IA et RGPD : comment utiliser l'intelligence artificielle en conformité (CNIL et AI Act)

RGPD et AI Act : deux textes complémentaires

Le RGPD (Règlement général sur la protection des données), applicable depuis 2018, protège les données personnelles, quelle que soit la technologie utilisée. L'AI Act, adopté en 2024, encadre quant à lui les systèmes d'intelligence artificielle eux-mêmes, en fonction des risques qu'ils présentent pour la santé, la sécurité et les droits fondamentaux.

Les deux textes se cumulent : un chatbot qui traite des données clients doit à la fois respecter le RGPD et les obligations de transparence de l'AI Act.

Ce que le RGPD impose quand vous utilisez l'IA

1. Identifier les données personnelles traitées

Une donnée personnelle est toute information se rapportant à une personne identifiable : nom, e-mail, numéro de téléphone, mais aussi le contenu d'un échange client ou d'un CV. Dès qu'un collaborateur colle ce type d'information dans un outil d'IA, le RGPD s'applique.

2. Choisir une base légale et une finalité

Chaque traitement doit reposer sur une base légale (exécution d'un contrat, intérêt légitime, consentement, obligation légale…) et poursuivre une finalité précise. La CNIL admet que l'intérêt légitime puisse fonder certains usages de l'IA, à condition de mettre en balance les intérêts de l'entreprise et ceux des personnes concernées.

3. Minimiser les données

N'envoyez à l'IA que les données nécessaires. Pseudonymiser ou retirer les noms avant d'analyser des documents est souvent possible et réduit fortement les risques.

4. Informer les personnes

Clients, prospects et salariés doivent savoir que leurs données sont traitées par un outil d'IA, dans quel but et par quel prestataire. Mettez à jour votre politique de confidentialité en conséquence.

5. Encadrer les prestataires

Le fournisseur de l'outil d'IA agit généralement comme sous-traitant : un contrat conforme à l'article 28 du RGPD est obligatoire. Vérifiez aussi si vos données peuvent être réutilisées pour entraîner ses modèles, et privilégiez les offres professionnelles qui l'excluent. Nos repères pratiques pour protéger la confidentialité de vos données avec l'IA complètent cette vérification.

6. Encadrer les transferts hors de l'Union européenne

De nombreux fournisseurs d'IA sont établis aux États-Unis. Les transferts doivent être encadrés, par exemple par le cadre de protection des données UE–États-Unis (Data Privacy Framework) ou par des clauses contractuelles types. Certains fournisseurs proposent un hébergement des données en Europe.

7. Réaliser une analyse d'impact si nécessaire

Une analyse d'impact relative à la protection des données (AIPD) est requise lorsque le traitement présente un risque élevé pour les personnes : évaluation ou notation de personnes, surveillance, données sensibles, décisions automatisées aux effets importants.

Données sensibles et registre des traitements

Les données sensibles : prudence maximale

L'article 9 du RGPD protège particulièrement certaines catégories de données : santé, origine raciale ou ethnique, opinions politiques, convictions religieuses, appartenance syndicale, données génétiques ou biométriques, vie ou orientation sexuelle. Leur traitement est en principe interdit, sauf exceptions strictement encadrées.

Concrètement, ces données ne doivent jamais être saisies dans un outil d'IA grand public. Si votre activité en traite (santé, ressources humaines, assurance), l'usage de l'IA doit faire l'objet d'une analyse spécifique, d'un hébergement adapté et, le plus souvent, d'une analyse d'impact.

Que noter dans le registre des traitements

Chaque usage de l'IA impliquant des données personnelles doit apparaître dans votre registre des traitements. Pour chacun, indiquez :

• la finalité (par exemple : répondre aux demandes clients via un chatbot) ;
• la base légale retenue ;
• les catégories de personnes et de données concernées ;
• les destinataires, dont le fournisseur de l'outil d'IA et ses sous-traitants ;
• les éventuels transferts hors de l'Union européenne et leurs garanties ;
• les durées de conservation ;
• les mesures de sécurité mises en œuvre.

L'AI Act : les règles et le calendrier

Le règlement (UE) 2024/1689, dit AI Act, est entré en vigueur le 1er août 2024. Il classe les systèmes d'IA en quatre niveaux de risque, avec des obligations proportionnées.

Le calendrier d'application

• 2 février 2025 : interdiction des pratiques à risque inacceptable et maîtrise de l'IA (article 4) : les entreprises prennent des mesures pour former les personnes qui utilisent l'IA. Depuis l'omnibus de juillet 2026, c'est une obligation de moyens, sans niveau de connaissances à garantir.
• 2 août 2025 : obligations applicables aux modèles d'IA à usage général (les grands modèles de langage) et mise en place de la gouvernance.
• 2 août 2026 : obligations de transparence de l'article 50 (informer qu'on échange avec une IA, signaler les contenus générés), avec un délai supplémentaire pour le marquage des contenus produits par les systèmes déjà sur le marché.
• 2 décembre 2027 : obligations des systèmes à haut risque de l'annexe III (recrutement, éducation, accès aux services essentiels…), au lieu du 2 août 2026 initialement prévu.
• 2 août 2028 : obligations des systèmes à haut risque intégrés à des produits réglementés (annexe I), au lieu du 2 août 2027.

Ce que cela change pour une PME qui utilise l'IA

• Chatbot sur votre site : informez clairement l'utilisateur qu'il échange avec une IA.
• Contenus générés par IA (images, vidéos, textes publiés pour informer le public) : certains doivent être signalés comme tels.
• Formation : assurez-vous que vos équipes comprennent les capacités et les limites des outils qu'elles utilisent.
• Recrutement ou évaluation de salariés assistés par IA : il s'agit d'usages à haut risque, qui imposent notamment un contrôle humain effectif.

Décisions automatisées : les droits des personnes

L'article 22 du RGPD donne à toute personne le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé lorsque cette décision produit des effets juridiques ou l'affecte de manière significative : refus d'un crédit, rejet automatique d'une candidature, résiliation d'un contrat.

Ce type de décision n'est possible que dans des cas limités (nécessité pour un contrat, autorisation légale, consentement explicite) et s'accompagne de garanties : droit d'obtenir une intervention humaine, d'exprimer son point de vue et de contester la décision. En pratique, la règle la plus sûre est simple : l'IA prépare ou recommande, un humain décide.

Trois cas pratiques

Un chatbot sur le site internet

• Afficher clairement que l'utilisateur échange avec une IA (AI Act, transparence).
• Mentionner le chatbot et son fournisseur dans la politique de confidentialité.
• Limiter les informations demandées au strict nécessaire et prévoir une durée de conservation des conversations.
• Proposer un contact humain pour les demandes sensibles ou les réclamations.

Le tri de candidatures avec l'IA

• Il s'agit d'un usage classé à haut risque par l'AI Act : obligations renforcées, notamment de contrôle humain effectif.
• Informer les candidats de l'utilisation d'un outil d'IA dans le processus.
• Vérifier l'absence de biais discriminatoires dans les critères et les résultats.
• Ne jamais rejeter automatiquement une candidature sans examen humain.
• Réaliser une analyse d'impact (AIPD).

Les comptes rendus de réunion automatiques

• Informer les participants avant l'enregistrement et la transcription.
• Choisir un outil qui n'utilise pas les enregistrements pour entraîner ses modèles.
• Fixer une durée de conservation des enregistrements et des transcriptions.
• Éviter d'enregistrer les réunions où des données sensibles sont évoquées (santé, situation personnelle).

Choisir un fournisseur d'IA : les 8 questions à poser

1. Mes données sont-elles utilisées pour entraîner ou améliorer vos modèles ? Peut-on le désactiver contractuellement ?
2. Où sont hébergées et traitées les données ? Une localisation dans l'Union européenne est-elle possible ?
3. Proposez-vous un accord de traitement des données (DPA) conforme à l'article 28 du RGPD ?
4. Quels sous-traitants ultérieurs interviennent, et dans quels pays ?
5. Combien de temps les données et les conversations sont-elles conservées ?
6. Quelles mesures de sécurité appliquez-vous (chiffrement, contrôle des accès, certifications) ?
7. Comment gérez-vous les demandes d'exercice des droits (accès, suppression) ?
8. Quelles informations fournissez-vous pour nous aider à respecter l'AI Act (documentation, transparence) ?

Les réponses à ces questions figurent souvent dans les conditions professionnelles et la documentation de sécurité des fournisseurs. Conservez-les : elles alimentent votre registre des traitements et votre analyse d'impact.

Checklist : utiliser l'IA en conformité

1. Recenser les outils d'IA utilisés dans l'entreprise, y compris ceux adoptés individuellement par les salariés.
2. Pour chaque usage, identifier les données traitées et le niveau de risque au sens de l'AI Act.
3. Documenter la finalité et la base légale dans votre registre des traitements.
4. Signer des contrats de sous-traitance avec les fournisseurs et vérifier la localisation et la réutilisation des données.
5. Mettre à jour la politique de confidentialité et informer les personnes concernées.
6. Afficher une mention claire sur les chatbots et les contenus générés par IA lorsque c'est requis.
7. Rédiger une charte IA interne et former les équipes.
8. Prévoir une validation humaine pour les décisions importantes.
9. Réaliser une analyse d'impact pour les traitements à risque élevé.
10. Revoir ce dispositif au moins une fois par an.

Questions fréquentes

Sources

• Règlement (UE) 2024/1689 sur l'intelligence artificielle (EUR-Lex)(nouvel onglet)
• Règlement (UE) 2026/1744, omnibus numérique sur l'IA (EUR-Lex, JO du 24 juillet 2026)(nouvel onglet)
• Règlement général sur la protection des données (EUR-Lex)(nouvel onglet)
• CNIL : intelligence artificielle(nouvel onglet)

Cet article a une visée informative et ne constitue pas un conseil juridique.