IA et RGPD : comment rester conforme

L'IA et le RGPD sont compatibles à condition de traiter chaque usage d'IA comme un traitement de données à part entière : base légale identifiée, minimisation des prompts, et fournisseur qualifié de sous-traitant au sens de l'article 28 du RGPD. La CNIL a publié des recommandations spécifiques sur ce sujet.

Points clés

• L'IA ne bénéficie d'aucune exception au RGPD : chaque prompt contenant des données personnelles est un traitement.
• La minimisation des données s'applique au contenu des prompts, pas seulement aux bases de données classiques.
• L'intérêt légitime est une base légale possible pour développer un système d'IA, selon la CNIL, sous réserve de garanties fortes.
• Un fournisseur de modèle d'IA agit généralement comme sous-traitant, ce qui suppose un contrat conforme à l'article 28 du RGPD.
• La CNIL a publié, avec le Conseil de l'IA et du Numérique, une note spécifique sur les risques de l'IA agentique pour les données personnelles.
• DevKira permet de masquer les données sensibles avant qu'elles n'atteignent un modèle externe, ou de les traiter sous juridiction européenne.

Sommaire

• Comment l'IA et le RGPD s'articulent-ils concrètement ?
• Quelle base légale pour utiliser l'IA avec des données personnelles ?
• Qu'est-ce que la minimisation des données appliquée à l'IA ?
• Un fournisseur d'IA est-il un sous-traitant au sens du RGPD ?
• 8 règles pour utiliser l'IA sans enfreindre le RGPD
• Quels sont les risques RGPD les plus fréquents avec l'IA générative ?
• Questions fréquentes

Comment l'IA et le RGPD s'articulent-ils concrètement ?

Le RGPD s'applique à l'IA de la même façon qu'à n'importe quel traitement de données personnelles : dès qu'un nom, un email, une donnée de santé ou toute information identifiante entre dans un prompt ou un jeu d'entraînement, ce prompt devient un traitement soumis au règlement. L'IA ne crée pas un régime juridique séparé, elle multiplie simplement les points d'entrée où ce traitement peut se produire sans que l'entreprise s'en aperçoive.

La CNIL consacre une section entière de son site à ces questions, couvrant l'IA générative, l'IA agentique et l'audit RGPD des modèles, accessible sur sa page intelligence artificielle. Cette section est mise à jour au fil des évolutions technologiques plutôt que figée dans un texte unique, ce qui en fait la référence à suivre pour toute entreprise française utilisant l'IA.

Quelle base légale pour utiliser l'IA avec des données personnelles ?

La base légale la plus fréquemment mobilisée pour développer ou utiliser un système d'IA impliquant des données personnelles est l'intérêt légitime, à condition que des garanties fortes encadrent le traitement. La CNIL le confirme explicitement : l'intérêt légitime est une base légale possible pour le développement de systèmes d'IA, y compris lorsque les données d'entraînement proviennent de web scraping, comme le détaille son guide pratique sur le sujet.

Ce choix de base légale n'est pas automatique : il suppose une mise en balance documentée entre l'intérêt poursuivi et les droits des personnes concernées, avec des mesures pour limiter l'impact du traitement. Pour un usage interne plus classique, comme l'utilisation d'un assistant IA par les employés sur des données de l'entreprise, l'exécution du contrat de travail ou l'intérêt légitime de l'employeur peuvent également s'appliquer selon le contexte précis.

Qu'est-ce que la minimisation des données appliquée à l'IA ?

La minimisation des données appliquée à l'IA consiste à ne transmettre à un modèle que les données strictement nécessaires à la tâche demandée, et à retirer ou masquer toute donnée personnelle qui ne l'est pas. Ce principe, prévu par le RGPD, prend une dimension pratique nouvelle avec l'IA générative : chaque prompt est une occasion de sur-partager sans y penser.

Concrètement, cela veut dire remplacer un nom de client par un identifiant générique avant de demander à un modèle de rédiger une réponse, ou retirer les coordonnées personnelles d'un document avant de le soumettre à une synthèse automatique. Le principe de minimisation figure explicitement à l'article 5 du texte officiel du RGPD, qui exige que les données traitées soient adéquates, pertinentes et limitées à ce qui est nécessaire.

Un fournisseur d'IA est-il un sous-traitant au sens du RGPD ?

Un fournisseur de modèle d'IA qui traite des données personnelles pour le compte d'une entreprise agit généralement comme sous-traitant au sens de l'article 28 du RGPD, ce qui impose un contrat encadrant précisément les instructions, la sécurité et le sort des données après la fin du traitement. Ce statut ne se présume pas : il dépend du contrôle réel exercé sur les finalités du traitement.

Dans certains montages, notamment quand le fournisseur réutilise les données pour entraîner ses propres modèles, la qualification peut basculer vers celle de responsable de traitement distinct, avec des obligations différentes. C'est précisément pour cette raison qu'un agent IA capable d'agir de façon autonome sur plusieurs systèmes doit faire l'objet d'une attention particulière : plus il touche de sources de données, plus le nombre de sous-traitants potentiels impliqués augmente.

8 règles pour utiliser l'IA sans enfreindre le RGPD

Au-delà des principes juridiques, voici huit règles opérationnelles qui limitent concrètement le risque RGPD d'un usage quotidien de l'IA en entreprise.

1. Ne jamais coller de données personnelles brutes sans nécessité

Avant d'envoyer un texte à un modèle, vérifiez s'il contient des noms, des emails ou d'autres identifiants qui pourraient être retirés ou remplacés sans nuire à la tâche demandée.

2. Vérifier la base légale avant tout traitement par un modèle d'IA

Chaque cas d'usage impliquant des données personnelles doit pouvoir s'appuyer sur une base légale identifiée, documentée avant la mise en production, pas reconstruite après coup en cas de contrôle.

3. Identifier le rôle du fournisseur d'IA

Déterminez si le fournisseur agit comme sous-traitant ou comme responsable de traitement distinct, en fonction de l'usage qu'il fait des données transmises, y compris pour l'entraînement de ses propres modèles.

4. Privilégier le masquage des données sensibles

Quand la tâche le permet, masquez les données sensibles avant qu'elles n'atteignent le modèle, plutôt que de vous reposer uniquement sur les engagements contractuels du fournisseur.

5. Documenter chaque usage d'IA impliquant des données personnelles

Tenez un registre des cas d'usage IA qui traitent des données personnelles, avec la base légale, la finalité et le fournisseur concerné, comme l'exige la logique d'accountability du RGPD.

6. Vérifier la localisation et la juridiction du traitement

Sachez où sont traitées les données envoyées à un modèle et sous quelle juridiction, en particulier pour les fournisseurs soumis à une législation extra-européenne qui pourrait entrer en conflit avec le RGPD. Une plateforme proposant plusieurs postures de souveraineté configurables permet de traiter chaque catégorie de données sous la juridiction appropriée plutôt que par défaut.

7. Informer les personnes concernées le cas échéant

Quand l'usage de l'IA affecte des personnes identifiées, en particulier pour des décisions les concernant, l'obligation d'information et les droits associés du RGPD continuent de s'appliquer normalement.

8. Prévoir un contrat encadrant le fournisseur d'IA

Un accord de sous-traitance conforme à l'article 28 doit préciser les instructions autorisées, les mesures de sécurité et les conditions de suppression des données à la fin de la relation contractuelle.

Quels sont les risques RGPD les plus fréquents avec l'IA générative ?

Les risques RGPD les plus fréquents avec l'IA générative ne viennent presque jamais d'une intention malveillante, mais d'un usage quotidien sans cadre : un prompt trop généreux en données, un outil grand public utilisé sans validation, une absence totale de traçabilité.

Risque	Exemple concret	Comment le limiter
Sur-partage dans un prompt	Coller un contrat entier pour en résumer un seul paragraphe	Extraire uniquement le passage nécessaire avant l'envoi
Absence de base légale documentée	Un usage IA généralisé sans jamais avoir tranché la question	Documenter la base légale avant la mise en production
Fournisseur non qualifié contractuellement	Un outil IA grand public adopté sans contrat de sous-traitance	Vérifier les conditions contractuelles avant tout déploiement
Transfert hors UE non maîtrisé	Des données traitées par un fournisseur soumis à une loi extra-européenne	Privilégier une posture souveraine pour les données sensibles
Absence de traçabilité des usages	Personne ne sait quels outils IA traitent quelles données	Centraliser les accès IA dans un environnement gouverné et audité

Questions fréquentes

L'utilisation de l'IA est-elle compatible avec le RGPD ?

Oui, à condition que chaque usage impliquant des données personnelles s'appuie sur une base légale identifiée, respecte le principe de minimisation et encadre contractuellement le rôle du fournisseur de modèle. L'IA ne bénéficie d'aucune exception : elle est traitée comme tout autre traitement de données.

Quelle base légale utiliser pour l'IA en entreprise ?

L'intérêt légitime est la base la plus fréquemment mobilisée pour le développement et l'usage de systèmes d'IA, selon la CNIL, à condition d'une mise en balance documentée avec les droits des personnes concernées. D'autres bases, comme l'exécution du contrat de travail, peuvent s'appliquer selon le contexte précis.

Un outil d'IA grand public peut-il traiter des données personnelles ?

Techniquement oui, mais cela suppose que le fournisseur soit contractuellement engagé comme sous-traitant au sens de l'article 28 du RGPD, avec des garanties vérifiées plutôt que présumées. De nombreux outils grand public ne sont pas conçus par défaut pour cet usage professionnel.

Qu'est-ce que la minimisation des données appliquée à un prompt IA ?

Cela consiste à retirer ou masquer toute donnée personnelle non strictement nécessaire avant d'envoyer un texte à un modèle d'IA, en ne conservant que ce qui est indispensable à la tâche demandée. C'est le principe de minimisation du RGPD appliqué concrètement à l'usage quotidien de l'IA.

Faut-il un DPA (accord de sous-traitance) avec un fournisseur d'IA ?

Oui, dès lors que le fournisseur traite des données personnelles pour le compte de l'entreprise et agit comme sous-traitant, un accord conforme à l'article 28 du RGPD est nécessaire, précisant les instructions, la sécurité et le sort des données en fin de contrat.

Que dit la CNIL sur l'intelligence artificielle ?

La CNIL a publié une section dédiée couvrant l'IA générative, l'IA agentique et l'audit RGPD des modèles, avec des recommandations pratiques sur la base légale et le web scraping pour l'entraînement. Cette production est mise à jour régulièrement plutôt que figée dans un document unique.

Prochaine étape

Rester conforme avec l'IA ne dépend pas d'un seul choix technique, mais d'un cadre appliqué à chaque usage : base légale, minimisation, contrat avec le fournisseur, traçabilité. Pour voir comment ce cadre s'applique à un environnement de travail complet, explorez les capacités de gouvernance DevKira, ou réservez une démonstration pour évaluer votre exposition actuelle.