Perplexity et le RGPD / AI Act : ce que votre entreprise doit savoir
·
Mis à jour le ·
Par 
Aymeric Guyard · 10 min de lecture
En bref
- Perplexity est un moteur de réponse américain qui interroge le web en temps réel. Pour un usage professionnel, seule l'offre Enterprise Pro apporte les garanties nécessaires : pas d'entraînement sur vos données, non-rétention, DPA. Les versions grand public sont déconseillées pour les données personnelles. Perplexity reste soumis au CLOUD Act, et ses requêtes véhiculent souvent des informations métier sensibles à encadrer.
Présentation et données traitées
Perplexity est un assistant de recherche « conversationnel » (société américaine) qui interroge le web en temps réel et cite ses sources. Il propose des offres grand public (gratuit, Pro) et une offre Enterprise Pro pour les organisations.
Perplexity traite le contenu des requêtes, les données de compte et des données techniques. L'offre Enterprise Pro prévoit l'absence d'utilisation de vos données pour l'entraînement et des garanties de non-rétention. Les versions grand public peuvent conserver et exploiter les requêtes pour améliorer le service. L'hébergement est principalement aux États-Unis.
Les risques pour votre entreprise
Outre les risques classiques (fuite via les requêtes, transfert hors UE, version grand public), Perplexity ajoute une dimension : les requêtes contiennent souvent des informations métier sensibles (recherche concurrentielle, dossiers clients) qui ne doivent pas transiter sans encadrement.
Principaux risques RGPD :
- Requêtes contenant des données de tiers sans base légale.
- Transfert hors UE (CLOUD Act) : vérifier localisation et SCC.
- Version grand public : rétention et exploitation des requêtes.
- Droits des personnes et information.
Les obligations RGPD
- Utiliser Perplexity Enterprise Pro avec DPA pour tout usage professionnel.
- Interdire les versions grand public pour les données professionnelles.
- Inscrire l'usage au registre des traitements ; réaliser une AIPD si le risque est élevé.
- Encadrer les transferts (SCC) ; informer les personnes.
- Impliquer le DPO.
Les obligations AI Act
Perplexity s'appuie sur des modèles GPAI (obligations fournisseurs depuis le 2 août 2025). Côté déployeur : transparence (article 50), supervision humaine, littératie IA. Attention aux réponses inexactes reprises telles quelles dans un processus de décision. Voir le guide AI Act.
Cybersécurité et bonnes pratiques
Risques cyber : fuite d'informations métier via les requêtes, prompt injection via des pages web ingérées, shadow AI. À intégrer pour les entités NIS 2.
Bonnes pratiques : standardiser sur Enterprise Pro avec DPA ; ne jamais saisir de données personnelles/confidentielles dans les versions grand public ; vérifier systématiquement les réponses avant décision ; charte IA, formation, référent IA, registre.
Checklist de conformité :
- Offre Enterprise Pro avec DPA
- Versions grand public bloquées pour le pro
- Transferts hors UE encadrés (SCC)
- Usage au registre, AIPD si risque élevé
- Vérification humaine des réponses, équipes formées, DPO impliqué
Sanctions, conclusion et recommandations
Sanctions (deux régimes cumulables) : RGPD jusqu'à 20 M€ ou 4 % du chiffre d'affaires mondial annuel ; AI Act jusqu'à 35 M€ ou 7 % pour les pratiques interdites, et 15 M€ ou 3 % pour la plupart des autres manquements (dont les obligations des fournisseurs de GPAI).
Recommandation : Perplexity est puissant pour la veille et la recherche, mais ses requêtes véhiculent souvent des informations sensibles. Réservez-le à l'offre Enterprise Pro encadrée, bannissez les versions grand public pour les données pro, et imposez une vérification humaine des réponses avant toute décision. Comparez avec les autres assistants : ChatGPT, Gemini, Claude.
Passez à l’action
Évaluez le niveau de risque RGPD et AI Act de vos usages de Perplexity avec l'auto-diagnostic Data Comply One.
Découvrir le logiciel AI Act →Tester ma conformité gratuitement