Une IA conforme au RGPD : quelles questions poser avant de l'utiliser ?

« Notre outil est conforme RGPD » : la formule figure sur beaucoup de pages d'éditeurs d'IA. Elle ne dit pas grand-chose à un dirigeant qui veut y mettre des fichiers clients, des CV ou des dossiers de salariés. Cette page explique pourquoi la question est mal posée, puis donne les questions à poser au fournisseur, chacune rattachée à l'article du RGPD ou à la recommandation de la CNIL qui la justifie.

Un outil d'IA peut-il être « conforme au RGPD » ?

Pas au sens d'un label. Le RGPD s'applique à un traitement de données, c'est-à-dire à un usage précis, et c'est l'entreprise qui décide de cet usage qui en répond. La CNIL le dit aux utilisateurs d'IA générative : c'est l'organisme utilisateur « qui engagera sa responsabilité légale en cas de mauvaise utilisation de l'IA par son personnel », et « il vous revient donc d'interroger le fournisseur sur la conformité de son système au RGPD ».

Il existe bien des certifications, prévues par l'article 42 du RGPD. Elles sont volontaires, et le même article précise qu'elles ne diminuent pas la responsabilité de celui qui traite les données. La CNIL ajoute qu'« un organisme auquel une certification a été délivrée reste susceptible de se voir sanctionner ». Un fournisseur certifié n'est donc pas une réponse en soi : ses engagements doivent encore correspondre à votre usage.

Qui est responsable, vous ou le fournisseur ?

En général, vous êtes le responsable du traitement et le fournisseur est votre sous-traitant. Vous choisissez pourquoi et sur quelles données l'IA travaille ; il exécute pour votre compte. L'article 28 vous impose de ne faire appel qu'à des sous-traitants « qui présentent des garanties suffisantes », et la CNIL demande de sécuriser le recours à une infrastructure externe « par le biais d'un contrat de sous-traitance ». Les questions qui suivent servent à vérifier ces garanties avant de signer.

Quelles questions poser avant d'utiliser une IA ?

Neuf, en commençant par votre propre usage. Le tableau les résume.

Question	Texte de référence
1. Pour quoi faire, et sur quelle base légale ?	RGPD, articles 5 et 6
2. Y a-t-il des données particulières ?	RGPD, article 9
3. L'IA décide-t-elle seule ?	RGPD, articles 13 et 22
4. Le fournisseur signe-t-il un contrat de sous-traitance ?	RGPD, article 28
5. Réutilise-t-il vos données ?	RGPD, article 28 ; CNIL ; CEPD, avis 28/2024
6. Où les données sont-elles traitées ?	RGPD, chapitre V ; décision (UE) 2023/1795
7. Combien de temps sont-elles gardées ?	RGPD, articles 5 et 28
8. Quelles mesures de sécurité ?	RGPD, articles 28 et 32
9. Faut-il une analyse d'impact ?	RGPD, article 35 ; critères de la CNIL

1. Pour quoi faire, et sur quelle base légale ?

Avant le fournisseur, votre besoin. La CNIL recommande de « partir d'un besoin concret ». Le RGPD exige ensuite une base légale parmi six (article 6) : le consentement, l'exécution d'un contrat, une obligation légale, la sauvegarde des intérêts vitaux, une mission d'intérêt public ou l'intérêt légitime. Et il demande des données « limitées à ce qui est nécessaire » (article 5, minimisation). Pour résumer un contrat, l'IA a rarement besoin du nom des parties : c'est souvent la première donnée à retirer.

2. Y a-t-il des données particulières ?

Santé, opinions politiques, convictions religieuses, appartenance syndicale, origine, orientation sexuelle, données biométriques : l'article 9 en interdit le traitement, sauf exceptions qu'il énumère. Un arrêt maladie dans un dossier RH ou une mention de santé dans une demande de client suffit à faire basculer le document dans cette catégorie. Si c'est le cas, l'exigence monte d'un cran pour toutes les questions suivantes.

3. L'IA décide-t-elle seule ?

Elle ne devrait pas, quand la décision touche une personne. L'article 22 donne à chacun le droit de ne pas faire l'objet d'une décision « fondée exclusivement sur un traitement automatisé » qui produit des effets juridiques ou l'affecte de manière significative, sauf exceptions. Et l'article 13 impose d'informer la personne de l'existence d'une telle décision. Le mot qui compte est « exclusivement » : une IA qui prépare, avec une personne qui examine vraiment le dossier et décide, n'est pas dans ce cas. Une validation de principe, signée sans regarder, l'est sans doute encore : c'est à apprécier usage par usage.

4. Le fournisseur signe-t-il un contrat de sous-traitance ?

C'est la question qui tranche le plus vite. L'article 28 fixe ce que le contrat doit prévoir, notamment que le fournisseur :

• ne traite les données « que sur instruction documentée » de votre part, y compris pour les transferts ;
• fait respecter la confidentialité par les personnes qui y ont accès ;
• ne recourt à un autre sous-traitant qu'avec votre autorisation écrite, et vous prévient de tout changement pour que vous puissiez vous y opposer ;
• supprime ou vous rend les données en fin de prestation, selon votre choix ;
• permet « la réalisation d'audits, y compris des inspections ».

Un outil utilisé avec de simples conditions générales acceptées par un salarié, sans avenant de protection des données au nom de l'entreprise, ne remplit pas cette condition. C'est le cas typique des comptes personnels, détaillé dans le guide ChatGPT et données confidentielles.

5. Réutilise-t-il vos données ?

Pour entraîner ses modèles, par exemple. La CNIL demande de « déterminer dans quelle mesure le prestataire opérant le système est susceptible de réutiliser les données fournies ». Un sous-traitant qui traite vos données pour ses propres fins sort de l'instruction documentée prévue par l'article 28. Demandez où c'est écrit, et si c'est désactivé par défaut ou à désactiver vous-même.

Une question en amont peut aussi compter : comment le modèle a été construit. Le comité européen de la protection des données (CEPD) indique, dans son avis 28/2024, que les autorités tiendront compte du fait que l'entreprise qui déploie un modèle a fait une « évaluation appropriée » pour s'assurer qu'il n'a pas été mis au point de manière illicite, avec un niveau de détail qui dépend des risques. Pour un outil courant, cela revient à lire la documentation publiée par l'éditeur et à garder une trace de cette lecture.

6. Où les données sont-elles traitées ?

Dans l'Union européenne, ou ailleurs avec une base de transfert. Le chapitre V du RGPD encadre tout transfert hors de l'Union : vers un pays reconnu adéquat par la Commission (article 45), ou avec des garanties appropriées, comme les clauses contractuelles types (article 46). L'article 49 prévoit aussi des dérogations pour des situations particulières, qui ne conviennent pas à un usage courant et répété d'un outil. Pour les États-Unis, la décision d'adéquation du 10 juillet 2023 ne couvre que les organisations inscrites sur la liste du « Data Privacy Framework » tenue par le ministère du commerce américain : vérifiez que le fournisseur y figure. Le Tribunal de l'Union a rejeté le 3 septembre 2025 un recours contre cette décision ; un pourvoi a été formé devant la Cour de justice le 31 octobre 2025.

Demandez aussi la liste des sous-traitants ultérieurs : un éditeur européen peut s'appuyer sur un hébergeur ou un modèle situé ailleurs, et l'inverse.

7. Combien de temps les données sont-elles gardées ?

Pas plus longtemps que nécessaire. L'article 5 pose le principe de limitation de la conservation, et l'article 28 prévoit la suppression ou la restitution en fin de prestation. Pour un outil d'IA, demandez séparément la durée de conservation des requêtes, des documents envoyés et des journaux techniques : elles diffèrent souvent.

8. Quelles mesures de sécurité ?

Celles de l'article 32, qui demande « un niveau de sécurité adapté au risque » : le texte cite la pseudonymisation et le chiffrement, la capacité à rétablir l'accès aux données après un incident, et des tests réguliers. Demandez ce qui est chiffré, qui peut accéder aux données chez le fournisseur, et comment il vous prévient en cas de violation. De votre côté, remplacer les noms par des balises avant d'envoyer un document y contribue. Pour parler de pseudonymisation au sens de l'article 4, il faut que les données ne puissent plus être rattachées à une personne sans des informations conservées à part : retirer aussi les autres éléments identifiants (adresse, montant, date de naissance) et garder la table de correspondance chez vous. Des données pseudonymisées restent des données personnelles : le RGPD continue de s'appliquer.

9. Faut-il une analyse d'impact ?

Parfois. L'article 35 impose une analyse d'impact (AIPD) avant tout traitement « susceptible d'engendrer un risque élevé », en particulier par le recours à de nouvelles technologies. La CNIL la rend obligatoire quand le traitement figure sur sa liste ou remplit au moins deux des neuf critères du CEPD, parmi lesquels les données sensibles, les personnes vulnérables, l'évaluation ou la notation de personnes, la décision automatique et l'« usage innovant ». Un usage d'IA sur des données sensibles en coche souvent deux. C'est à l'entreprise qui déploie l'outil de la réaliser, pas au fournisseur, même si celui-ci doit l'y aider (article 28).

Ce que ça veut dire pour vous

La question utile n'est pas « cet outil est-il conforme ? », mais « pour ces données-là, qui les voit, où, combien de temps, et sous quel contrat ? ». C'est la même grille que je pose avant de construire quoi que ce soit, décrite sur la page métiers réglementés et données sensibles : un schéma de qui voit quelle donnée, et un contrat de sous-traitance signé avant le premier dossier. Quand les données sont sensibles, elles restent en Europe ; quand elles ne le sont pas, on prend simplement l'outil le plus efficace.

Si vous ne savez pas encore quelles données vos équipes confient à l'IA, c'est par là que commence un audit : la cartographie de qui voit quoi, et où c'est stocké. Et pour réduire ce qu'un modèle voit d'un document, Le Caviardeur montre une façon de faire : les noms, montants et adresses y sont remplacés par des balises avant que l'IA ne le lise, la correspondance restant chez son auteur.

Sources

• Règlement (UE) 2016/679 (RGPD), articles 4, 5, 6, 9, 13, 22, 28, 32, 35, 42, 44 à 46 et 49, EUR-Lex, consulté le 18 octobre 2026.
• Décision d'exécution (UE) 2023/1795 du 10 juillet 2023 (cadre de protection des données UE–États-Unis), article 1er, EUR-Lex, consulté le 18 octobre 2026.
• Tribunal de l'Union européenne, communiqué n° 106/25 du 3 septembre 2025, affaire T-553/23, consulté le 18 octobre 2026.
• Pourvoi formé le 31 octobre 2025, affaire C-703/25 P, JO C du 22 décembre 2025, EUR-Lex, consulté le 18 octobre 2026.
• CNIL, Les questions-réponses de la CNIL sur l'utilisation d'un système d'IA générative, 18 juillet 2024, consulté le 18 octobre 2026.
• CNIL, Comment déployer une IA générative ? La CNIL apporte de premières précisions, 18 juillet 2024, consulté le 18 octobre 2026.
• CNIL, Qu'est-il possible de faire certifier ?, 9 septembre 2024, consulté le 18 octobre 2026.
• CNIL, Ce qu'il faut savoir sur l'analyse d'impact relative à la protection des données (AIPD), consulté le 18 octobre 2026.
• CNIL, Développement des systèmes d'IA : les recommandations de la CNIL pour respecter le RGPD, 22 juillet 2025, consulté le 18 octobre 2026.
• CEPD, avis 28/2024 sur certains aspects de la protection des données liés aux modèles d'IA, 17 décembre 2024, points 129 et 130, consulté le 18 octobre 2026.