité réseaux + shadow AI | Prudence |
Vidéo générative : l'article 50 de l'AI Act (applicable au 2 août 2026) impose le marquage et la divulgation des deepfakes ; représenter une personne réelle exige son consentement (droit à l'image, articles 226-8 et 226-8-1 du code pénal).
IA marketing & création de contenu
Brevo, Writer, Adobe Firefly, Jasper, Mailchimp, Hootsuite, Canva, Buffer, Copy.ai
| Outil | Éditeur | Hébergement | Point de vigilance clé | Verdict | |
|---|---|---|---|---|---|
| Brevo | Brevo (FR) | Union européenne | Consentement e-mailing + scoring de contacts | Recommandé | |
| Writer | Writer (US) | États-Unis (CLOUD Act) | Non-entraînement clients (posture entreprise) | Bon cadre | |
| Adobe Firefly | Adobe (US) | US · Content Credentials (C2PA) | Entraînement sous licence + droit à l’image | Sous conditions | |
| Jasper | Jasper (US) | États-Unis (CLOUD Act) | Offre entreprise + DPA + non-entraînement | Sous conditions | |
| Mailchimp | Intuit (US) | États-Unis (CLOUD Act) | Transferts contacts USA : DPA + SCC | Sous conditions | |
| Hootsuite | Hootsuite (CA) | Canada (adéquation) | Données d’audience réseaux sociaux | Sous conditions | |
| Canva Magic Studio | Canva (AU) | Australie (pas d’adéquation) | Localisation à encadrer + shadow AI | Sous conditions | |
| Buffer | Buffer (US) | États-Unis (CLOUD Act) | Shadow AI (comptes individuels) | Sous conditions | |
| Copy.ai | Copy.ai (US) | États-Unis (CLOUD Act) | Prospection GTM : base légale + art. 14 | Prudence |
Marketing : l'e-mailing et la prospection restent soumis au consentement (RGPD/e-Privacy) et à l'information des personnes (article 14). Les images générées relèvent du droit à l'image et du marquage des contenus IA. Privilégiez les éditeurs européens (Brevo) ou les offres entreprise avec DPA et non-entraînement.
Support client & chatbots IA
Crisp, Tidio (Lyro), Intercom Fin, Freshdesk Freddy, Drift
| Outil | Éditeur | Hébergement | Point de vigilance clé | Verdict | |
|---|---|---|---|---|---|
| Crisp | Crisp (FR) | Union européenne | Transparence chatbot (art. 50) + escalade | Recommandé | |
| Tidio (Lyro) | Tidio (PL) | UE (à confirmer) | Chatbot e-commerce : transparence | Bon cadre | |
| Intercom Fin | Intercom (IE) | UE (option à activer) | Agent autonome : supervision + entraînement | Sous conditions | |
| Freshdesk Freddy | Freshworks (multi-régions) | UE (à activer) | Région UE + transparence chatbot | Sous conditions | |
| Drift | Drift (US) | États-Unis (CLOUD Act) | Captation de leads + prospection + transferts | Prudence |
Support : l'article 50 de l'AI Act impose qu'un chatbot ou agent IA se signale comme tel, avec possibilité d'escalade humaine. Les conversations contiennent souvent des données sensibles : minimisation, supervision et hébergement UE sont déterminants.
Productivité, collaboration & documents IA
Monday AI, Box AI, Slack AI, Notion AI, ClickUp AI, Asana AI, Dropbox Dash
| Outil | Éditeur | Hébergement | Point de vigilance clé | Verdict | |
|---|---|---|---|---|---|
| Monday AI | Monday.com (IL) | Israël (adéquation) | Adéquation Israël + gouvernance des accès | Bon cadre | |
| Box AI | Box (US) | US · résidence à vérifier | Gouvernance native + non-entraînement | Bon cadre | |
| Slack AI | Slack / Salesforce (US) | États-Unis (CLOUD Act) | Gouvernance des accès + non-entraînement | Sous conditions | |
| Notion AI | Notion (US) | États-Unis (CLOUD Act) | Accès aux documents + entraînement | Sous conditions | |
| ClickUp AI (Brain) | ClickUp (US) | États-Unis (CLOUD Act) | Gouvernance des accès + transferts | Sous conditions | |
| Asana AI | Asana (US) | États-Unis (CLOUD Act) | Priorisation ≠ évaluation RH (haut risque) | Sous conditions | |
| Dropbox Dash | Dropbox (US) | États-Unis (CLOUD Act) | Agrégation multi-sources : AIPD requise | Prudence |
Productivité : ces assistants restituent l'information selon les droits d'accès existants. Le préalable à tout déploiement est la gouvernance des accès (moindre privilège), pour éviter la sur-exposition de documents RH ou confidentiels. Un usage détourné vers l'évaluation des salariés basculerait en haut risque (Annexe III).
RH, paie & recrutement IA
PayFit, Lucca, Personio, Factorial, SAP SuccessFactors, Workday, Deel, Rippling
| Outil | Éditeur | Hébergement | Point de vigilance clé | Verdict | |
|---|---|---|---|---|---|
| PayFit | PayFit (FR) | Union européenne | Paie souveraine + haut risque RH à cadrer | Recommandé | |
| Lucca | Lucca (FR) | Union européenne | Entretiens/talents : haut risque (Annexe III) | Recommandé | |
| Personio | Personio (DE) | Union européenne | Recrutement/scoring : haut risque | Bon cadre | |
| Factorial | Factorial (ES) | Union européenne | Recrutement/performance : haut risque | Bon cadre | |
| SAP SuccessFactors | SAP (DE) | Centres de données UE | HCM haut risque + supervision humaine | Bon cadre | |
| Workday | Workday (US) | États-Unis (CLOUD Act) | Transferts RH USA + recrutement haut risque | Sous conditions | |
| Deel | Deel (US) | Multi-pays (CLOUD Act) | Transferts internationaux de travailleurs | Sous conditions | |
| Rippling | Rippling (US) | États-Unis (CLOUD Act) | Concentration RH + IT + transferts | Prudence |
RH : le tri de CV, le scoring de candidats et l'évaluation des salariés sont classés à haut risque par l'AI Act (Annexe III) — supervision humaine, information, consultation du CSE et AIPD s'imposent. L'analyse d'émotions en entretien est interdite (article 5).
Réunions, transcription & notetakers IA
Teams Copilot, tl;dv, Zoom AI Companion, Otter.ai, Fireflies.ai, Fathom, Read AI
| Outil | Éditeur | Hébergement | Point de vigilance clé | Verdict | |
|---|---|---|---|---|---|
| Teams Copilot | Microsoft (US) | EU Data Boundary | Tenant M365 + DPA + non-entraînement | Bon cadre | |
| tl;dv | tl;dv (DE) | Union européenne | Notetaker UE : consentement participants | Bon cadre | |
| Zoom AI Companion | Zoom (US) | US · non-entraînement annoncé | Consentement + non-entraînement à confirmer | Sous conditions | |
| Otter.ai | Otter.ai (US) | États-Unis (CLOUD Act) | Voix + transferts USA + consentement | Prudence | |
| Fireflies.ai | Fireflies.ai (US) | États-Unis (CLOUD Act) | Consentement externes + diffusion CRM | Prudence | |
| Fathom | Fathom (US) | États-Unis (CLOUD Act) | Consentement + minimisation/conservation | Prudence | |
| Read AI | Read AI (US) | États-Unis (CLOUD Act) | Analyse d’émotions : usage à risque d’interdiction | À éviter |
Notetakers : la voix est une donnée personnelle. Informez et recueillez le consentement des participants (surtout externes), minimisez et fixez une conservation. L'analyse d'« émotions » ou d'engagement (Read AI) peut relever de la reconnaissance des émotions, interdite au travail (article 5 de l'AI Act).
Questions fréquentes
Quelle IA générative est la plus conforme au RGPD ?
Aucune IA n'est « conforme par magie » : tout dépend de la version, des données saisies et de la gouvernance. Pour la souveraineté, Mistral Le Chat (hébergement UE, pas de CLOUD Act) se distingue. Microsoft Copilot 365 et Claude offrent aussi un bon cadre entreprise avec DPA. À l'inverse, DeepSeek (serveurs en Chine) est à proscrire et Grok à éviter tant que les enquêtes DPC ne sont pas clarifiées.
Quelle IA choisir pour un cabinet comptable ?
Pour la comptabilité, privilégiez une plateforme native hébergée en UE comme Pennylane (ISO 27001) afin de protéger le secret professionnel. Les outils américains (QuickBooks, Expensify) nécessitent d'encadrer les transferts (SCC). Dans tous les cas : DPA, information des clients, supervision humaine et charte IA.
Peut-on utiliser une IA gratuite au travail ?
Non pour des données personnelles ou confidentielles : les versions gratuites entraînent souvent leurs modèles sur vos échanges et n'offrent pas de contrat de sous-traitance (DPA). Réservez l'usage professionnel aux versions pro/entreprise encadrées.
Ces IA sont-elles soumises à l'AI Act ?
Oui. La plupart reposent sur des modèles à usage général (GPAI), dont les obligations fournisseurs s'appliquent depuis le 2 août 2025. Côté entreprise déployeuse : transparence (article 50), supervision humaine et littératie IA des équipes.
Reprenez le contrôle de vos usages d'IA
Cartographie de vos systèmes d'IA, charte d'utilisation, formation à la littératie IA (article 4 AI Act) et DPO externalisé : Data Comply One vous aide à encadrer ChatGPT, Copilot & consorts sans les interdire.