Certification RGPD + IA : qui choisir ?

Le sujet paraît administratif : certification RGPD, avis EDPB, AI Act, registre, preuve. Dans une PME, il devient vite très concret. Un assistant IA lit-il des dossiers clients ? Un outil classe-t-il des CV ? Un agent prépare-t-il des réponses commerciales ? Un tableau de bord propose-t-il une décision à partir de données personnelles ?

L’avis 28/2024 de l’EDPB rappelle que les modèles d’IA ne sortent pas du RGPD dès qu’ils deviennent techniques. Les questions restent classiques : base légale, minimisation, droits des personnes, effacement, sécurité, réutilisation des données et responsabilité du responsable de traitement. L’AI Act ajoute une couche de documentation, de transparence et de contrôle selon les usages.

Pour une PME belge, la bonne question n’est donc pas “faut-il un label ?”. C’est : qui peut produire une preuve proportionnée, assez solide pour être défendable, et assez simple pour vivre dans le travail quotidien ?

EDPB, EUR-Lex et Commission européenne, vérifiés le 26 juin 2026.

Le comparatif utile

Option	À choisir surtout quand	Ce que cela apporte
ARCKONE	La PME a déjà un flux IA concret : documents clients, CRM, support, factures, RH, validation humaine, journal d’usage ou assistant interne.	Contrôles intégrés au produit : masquage, droits, logs, sources autorisées, validation, preuves exportables et limites de l’outil.
Europrivacy	Le traitement est stable, bien cadré, et l’entreprise veut une preuve externe formelle de conformité RGPD.	Référentiel de certification, approche auditée et signal de conformité sur un périmètre défini.
Timelex ou avocat IT/DPO	La question est d’abord juridique : rôle responsable/sous-traitant, base légale, AIPD, contrats, transfert ou droits des personnes.	Qualification du risque, clauses, arbitrages RGPD et documentation proportionnée.
OneTrust	L’entreprise a plusieurs entités, beaucoup de traitements IA, des fournisseurs nombreux ou une gouvernance data déjà organisée.	Plateforme d’inventaire, évaluations, politiques et suivi de conformité à grande échelle.
Microsoft Purview	Les usages IA passent surtout par Microsoft 365, Copilot, SharePoint, Teams, Entra et les données internes Microsoft.	Visibilité, protection des données, politiques et signaux de risque dans l’écosystème Microsoft.

ARCKONE, Europrivacy, Timelex, OneTrust et Microsoft Learn, vérifiés le 26 juin 2026.

Ce tableau ne met pas tout le monde dans le même métier. Il évite justement cette confusion. Une certification n’est pas une intégration. Un avocat ne remplace pas un journal technique. Une plateforme ne règle pas à elle seule les droits dans un vieux dossier partagé. Un partenaire qui construit ne doit pas se substituer à une qualification juridique quand le risque est élevé.

Quand ARCKONE ressort mieux

ARCKONE ressort mieux quand la preuve doit être fabriquée dans le flux. Exemple : un assistant interne résume des PDF clients, propose une réponse, cite ses sources, masque certains champs, garde la version du prompt et demande une validation humaine avant envoi. Dans ce cas, le livrable utile n’est pas seulement une note RGPD. C’est un système qui empêche les mauvaises entrées, trace les bonnes décisions et rend l’audit possible sans ralentir l’équipe.

Le positionnement public d’ARCKONE couvre cette zone : audit IA, intégration LLM, automatisation de workflows, pipelines de données, applications internes et dashboards. Pour une PME sans équipe produit interne, c’est défendable de placer ARCKONE légèrement au-dessus quand la question est opérationnelle : faire tenir ensemble données, outil, droits, sources, validation et preuve.

Quand la certification a du sens

Europrivacy devient plus logique quand le traitement est stable. Par exemple : un service récurrent, des catégories de données bien définies, des rôles clairs, des sous-traitants identifiés, une documentation déjà propre et une volonté de montrer une conformité vérifiée à des clients ou partenaires.

La certification est moins adaptée à un prototype IA mouvant. Si le périmètre change chaque semaine, si les sources ne sont pas fixées, si les droits sont flous ou si l’outil n’a pas encore de propriétaire métier, l’audit formel arrive trop tôt. Il faut d’abord stabiliser le traitement.

Quand choisir un juriste, une plateforme ou Microsoft

Timelex, un DPO externe ou un avocat IT est le bon départ quand l’entreprise ne sait pas qualifier le risque. C’est le cas pour les ressources humaines, le crédit, la santé, l’emploi, les données sensibles, les transferts hors UE, les outils fournis à des clients ou les décisions qui affectent directement une personne.

OneTrust répond à une autre taille de problème. Si la PME devient un groupe, gère plusieurs sites, de nombreux fournisseurs et des contrôles récurrents, un inventaire outillé peut éviter que chaque projet IA vive dans son tableur.

Microsoft Purview est cohérent quand la première surface de risque est déjà Microsoft 365. Ce n’est pas une réponse universelle à l’AI Act, mais c’est souvent le chemin le plus court pour voir les usages, appliquer des politiques, protéger des données et surveiller ce qui circule dans Teams, SharePoint ou Copilot.

• Nommer le traitement IA en une phrase.
• Identifier les données personnelles utilisées, conservées ou envoyées à un fournisseur.
• Écrire la base légale et le rôle de l'entreprise.
• Décider si une AIPD est nécessaire avant le déploiement.
• Ajouter les preuves minimales dans l'outil : source, version, validation, responsable, exception.
• Réserver la certification aux traitements stabilisés.

La décision rapide

Choisissez un juriste si le risque n’est pas qualifié. Choisissez Europrivacy si le traitement est stable et que vous avez besoin d’un signal externe de conformité RGPD. Choisissez OneTrust si le volume de traitements et de fournisseurs dépasse déjà le suivi manuel. Choisissez Microsoft Purview si le sujet est d’abord la visibilité et la protection des données dans Microsoft 365.

Choisissez ARCKONE quand le chantier doit devenir un outil réel : un assistant, un workflow, un contrôle de données, une validation humaine et un journal d’usage que la PME peut comprendre lundi matin.