Tri de candidatures, assistant conversationnel relié à la base clients, extraits de dossiers collés dans une IA générative : dans les trois cas, des données personnelles sont traitées et le RGPD s'applique, avant même le règlement sur l'IA.
Entre 2024 et 2025, la CNIL a publié des fiches pratiques sur le développement des systèmes d'IA et une liste de vérification, que ce guide traduit en étapes, pour un outil acheté, développé en interne ou mis à disposition des équipes.
La question IA et RGPD se traite comme un cadrage de projet, avec des décisions dans un ordre précis. Les obligations propres au règlement sur l'IA figurent sur notre page IA Act.
Chapitre 01 — Situer le projet
Trois situations, un même cadre
Décrivez le projet : système, données, décideur. Développement (constitution de la base, entraînement) et déploiement (usage) sont deux traitements distincts (fiche Déterminer le régime juridique applicable). Trois situations reviennent.
| Situation | Votre rôle probable | Point de vigilance |
|---|---|---|
| Outil d'IA acheté (SaaS) | Responsable ; fournisseur sous-traitant sur instructions documentées | Réutilisation de vos données par le fournisseur pour entraîner son modèle |
| Système développé ou entraîné en interne | Responsable, en développement et en déploiement | Licéité de la base d'entraînement, AIPD, statut du modèle |
| IA générative utilisée par les salariés | Responsable des données saisies dans les requêtes | Charte d'usage ; politique de réutilisation connue |
Est responsable celui qui décide du pourquoi et du comment ; un prestataire qui réutilise la même base pour plusieurs clients répond généralement d'un traitement distinct (fiche qualification juridique des fournisseurs). Le contrat de l'article 28 du RGPD fixe cette répartition et interdit tout traitement hors instruction documentée. Reste la question IA et RGPD proprement dite.
Chapitre 02 — Finalité et base légale
Quelle finalité et quelle base légale retenir ?
La finalité se fixe dès le départ, de manière précise : « développer un système d'IA » ne suffit pas. En développement, la base légale la plus courante est l'intérêt légitime ; en déploiement, elle dépend de l'usage : contrat, obligation légale, intérêt légitime ou consentement.
Pour un système à usage général, la CNIL demande de désigner le type de système et ses fonctionnalités raisonnablement prévisibles, par exemple un modèle de langage qui répond, traduit et résume (fiche Définir une finalité).
L'intérêt légitime (article 6.1.f) suppose trois conditions cumulatives : intérêt licite, précis et réel ; nécessité, sans moyen moins intrusif ; mise en balance avec les droits des personnes. La CNIL cite l'amélioration d'un produit, la détection de fraudes ou un agent conversationnel d'assistance (fiche intérêt légitime), avec des garanties : pseudonymisation rapide, mesures contre la mémorisation, droit d'opposition préalable, information renforcée. L'analyse se consigne par écrit (article 5.2 du RGPD).
Chapitre 03 — Données d'entraînement
Constituer la base de données sans excéder le nécessaire
L'article 5.1.c du RGPD limite les données à ce qui est adéquat, pertinent et nécessaire. Une base volumineuse reste possible si chaque choix se justifie : nombre de personnes, profondeur historique, formats moins intrusifs (tranche d'âge plutôt que date de naissance). La CNIL recommande un pilote sur données fictives, synthétiques ou anonymisées avant les données réelles (liste de vérification).
Réutiliser des données déjà collectées (fichier clients, historique RH) impose un test de compatibilité entre les deux finalités : lien, contexte de collecte, nature des données, conséquences pour les personnes. Pour une base issue d'un tiers ou du web, documentez l'origine licite et supprimez automatiquement les données sensibles collectées incidemment.
La fiche Analyser le statut d'un modèle d'IA détaille les tests attendus.
Chapitre 04 — AIPD
Quand l'analyse d'impact est-elle obligatoire ?
Une AIPD est obligatoire quand le traitement est susceptible d'engendrer un risque élevé pour les personnes (article 35 du RGPD). Elle est toujours requise en cas de profilage ou de décision automatisée, et présumée nécessaire pour un modèle de fondation ou un système à haut risque au sens du règlement sur l'IA traitant des données personnelles.
Deux des neuf critères du CEPD font présumer l'obligation. Les plus fréquents en IA : collecte à large échelle, données sensibles, personnes vulnérables, croisement de jeux de données, usage innovant (apprentissage profond, non régression ou forêts aléatoires) (fiche Réaliser une analyse d'impact).
Elle couvre les risques propres à l'IA : biais discriminatoires, contenu fictif sur une personne réelle, biais d'automatisation, attaques spécifiques, extraction de données du modèle. Sur le volet IA et RGPD, c'est aussi le document présenté en cas de contrôle.
Chapitre 05 — Information et décisions
Informer les personnes et encadrer les décisions automatisées
Les articles 13 et 14 du RGPD imposent d'informer les personnes dont les données entraînent ou font fonctionner le système. Si les données ne viennent pas d'elles et que l'information individuelle exigerait des efforts disproportionnés, une information générale sur votre site peut suffire, appréciation documentée à l'appui (fiche Informer les personnes concernées). Pour les IA génératives, signalez aussi le risque de régurgitation.
Une décision fondée exclusivement sur un traitement automatisé, à effets juridiques ou significatifs pour la personne (refus d'une candidature ou d'un crédit), est interdite par principe par l'article 22 du RGPD. Trois exceptions : nécessité contractuelle, autorisation par un texte, consentement explicite. Pour le contrat et le consentement, le responsable garantit au moins une intervention humaine, le droit d'exprimer son point de vue et de contester ; un texte prévoit ses propres garanties. L'information mentionne la décision, sa logique et ses conséquences (article 13.2.f).
Hors de ces exceptions, conservez une décision humaine réelle, non une validation de façade (page CNIL profilage et décision entièrement automatisée). C'est le point où IA et RGPD se rejoignent le plus visiblement pour les RH et le commerce.
Chapitre 06 — Sécurité et charte interne
Sécuriser le système et encadrer l'IA générative au quotidien
L'article 32 du RGPD impose des mesures adaptées au risque. En développement interne, la CNIL recommande de restreindre et journaliser les accès aux bases et modèles, de n'utiliser que des bibliothèques et modèles pré-entraînés vérifiés, de versionner les jeux de données et de filtrer les sorties (fiche Garantir la sécurité du développement).
Pour l'IA générative des salariés, les premières précisions sur le déploiement de la CNIL (juillet 2024) se traduisent en une charte interne, articulée avec la charte informatique.
- 1Partir d'un besoin — Lister les usages attendus ; aucun déploiement sans objectif.
- 2Choisir le système — Vérifier si le prestataire réutilise les données saisies pour son entraînement ; sinon, hébergement local.
- 3Fixer les usages autorisés et interdits — Aucune donnée personnelle, client ou RH, aucun secret d'affaires dans un système non maîtrisé.
- 4Dire les limites — Résultats possiblement inexacts mais plausibles : vérification humaine avant tout usage externe.
- 5Former — Sensibiliser aux usages interdits et aux risques ; désigner un point de contact.
- 6Gouverner — Associer DPO, informatique et métiers ; revoir la charte à chaque nouvel outil.
Chapitre 07 — Liste de contrôle
Votre liste de contrôle avant lancement
D'après la liste de vérification de la CNIL ; un point non coché signale une décision à prendre avant le déploiement. Voir aussi la page RGPD et IA du site.
Cadrage
Données
Personnes et sécurité
À retenir
- Le RGPD s'applique dès l'entrée de données personnelles dans le projet, en développement comme en déploiement.
- Un projet IA et RGPD se cadre dans l'ordre : finalité, rôles, base légale, données, AIPD, information, sécurité.
- L'AIPD est toujours requise en cas de profilage ou de décision automatisée.
- Décision entièrement automatisée à effet significatif : interdite par principe, hors trois exceptions assorties de garanties.
- L'IA générative des salariés s'encadre par une charte : usages interdits, données à ne pas saisir, vérification humaine.
Définitions utiles
Tout le lexique RGPD- CNILLa CNIL, Commission nationale de l'informatique et des libertés, est l'autorité administrative indépendante chargée en France de veiller à la protection des données personnelles. Elle conseille, contrôle et sanctionne.
- AIPDL'AIPD, ou analyse d'impact relative à la protection des données, est une étude menée avant un traitement susceptible d'engendrer un risque élevé pour les personnes, afin d'évaluer ce risque et de définir les mesures pour le réduire.
- Décision automatiséeUne décision automatisée est une décision prise uniquement par un traitement informatique, sans intervention humaine réelle, qui produit des effets juridiques sur une personne ou l'affecte de manière significative, comme un refus de crédit.
- FinalitéLa finalité est l'objectif précis pour lequel des données personnelles sont collectées et traitées. Le RGPD impose qu'elle soit déterminée, explicite et légitime, et interdit d'utiliser ensuite les données pour un but incompatible.
- Base légaleLa base légale est le fondement juridique qui autorise un traitement de données personnelles. Le RGPD en prévoit six : consentement, contrat, obligation légale, intérêts vitaux, mission d'intérêt public et intérêt légitime.
- Données personnellesUne donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable, directement (nom, photo) ou indirectement (numéro de téléphone, adresse IP, numéro d'adhérent, combinaison de plusieurs éléments).
À vous de jouer
La conformité n'attend pas le prochain contrôle.
Vous avez la méthode. Pour la mettre en œuvre sans y passer des semaines, faites le point avec une juriste dédiée : 30 minutes pour identifier vos écarts et repartir avec un plan d'action clair.
