RGPD et IA : les données que vos équipes confient à l'IA

Obligatoire un texte l'impose, avec sa dateRecommandé une autorité le recommandeBonne pratique notre avis, rien ne l'impose

• ObligatoireUne base légale pour chaque usage

  Contrat, obligation légale, intérêt légitime (avec une mise en balance écrite) ou consentement : un outil d'IA qui traite des données personnelles est un traitement comme un autre.

  RGPD, art. 6, depuis le 25 mai 2018

• ObligatoireNe saisir que le nécessaire

  Minimisation : un extrait anonymisé plutôt que le dossier client entier.

  RGPD, art. 5, § 1, c

• ObligatoireInformer clients, candidats et salariés

  Mettre à jour les mentions d'information quand un outil d'IA traite leurs données ; pas de décision à effet juridique ou significatif fondée exclusivement sur un traitement automatisé, sauf exceptions et garanties.

  RGPD, art. 13, 14 et 22

• ObligatoireUn contrat de sous-traitance avec l'éditeur

  Instructions, confidentialité, sécurité, sous-traitants ultérieurs, suppression des données, audits. Si l'éditeur réutilise vos données pour ses propres fins, il n'est plus seulement sous-traitant pour cette finalité.

  RGPD, art. 28 ; CNIL, qualification juridique des fournisseurs de systèmes d'IA

• ObligatoireEncadrer les transferts hors de l'Union

  Éditeur américain : vérifier son adhésion au cadre de protection des données UE-États-Unis (décision d'adéquation du 10 juillet 2023) ou prévoir des clauses contractuelles types.

  RGPD, chapitre V ; décision (UE) 2023/1795

• ObligatoireUne fiche au registre des traitements

  Chaque usage de l'IA qui traite des données personnelles a sa fiche, distincte du registre des usages de l'IA mais reliée à lui.

  RGPD, art. 30

• ObligatoireUne analyse d'impact si le risque est élevé

  Voir la grille ci-dessous. Pour un système d'IA à haut risque, l'AI Act renvoie à la notice du fournisseur pour la faire, et permet à l'analyse des droits fondamentaux d'y renvoyer.

  RGPD, art. 35 ; AI Act, art. 26, § 9 et art. 27, § 4 (rédaction 2026/1744)

• RecommandéPas de données confidentielles dans un outil grand public

  Réserver les services grand public aux usages non confidentiels, sans compte personnel, en désactivant si possible la réutilisation des données ; pour des données personnelles ou sensibles, préférer une solution interne ou un hébergement encadré par contrat.

  CNIL, questions-réponses sur l'IA générative, 18 juillet 2024

• RecommandéAssocier le DPO et former les utilisateurs

  Le délégué à la protection des données dès le choix de l'outil ; des utilisateurs formés qui vérifient les résultats.

  CNIL, 18 juillet 2024

• Bonne pratiqueUne liste écrite des données à ne jamais saisir

  Santé, données bancaires, numéros d'identification, données RH individuelles, informations sous accord de confidentialité, mots de passe.

  Notre avis

• Bonne pratiqueDes clauses propres à l'IA dans le contrat

  Non-réutilisation pour l'entraînement, localisation, durée de conservation des requêtes, notification des incidents, réversibilité.

  Notre avis