IA générative et RGPD : guide pratique pour DPO, DSI et juristes

Le RGPD s'applique-t-il à l'IA générative, et un modèle peut-il y échapper ?

Le RGPD s'applique dès qu'un système d'IA collecte ou utilise des données personnelles. La CNIL le formule ainsi : comme tout traitement, la collecte et l'utilisation de données via un système d'IA doivent respecter le RGPD et les droits des personnes [2]. Cela vaut pour les données d'entraînement comme pour celles que les utilisateurs saisissent. Une source web non officielle l'exprime de la même façon, à titre d'illustration [21].

Ce que recouvre l'« IA générative »

La CNIL désigne par « IA générative » les systèmes capables de créer des contenus, par exemple du texte [7]. Elle distingue schématiquement trois catégories de tâches, dont la génération de contenu à partir d'une instruction générale [3].

Un modèle peut-il échapper au RGPD ?

Oui, dans certains cas, mais le point doit être démontré et non présumé. La CNIL établit deux situations :

• Modèle anonyme : certains modèles d'IA sont anonymes et n'ont pas à appliquer le RGPD [1].
• Modèle qui mémorise : d'autres, comme les modèles de langage (LLM), peuvent relever du RGPD [1]. C'est le cas s'ils mémorisent des données personnelles issues de leur entraînement [6].

Le statut d'un modèle n'est donc pas acquis d'avance. Il suppose une analyse au cas par cas, que la CNIL détaille dans une fiche pratique dédiée [6]. Elle recommande par ailleurs d'anonymiser les données d'entraînement ou de s'assurer que le modèle est anonyme [10].

Conséquence pour le responsable de traitement

Un modèle réputé anonyme ne dispense pas de justifier sa position. Tout responsable de traitement doit documenter de manière adéquate la conformité de ses traitements, par exemple dans une analyse d'impact [9].

Ce texte explique les recommandations de la CNIL. Il ne remplace pas l'appréciation de la conformité, qui revient à l'entreprise et à ses conseils.

Quelle base légale et quelle finalité choisir pour chaque usage ?

Tout système d'IA exploitant des données personnelles doit reposer sur une base légale. Selon la CNIL, il « ne pourra être mis en œuvre que s'il correspond à une justification prévue par la loi », et le RGPD en prévoit six [5] :

• le consentement ;
• le respect d'une obligation légale ;
• l'exécution d'un contrat ;
• l'exécution d'une mission d'intérêt public ;
• la sauvegarde des intérêts vitaux ;
• la poursuite d'un intérêt légitime.

La finalité d'abord, la base légale ensuite

La finalité est le « pourquoi » du traitement, et c'est elle qui permet de choisir la base légale adaptée. La CNIL confirme que l'IA est compatible avec le RGPD, à condition de respecter certaines conditions et de ne pas franchir certaines lignes rouges. Le principe de finalité fait partie de ces conditions [11]. Il faut donc définir une finalité et une base légale pour chaque usage, et non une seule pour « l'IA » en général. Un résumé de contenu, une aide à la rédaction de réponses clients et un tri de candidatures n'ont ni les mêmes finalités ni les mêmes risques.

Exemple : un nom de client ou un contrat dans un prompt

Coller un nom de client, un dossier de salarié ou un contrat dans un prompt revient à transmettre ces données à un fournisseur. C'est un traitement, qui exige une finalité et une base légale [30]. Cet exemple provient d'un site de formation, source non officielle : il illustre le raisonnement, il n'est pas un texte de la CNIL. Il rejoint toutefois l'approche qui consiste à identifier les traitements à chaque étape : prompts, documents, entraînement et réponses [15].

Oupi est conçu, développé et hébergé en France (en savoir plus). Cela ne choisit pas la base légale à la place de l'organisation : l'appréciation de la conformité reste celle de l'entreprise et de ses conseils.

Quelles données peut-on envoyer à un outil d'IA générative ?

Le principe de minimisation fixe la règle : n'envoyer à un outil d'IA générative que les données personnelles strictement utiles à la finalité poursuivie. Le RGPD impose que les données collectées soient « adéquates, pertinentes et limitées au regard des finalités poursuivies par le responsable de traitement » [23]. En pratique, l'usage n'est ni interdit ni libre : il est possible à condition de ne pas fournir plus que nécessaire et de savoir où partent les données [24]. Cette formule vient d'un acteur commercial, mais elle reprend le principe de minimisation.

Les flux à cartographier avant tout usage

Il faut identifier les données traitées à chaque étape du cycle [15][18] :

• les prompts : ce que les utilisateurs saisissent ;
• les documents : fichiers joints ou connectés à l'outil ;
• l'entraînement : l'éventuelle réutilisation des données pour améliorer le modèle ;
• les réponses : une information fausse sur une personne peut aussi être une donnée personnelle [15].

Cette cartographie permet aussi de désigner les responsabilités et les garanties à prévoir [18].

Ce que recommande la CNIL

Dans ses recommandations sur le développement des systèmes d'IA, la CNIL préconise, lorsque c'est possible, des règles générales de détection et de pseudonymisation des données personnelles, plutôt qu'une liste noire [10]. Elle recommande aussi d'anonymiser les données d'entraînement, ou de s'assurer que le modèle est anonyme [10]. Ces recommandations visent le développement de systèmes d'IA. Les appliquer aux prompts et aux documents des utilisateurs relève d'une transposition de prudence, pas d'une exigence énoncée par la CNIL.

Le choix d'un outil conçu, développé et hébergé en France, comme Oupi, ne dispense pas de cette démarche : la minimisation reste à apprécier par l'entreprise, avec ses conseils.

Que vérifier chez le fournisseur, notamment en cas de transfert hors de l'Union européenne ?

La CNIL place la vérification du fournisseur à la charge de l'utilisateur ou de l'intégrateur. Selon ses questions-réponses sur l'IA générative, il revient à celui qui déploie un système d'IA générative d'interroger le fournisseur sur la conformité de ce système au RGPD, car la plupart ont été configurés à partir de données personnelles [3]. Cette démarche s'inscrit dans le principe de responsabilité : le fait que le fournisseur affirme être conforme ne dispense pas l'entreprise de vérifier.

Un fournisseur établi hors de l'Union européenne implique un transfert de données à encadrer. Lorsqu'un collaborateur soumet des données personnelles à un outil dont le fournisseur est établi hors UE, ce transfert doit respecter les conditions strictes prévues par les articles 44 et suivants du RGPD [20]. Cette source est celle d'un cabinet d'avocats, pas d'une autorité : elle sert ici de repère, et le texte du règlement reste la référence à consulter.

Les points à faire préciser par écrit au fournisseur découlent directement de ce cadre :

• le pays d'établissement du fournisseur et celui de ses éventuels sous-traitants ;
• le lieu d'hébergement des données saisies (prompts, documents) ;
• l'existence d'un transfert hors UE et, le cas échéant, l'outil juridique qui l'encadre ;
• les réponses du fournisseur sur la conformité de son système au RGPD [3].

Le lieu de conception et d'hébergement fait partie des éléments à examiner. Oupi est conçu, développé et hébergé en France. Pour une organisation qui conduit cette vérification, cela peut simplifier l'analyse de la question des transferts, puisque la localisation de l'hébergement est un critère à instruire. Cela ne vaut pas conformité automatique : l'appréciation reste celle de l'entreprise et de ses conseils, au regard de ses propres usages, de ses finalités et des garanties contractuelles obtenues.

Faut-il réaliser une analyse d'impact (AIPD) et comment documenter le traitement ?

Tout responsable de traitement doit documenter la conformité de ses traitements, et l'AIPD (analyse d'impact relative à la protection des données) est l'un des supports possibles. La CNIL pose cette exigence au titre du principe de responsabilité : la documentation doit être « adéquate », « par exemple dans une analyse d'impact sur la protection des données » [9]. Cette formulation figure dans sa fiche consacrée à l'analyse du statut d'un modèle d'IA. L'AIPD peut donc aussi consigner cette analyse : le modèle mémorise-t-il des données personnelles issues de son entraînement, relève-t-il du RGPD [6][9] ?

Quand une AIPD s'impose-t-elle ?

Une source commerciale affirme que la CNIL retient une règle pratique : un traitement remplissant au moins deux critères serait présumé soumis à AIPD [31]. Cette règle des critères cumulatifs n'est pas établie ici par une source primaire. Les listes de critères et le seuil de l'obligation doivent être vérifiés dans les textes de la CNIL et du Comité européen de la protection des données (CEPD), qui ne figurent pas dans notre dossier. Nous ne tranchons donc pas la question de l'obligation pour un usage donné.

Documenter le traitement dans le registre

Que l'AIPD soit requise ou non, le traitement doit figurer au registre. Selon des sources commerciales, il faut y documenter la finalité et la base légale [28], et l'usage de systèmes d'IA générative constitue un traitement de données personnelles dès que de telles données sont traitées [33].

Pour un usage donné, on peut consigner :

• la finalité et la base légale retenue ;
• les données traitées, par exemple celles saisies dans les prompts ;
• l'analyse du statut du modèle, lorsqu'elle a été menée [9].

L'appréciation de la conformité relève de l'entreprise et de ses conseils.

Comment articuler RGPD, AI Act et nouveaux usages comme l'IA agentique ?

Le RGPD ne suffit pas à lui seul à encadrer l'IA, car c'est une loi générale sur les données, et l'AI Act vient le compléter. Selon l'Agence nationale de la cohésion des territoires, l'intelligence artificielle pose des questions que le RGPD seul ne couvre pas suffisamment [4].

Deux textes aux objets différents

Pour un DPO, un DSI ou un juriste, il faut donc raisonner sur deux niveaux :

• Le RGPD s'applique dès qu'il y a traitement de données personnelles. La CNIL le rappelle : la collecte et l'utilisation de données via un système d'IA doivent respecter le RGPD et les droits des personnes [2].
• L'AI Act traite des enjeux propres à l'IA, que le RGPD ne couvre pas suffisamment [4].

Les obligations de l'un ne remplacent pas celles de l'autre. Le dossier de sources ne permet pas de confirmer de calendrier d'application de l'AI Act à partir d'un texte officiel. Nous n'en citons donc aucun : vérifiez les échéances directement dans le texte du règlement.

L'IA agentique, un sujet à suivre

L'IA agentique soulève des questions nouvelles pour la protection des données. La CNIL et le CIANum (Conseil de l'IA et du Numérique) ont mené une réflexion commune sur les enjeux qu'elle soulève [8]. Cette publication est à suivre si vous envisagez de confier à des agents des tâches impliquant des données personnelles. Elle ne remplace pas, à ce stade, l'analyse de chaque traitement : finalité, base légale et documentation restent à établir.

Ce que cela change pour un hébergement en France

Oupi est conçu, développé et hébergé en France. Cela précise le cadre dans lequel les données sont traitées, mais ne crée aucune conformité automatique : elle reste à démontrer cas d'usage par cas d'usage.

Cet article explique des textes et des recommandations publiques. Il ne constitue pas un avis juridique. L'appréciation de la conformité relève de l'entreprise, responsable de ses traitements, et de ses conseils.