RGPD et IA sur les données de l'ERP : ce que doivent vérifier DPO et DSI

Même un ERP de production contient des données personnelles : opérateurs identifiés dans les déclarations d'OF, temps de pointage, habilitations, notes de frais, contacts commerciaux et fournisseurs, parfois des données de paie ou de santé au travail dans les modules RH. Les commentaires libres sont un risque particulier, car on y trouve de tout.

La première décision consiste à exclure ou masquer ce qui n'est pas nécessaire au cas d'usage. Un assistant de suivi de stocks n'a aucune raison de lire les tables de paie ; l'accès se limite par rôle, par table et parfois par colonne.

Avec une IA hébergée par un fournisseur tiers, il faut traiter la question des sous-traitants (contrat conforme à l'article 28), des transferts hors Union européenne et de l'usage éventuel des données pour entraîner le modèle. Avec un modèle open-weight exécuté sur vos propres serveurs, le flux reste dans votre périmètre : pas de nouveau sous-traitant pour l'inférence, pas de transfert hors UE du fait du modèle.

Netray intervient pour construire et exploiter l'intégration ; selon le mode de support, un accès à vos systèmes peut faire de nous un sous-traitant, auquel cas un accord de traitement est signé et les accès sont limités et journalisés. Nous ne revendiquons aucune certification ; nous décrivons le flux pour que votre DPO l'évalue.

Un diagnostic commun avec le DPO et le RSSI produit trois livrables : la cartographie des données lues, le schéma de flux avec les lieux d'hébergement et la liste des contrôles (rôles, journalisation, rétention). C'est la base du dossier de conformité de votre entreprise.

Si votre éditeur d'ERP propose un assistant intégré hébergé dans l'Union européenne, avec un contrat qui répond à vos exigences, il peut suffire. L'IA sur site se justifie surtout lorsque la confidentialité est contractuelle, lorsque les données sont particulièrement sensibles ou lorsque vous voulez maîtriser le modèle et ses mises à jour.