IA conforme au RGPD : la checklist en douze points pour tout outil d’IA
En bref
« Conforme au RGPD » n’est pas un label. Cela signifie que vous pouvez démontrer, pour un outil d’IA, quelles données personnelles y entrent, sur quelle base, où elles finissent et comment vous les protégez. Douze points en décident : base légale, finalité, sous-traitance, transferts, entraînement, conservation, accès, journalisation, AIPD, pas de décision sur des personnes, droits des personnes et violations. Un service public achoppe sur les transferts et l’entraînement ; un environnement propre en fait des faits.
Ce que conforme au RGPD veut dire
Le RGPD n’interdit pas l’IA et ne connaît pas de label de conformité. Il exige que vous maîtrisiez le traitement et puissiez le démontrer : la responsabilité. Pour un outil d’IA, cela revient à douze questions. Répondez à toutes avec des preuves et l’outil est conforme pour votre usage. Laissez-en une ouverte et il ne l’est pas, si bon que soit le reste. Voir ChatGPT est-il conforme au RGPD ? pour l’application à l’outil le plus connu.
La checklist
| # | Question | Ce qu’il vous faut |
|---|---|---|
| 1 | Base légale : sur quel fondement traitez-vous des données personnelles avec cet outil ? | Une base par finalité, inscrite au registre des traitements |
| 2 | Finalité : l’outil n’utilise-t-il les données que pour votre finalité ? | Exclusion contractuelle de tout autre usage par le fournisseur |
| 3 | Sous-traitance : existe-t-il un contrat conforme à l’article 28 ? | Signé, avec instructions, sous-traitants ultérieurs et audit |
| 4 | Transferts : les données restent-elles dans l’UE, hors de portée d’une loi étrangère ? | Localisation et maison mère du fournisseur ; voir Le CLOUD Act et les données européennes |
| 5 | Entraînement : le modèle apprend-il de vos saisies ? | Exclusion, démontrable ; sur votre propre matériel, un fait |
| 6 | Conservation : combien de temps l’outil garde-t-il prompts et sorties ? | Une durée que vous fixez et pouvez vérifier |
| 7 | Accès : l’outil ne voit-il que ce que l’utilisateur a le droit de voir ? | Des rôles calqués sur vos propres habilitations |
| 8 | Journalisation : pouvez-vous voir après coup qui a fait quoi ? | Un journal d’audit que vous gérez vous-même |
| 9 | AIPD : le traitement a-t-il été évalué ? | Une AIPD en cas de risque élevé probable ; voir Une AIPD pour l’IA générative |
| 10 | Décisions : l’outil prend-il des décisions sur des personnes ? | Non, ou avec une intervention humaine significative (article 22) |
| 11 | Droits : pouvez-vous exécuter accès, rectification et effacement ? | Une procédure qui couvre aussi l’outil d’IA |
| 12 | Violation : savez-vous sous 72 heures ce qui s’est passé ? | Le délai de notification du fournisseur et un plan interne |
Service public ou environnement propre
Avec un service d’IA public, les points 2, 4, 5, 6 et 8 sont des clauses contractuelles qu’il faut croire et vérifier, et avec un compte gratuit ou personnel elles manquent tout simplement. Avec un environnement propre, un nœud qui n’appartient qu’à votre organisation avec des modèles open-weight, ces mêmes points sont des faits techniques : les données ne quittent pas l’organisation, le modèle n’apprend pas, vous fixez la conservation et vous gérez le journal. Les points 1, 9, 10 et 11 restent votre travail dans les deux cas.
Comment le démontrer
- Inscrivez l’outil d’IA au registre des traitements, avec finalité, base légale et catégories de données.
- Conservez le contrat de sous-traitance, ou la documentation de l’environnement propre, avec le registre.
- Consignez l’AIPD, même si la conclusion est un risque limité.
- Exportez périodiquement le journal d’audit et conservez la matrice des rôles.
- Répétez une fois le processus de violation avec un scénario d’IA.
Comment werqly s’y intègre
werqly est conçu pour que les points techniques de cette liste soient vrais : un nœud propre dans votre salle serveur ou un nœud dédié dans un centre de données européen, des modèles open-weight qui n’apprennent pas de vos données, des rôles par équipe et un journal d’audit sous votre contrôle. La base légale, l’AIPD et les droits des personnes restent votre travail ; werqly fournit la preuve pour le reste.
Questions fréquentes
Questions sur ce sujet
Existe-t-il un label RGPD pour les outils d’IA ?
Non. Le RGPD repose sur la responsabilité : vous devez pouvoir démontrer vous-même qu’un traitement est en ordre. Les certifications des fournisseurs aident comme preuve mais ne remplacent pas votre propre évaluation.
Un contrat de sous-traitance suffit-il ?
Non. Il régit la relation avec le fournisseur, pas la base légale, l’AIPD, l’accès au sein de votre organisation ni les droits des personnes. C’est un des douze points.
Quel est le principal obstacle avec les services d’IA publics ?
Les transferts et l’entraînement. Beaucoup de services tournent chez des entreprises américaines soumises au CLOUD Act et utilisent par défaut les saisies pour améliorer leurs modèles, sauf contrat professionnel qui l’exclut.
Un environnement d’IA propre est-il automatiquement conforme ?
Non. Les points techniques tiennent, mais base légale, finalité, AIPD, accès par rôle et droits des personnes restent à mettre en place. La différence est que vous maîtrisez cette mise en place vous-même.
Sources
- CNIL — Les fiches pratiques IA
- CEPD — Lignes directrices 07/2020 sur les notions de responsable du traitement et de sous-traitant
Cet article est une information générale, pas un conseil juridique. Les règles et les recommandations évoluent ; en cas de doute, consultez les sources citées ou votre juriste ou DPO.