craft.ai
Guides

Article 35 RGPD

Une AIPD, ce n'est pas « parce que c'est de l'IA »

L'analyse d'impact se déclenche sur le risque du traitement, pas sur le mot intelligence artificielle. Un chatbot FAQ et un tri de CV ne se ressemblent pas. Les listes françaises non plus : 2018-327 oblige, 2019-118 exempte, 2018-326 n'est ni l'une ni l'autre.

Rendez-vous Décrire mon besoin

Page mise à jour le

La réponse courte

Une analyse d'impact relative à la protection des données (AIPD) est obligatoire, avant le traitement, lorsqu'il est susceptible d'engendrer un risque élevé pour les droits et libertés — « en particulier par le recours à de nouvelles technologies » (article 35, paragraphe 1, du RGPD). Le G29 a listé neuf critères ; deux ou plus font présumer le risque élevé. En France, la délibération 2018-327 liste des traitements pour lesquels l'AIPD est requise (dont les profils RH) ; la délibération 2019-118 liste des exemptions. L'exemption « RH de moins de 250 salariés » exclut expressément le profilage et ne couvre pas le recrutement. La fiche CNIL du 8 avril 2024 ajoute qu'en cas de profilage ou de décision automatisée, une AIPD est toujours requise. L'AIDF de l'article 27 de l'AI Act est un autre exercice, qui ne vise pas une PME privée ordinaire.

Les listes françaises, dans le bon ordre

Trois délibérations circulent, et on les inverse souvent. La 2018-326 du 11 octobre 2018 adopte des lignes directrices : ce n'est pas une liste d'exemptions. La 2018-327, le même jour, liste quatorze types de traitements pour lesquels une AIPD est requise, liste non exhaustive — profils à des fins de gestion des ressources humaines (n° 3), surveillance constante de l'activité des employés (n° 4), profilage pouvant aboutir à l'exclusion d'un contrat (n° 8), profilage à partir de sources externes (n° 10). Elle a été modifiée sur la biométrie par la 2019-011 : citer Légifrance, pas un PDF CNIL parfois en retard. La 2019-118 du 12 septembre 2019 liste les traitements pour lesquels une AIPD n'est pas requise. L'exemption n° 1 vise les traitements « uniquement à des fins de ressources humaines » des organismes de moins de 250 personnes, « à l'exception du recours au profilage ». Un tri de CV n'entre pas dans cette exemption.

Les neuf critères du WP248, et le correctif de la CNIL

Évaluation ou notation ; décision automatisée à effet juridique ou similaire ; surveillance systématique ; données sensibles ou hautement personnelles ; grande échelle ; croisement de données ; personnes vulnérables (le texte cite expressément les employés) ; usage innovant ; traitements qui empêchent d'exercer un droit ou de bénéficier d'un service. Deux critères ou plus : présomption de risque élevé. La fiche IA du 8 avril 2024 refuse l'automatisme dans les deux sens : une AIPD peut être due même avec moins de deux critères s'il existe un risque important (mésusage, violation, discrimination) ; elle peut ne pas l'être si deux critères sont remplis mais que le responsable établit de façon suffisamment certaine l'absence de risque élevé. Sur le profilage ou la décision automatisée, en revanche, la CNIL tranche : « une AIPD est toujours requise ». L'usage innovant s'apprécie au regard de l'état des connaissances technologiques, pas du seul contexte de l'organisme : « on n'a jamais fait d'IA chez nous » ne suffit pas à cocher le critère.

Deux cas concrets : chatbot interne, tri de CV

Un agent conversationnel mis à disposition des salariés pour faciliter la rédaction, sans profilage, sans données sensibles, sans grande échelle, « présente moins de risques » selon la CNIL qu'un système d'aide à la décision sur des clients, candidats ou citoyens. Pas d'obligation automatique, mais l'analyse doit être documentée (accountability, articles 24 et 5, paragraphe 2). La bascule existe : données de santé, mineurs, scoring, décision qui affecte significativement, mémorisation avérée dans le modèle. Un outil de tri de CV, lui, cumule le point 3 de la 2018-327, souvent les points 8 ou 10, les critères 1, 2 et 7 du WP248, et la phrase « toujours requise » de la fiche. L'AI Act classera le même outil en annexe III point 4, avec des obligations déployeur au 2 décembre 2027. L'AIPD, elle, est due maintenant. La CNIL a inscrit le recrutement parmi ses contrôles prioritaires 2026.

AIPD n'est pas AIDF

L'analyse d'impact sur les droits fondamentaux (article 27 de l'AI Act) s'impose aux déployeurs organismes de droit public, aux entités privées fournissant des services publics, et aux déployeurs des systèmes de l'annexe III, points 5 b) et 5 c) (crédit, assurance-vie et santé). Une TPE ou PME privée hors ces cas n'y est pas soumise. L'omnibus n'a pas changé ce champ ; il a ajouté la possibilité de renvoyer à l'AIPD RGPD et un modèle de questionnaire du Bureau de l'IA. Faire une AIDF « pour être tranquille » n'est pas illicite, mais la vendre comme obligatoire à une PME de service l'est, intellectuellement. Ce qui est obligatoire, le cas échéant, c'est l'AIPD, avec l'outil libre PIA de la CNIL, avant le traitement, et avec une consultation de la CNIL (article 36) si le risque résiduel reste élevé.

À vérifier chez vous

Ce que vous pouvez contrôler vous-même

Des points vérifiables sans expertise juridique. Si l'un d'eux coince, c'est celui-là qu'il faut apporter à votre conseil.

  • Ne pas citer la 2018-326 comme liste d'exemptions : c'est la 2019-118.
  • Si profilage ou décision automatisée : AIPD, point final, y compris en RH de moins de 250 personnes.
  • Documenter l'analyse même quand la conclusion est « pas d'AIPD » — l'accountability se prouve.
  • Distinguer AIPD (RGPD, maintenant) et AIDF (AI Act art. 27, PME privée ordinaire : non).
  • Pour un tri de CV, ouvrir le guide recrutement CNIL (janvier 2023) en plus de la fiche AIPD.

Sources

Chaque affirmation de cette page renvoie au texte qui fait foi. En cas d'écart entre cette page et la source, c'est la source qui a raison.

Vos questions

Une PME de 40 salariés est-elle dispensée d'AIPD pour ses outils RH ?

Seulement pour la gestion courante du personnel, hors profilage. L'exemption n° 1 de la délibération 2019-118 est étroite : traitements « uniquement à des fins de ressources humaines », « dans les conditions prévues par les textes applicables », organismes de moins de 250 personnes, « à l'exception du recours au profilage ». Un suivi de paie, un planning, un dossier administratif peuvent passer. Un outil qui note, classe, prédit la performance, filtre des candidatures, ne passe pas. Le recrutement de candidats externes n'est pas « la seule gestion du personnel ». C'est le piège le plus coûteux de cette exemption, et il est dans le texte.

L'IA est-elle toujours un « usage innovant » au sens du WP248 ?

Non. La CNIL le dit explicitement dans la fiche du 8 avril 2024 : l'usage innovant s'apprécie au regard de l'état des connaissances technologiques, pas du seul contexte de l'organisme. Un correcteur grammatical fondé sur un modèle, en 2026, n'est plus une nouvelle solution technologique au sens de ce critère. Un système qui décide d'écarter des candidatures sur la base d'un modèle entraîné sur vos propres données l'est davantage — et, de toute façon, d'autres critères seront déjà remplis. Cocher « innovant » par réflexe, ou le refuser par réflexe, revient au même : on ne fait pas l'analyse.

Faut-il attendre les lignes directrices de l'article 6 de l'AI Act pour décider d'une AIPD ?

Non. L'AIPD est une obligation RGPD, indépendante de la classification haut risque. Les lignes directrices de l'article 6, paragraphe 5, de l'AI Act n'étaient toujours pas adoptées au 21 août 2026. Même si elles le deviennent, elles ne dispenseront pas d'une AIPD due au titre de l'article 35, de la 2018-327 ou de la fiche CNIL. Inversement, un système hors annexe III peut malgré tout exiger une AIPD. Les deux calendriers ne se commandent pas. Pour un usage de 2026, on documente le RGPD maintenant, et on prépare l'article 26 pour décembre 2027 si l'annexe III s'applique.

Une idée en tête ?

Réservez un rendez-vous ou écrivez-nous — réponse sous 24 h.

Rendez-vous Écrire un message