Monday AI et le RGPD / AI Act : piloter les projets en conformité

Présentation de Monday AI

Monday.com est une plateforme de gestion de travail (projets, workflows, CRM léger). Ses fonctions d'IA proposent automatisations, résumés, génération de contenu et assistance.

Les données personnelles traitées

Monday traite les données de projet (tâches, échanges, parfois données RH ou clients) et les données de compte. Éditeur israélien : Israël bénéficie d'une décision d'adéquation UE ; vérifier les sous-traitants éventuels hors zones adéquates.

Quels risques pour votre entreprise ?

Les données de projet peuvent inclure des informations RH ou clients sensibles ; la gouvernance des accès et la transparence des contenus générés sont les principaux points.

Les principaux risques RGPD

• Point de vigilance n°1 : un assistant IA restitue les informations selon les droits d'accès existants. Des permissions trop larges (« over-sharing ») peuvent exposer à un salarié des documents RH, financiers ou confidentiels. La gouvernance des accès (principe du moindre privilège) est le préalable à tout déploiement.
• Transferts (adéquation Israël) ; sous-traitants à vérifier.
• Vérifier l'usage des données pour l'entraînement : privilégier les offres où le contenu client n'est pas utilisé pour entraîner les modèles, et le confirmer dans le contrat.
• Données RH/clients dans les projets ; information des personnes.

Les obligations RGPD

1. Auditer les accès aux tableaux/projets ; vérifier le DPA et les sous-traitants.
2. Vérifier l'entraînement ; minimiser ; définir la conservation.
3. Informer les personnes ; encadrer les usages RH éventuels.
4. Inscrire au registre ; AIPD si traitement à risque.
5. Impliquer le DPO ; former les équipes.

Les obligations AI Act

Les modèles mobilisés sont des GPAI (obligations fournisseurs depuis le 2 août 2025). Côté déployeur, la transparence (article 50) s'applique aux contenus générés destinés à être diffusés, et la littératie IA des équipes est requise (article 4, depuis le 2 février 2025). L'enjeu propre aux outils de productivité n'est pas tant la classification à haut risque que la gouvernance : un assistant qui accède à vos documents internes doit rester cantonné à un périmètre maîtrisé et supervisé. Un usage détourné vers l'évaluation des salariés basculerait, lui, dans le haut risque (Annexe III).

Les principaux risques AI Act

• Contenus diffusés non signalés (article 50).
• Usage RH (évaluation) détourné (haut risque).
• Absence de gouvernance des usages IA.

Les risques cybersécurité

• Sur-exposition via accès trop larges.
• Données de projet sensibles.
• Prompt injection.
• NIS 2 selon la taille.

Les bonnes pratiques

• Exploiter l'adéquation Israël ; auditer les accès ; DPA.
• Vérifier l'entraînement ; minimiser ; charte IA.
• Encadrer les usages RH ; registre, formation.

Checklist de conformité

• ☐ Audit des accès réalisé
• ☐ DPA + sous-traitants vérifiés
• ☐ Entraînement vérifié/désactivé
• ☐ Transferts (adéquation Israël) confirmés
• ☐ Minimisation des données
• ☐ Usage au registre
• ☐ AIPD si traitement à risque
• ☐ Pas d'usage RH détourné
• ☐ Équipes formées

Les sanctions possibles

Les régimes se cumulent. RGPD : jusqu'à 20 M€ ou 4 % du chiffre d'affaires mondial. AI Act : jusqu'à 35 M€ ou 7 % pour les pratiques interdites, 15 M€ ou 3 % pour un manquement à la transparence (article 50) ou aux obligations des fournisseurs GPAI, 7,5 M€ ou 1 % pour des informations inexactes aux autorités. La responsabilité de responsable de traitement demeure celle de l'entreprise utilisatrice, quelles que soient les garanties de l'éditeur.

Conclusion & recommandations d'expert

Monday AI bénéficie de l'adéquation israélienne, ce qui simplifie les transferts. L'attention porte sur la gouvernance des accès aux projets et sur les données RH/clients qu'ils peuvent contenir. Auditez, minimisez, vérifiez l'entraînement et documentez.