IA et RGPD : ce que la CNIL encadre vraiment

La CNIL a publié une série de fiches pratiques encadrant l'application du RGPD à l'intelligence artificielle. Toutes portent sur la phase de développement d'un système d'IA : constitution des bases d'apprentissage, base légale, information des personnes. Aucune ne traite le cas le plus courant en PME, celui de l'entreprise qui se contente d'utiliser un outil existant.

Ce décalage explique une bonne partie de la confusion ambiante. On vous cite des recommandations qui ne vous visent pas, et on reste muet sur ce qui vous concerne réellement.

Que couvrent les fiches pratiques IA de la CNIL ?

La série est substantielle et vaut le détour si vous construisez quelque chose. Selon l'index publié par la CNIL, elle traite notamment :

— Le régime juridique applicable et la définition de la finalité du traitement.
— La qualification juridique du fournisseur, et la base légale du traitement, avec deux fiches consacrées à l'intérêt légitime dont un focus sur le moissonnage de données sur le web.
— L'analyse d'impact, la protection des données dès la conception, la collecte et la gestion des données, l'annotation, la sécurité du développement.
— L'information des personnes concernées et le respect de leurs droits.
— Le statut du modèle lui-même au regard du RGPD, question loin d'être théorique.

La CNIL précise par ailleurs qu'un intérêt est présumé légitime lorsqu'il est à la fois manifestement licite au regard du droit, déterminé de façon suffisamment claire et précise, et réel et présent. C'est le genre de critère qui départage un projet sérieux d'une déclaration de bonne intention.

Pourquoi ces recommandations ne parlent-elles pas de votre cas ?

Parce qu'elles ont été écrites pour la phase amont. Constituer une base d'apprentissage, choisir une base légale pour aspirer des données publiques, documenter un modèle : ce sont les problèmes de celui qui fabrique. Si votre entreprise achète un abonnement à un outil et s'en sert, aucune de ces questions ne se pose à vous dans ces termes.

Il n'existe aujourd'hui, sur cette page d'index, aucune fiche dédiée à l'usage de l'IA par un employeur ni au déploiement d'IA générative en entreprise. Ce n'est pas un oubli scandaleux : l'autorité a traité d'abord le sujet sur lequel elle était le plus attendue. Mais tant que ce complément n'existe pas, méfiez-vous des prestataires qui vous vendent une mise en conformité en s'appuyant sur des textes qui visent quelqu'un d'autre.

Une nuance importante : si vous éditez un logiciel et que vous y intégrez un modèle, entraîné par vous ou non, vous basculez du côté des fiches. La frontière n'est pas la taille de l'entreprise, c'est le rôle.

C'est un sujet à part entière pour les éditeurs de logiciels et les SaaS, qui cumulent souvent les deux casquettes sans s'en rendre compte.

Qu'est-ce qui s'applique quand même à un simple utilisateur ?

Le RGPD, intégralement. Utiliser un outil tiers ne crée pas de zone franche, et les questions que la CNIL pose aux développeurs se transposent presque toutes à l'utilisateur, en plus simple :

— La finalité. Pour quoi précisément utilisez-vous cet outil ? « Gagner du temps » n'est pas une finalité, c'est un espoir.
— La base légale. À quel titre les données de vos clients ou de vos salariés peuvent-elles être envoyées à un tiers ?
— La minimisation. Envoyez-vous le dossier complet là où trois lignes suffiraient ? C'est la question qui, en pratique, règle le plus de cas.
— L'information des personnes. Vos clients savent-ils qu'un outil d'IA intervient dans le traitement de leur demande ?
— La sous-traitance et la sécurité. Que dit le contrat du fournisseur sur la réutilisation de vos données, et sur leur durée de conservation ?

Aucune de ces questions n'exige un juriste pour être posée. Elles exigent en revanche que quelqu'un les pose, une fois, usage par usage, et écrive les réponses.

Comment cadrer un usage d'IA sans bloquer l'entreprise ?

L'erreur classique est d'ouvrir un chantier de conformité de six mois pour trois usages qui prennent une demi-journée à encadrer. La séquence utile est courte :

— Recenser les usages réellement en cours, y compris ceux que personne n'a déclarés. C'est toujours l'étape la plus instructive.
— Pour chacun, noter quelles données y entrent. Pas la catégorie théorique : les données réelles, telles qu'elles sont copiées-collées.
— Écarter d'abord ce qui est évitable. Beaucoup d'envois de données personnelles n'apportent rien au résultat et disparaissent sans discussion une fois nommés.
— Pour ce qui reste, décider : autorisé avec règle, autorisé avec relecture, ou interdit. Et l'écrire dans un document que les gens liront vraiment.

Ce travail se combine naturellement avec l'obligation de maîtrise de l'IA prévue par le règlement européen, qui demande de soutenir la montée en compétence de vos équipes. Les deux portent sur les mêmes usages et sur les mêmes personnes. ce que l'article 4 de l'AI Act exige exactement est détaillé dans un autre article de ce blog.

Si vous voulez que quelqu'un mène ce recensement avec vous plutôt que de vous laisser un rapport à appliquer, c'est le rôle d'un consultant IA qui construit aussi les outils. Le premier tri se fait dans un cadrage, et il peut se tenir en présentiel dans la métropole lilloise, le studio étant déclaré à Villeneuve-d'Ascq. Les cabinets et professions réglementées, eux, ont un contexte particulier : voir la page qui leur est consacrée.

Que retenir ?

Les recommandations de la CNIL sur l'IA sont solides, publiques et gratuites, et elles ne vous sont probablement pas destinées. Les lire pour se rassurer est une perte de temps. Les lire pour comprendre ce que votre fournisseur aurait dû faire est en revanche un excellent usage.

Votre part du travail est ailleurs, et elle est plus courte : savoir quels usages existent chez vous, quelles données y circulent, et qui relit avant que ça sorte.

Sources

Vos questions

Peut-on envoyer un document client à un assistant IA ?

Cela dépend de trois choses, et aucune des trois ne se règle en lisant les conditions générales de l'outil. D'abord, ce que contient le document : un devis anonymisé et un dossier médical ne posent pas le même problème. Ensuite, ce que le fournisseur fait des données reçues, en particulier s'il les réutilise pour entraîner ses modèles, ce qui change complètement la nature du traitement. Enfin, ce que vous avez dit à la personne concernée sur l'usage de ses données. Beaucoup d'entreprises tranchent cette question par une interdiction générale que personne ne respecte, ce qui est la pire des situations : l'usage continue en douce, hors de tout cadre, et vous ne savez même plus quelles données sortent. Une règle écrite, connue et tenable protège mieux qu'un interdit théorique.

Un outil hébergé en Europe suffit-il à être conforme ?

Non, et c'est un raccourci qui coûte cher. La localisation du serveur est une question réelle, mais ce n'est qu'une des questions. Un outil hébergé à Francfort peut parfaitement traiter vos données pour une finalité que vous n'avez pas prévue, les conserver plus longtemps que nécessaire, ou les réutiliser à des fins d'amélioration de service. À l'inverse, un transfert hors Union européenne n'est pas illicite en soi : il est encadré. Le RGPD raisonne en finalité, en base légale, en durée de conservation et en information des personnes, pas en géographie. L'hébergement européen est un bon réflexe et une exigence contractuelle légitime, notamment parce qu'il simplifie beaucoup de discussions, mais le présenter comme la conformité elle-même revient à confondre une condition avec une réponse.

Faut-il une analyse d'impact pour un simple usage d'IA générative ?

Pas systématiquement, et la question mérite mieux qu'un oui ou un non. L'analyse d'impact relative à la protection des données s'impose quand un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. Ce critère porte sur le traitement, pas sur la technologie employée. Faire reformuler un courrier commercial déjà rédigé ne crée pas de risque élevé. Analyser automatiquement des candidatures, trier des dossiers de patients ou noter des salariés, c'est une autre affaire, et la présence d'IA rend souvent le risque plus difficile à évaluer plutôt que plus faible. Le bon réflexe est de poser la question usage par usage au moment du recensement, plutôt que d'ouvrir un chantier global qui n'aboutira jamais.

Qui est responsable si l'IA se trompe, vous ou l'éditeur ?

Vis-à-vis de la personne dont les données sont traitées, c'est vous. C'est la logique du RGPD depuis le premier jour : celui qui détermine les finalités et les moyens du traitement en répond, et le fournisseur d'outil agit le plus souvent comme sous-traitant, avec ses propres obligations mais sans vous décharger des vôtres. Cela vaut aussi pour la qualité du résultat. Un devis erroné parce qu'un assistant a inventé un montant reste votre devis, et le client n'a que faire de savoir quel logiciel l'a produit. C'est la raison pour laquelle la relecture humaine sur tout ce qui sort vers l'extérieur n'est pas une précaution excessive : c'est le seul endroit où la responsabilité peut effectivement s'exercer.