Un instant à bord
Votre page se prépare.
Le chargement est en cours. Vous pourrez poursuivre dans un instant.
Un instant à bord
Votre page se prépare.
Le chargement est en cours. Vous pourrez poursuivre dans un instant.
Utiliser l'intelligence artificielle sans enfreindre le RGPD : base légale, minimisation, transparence, AIPD, droits des personnes et sous-traitance. Le guide concret pour les entreprises, et son lien avec l'EU AI Act.
7 points à vérifier avant de mettre une IA en production sur des données personnelles.
1. Identifier une base légale
Tout traitement de données personnelles par une IA doit reposer sur une base légale (art. 6) : consentement, contrat, obligation légale ou intérêt légitime. Documentez celle que vous retenez pour chaque usage.
2. Minimiser les données
Ne transmettez à l'IA que les données strictement nécessaires (art. 5.1.c). Évitez d'envoyer des données sensibles ou des fichiers entiers quand un extrait suffit.
3. Informer les personnes
Les personnes doivent savoir que leurs données sont traitées par une IA, à quelles fins et avec quels prestataires (art. 13-14). C'est aussi une exigence de l'article 50 de l'EU AI Act pour les agents conversationnels.
4. Réaliser une AIPD si nécessaire
Une analyse d'impact (AIPD, art. 35) est obligatoire pour les traitements susceptibles d'engendrer un risque élevé, ce qui concerne souvent les usages IA à grande échelle ou décisionnels.
5. Garantir les droits des personnes
Accès, rectification, effacement, opposition : prévoyez comment honorer ces droits, y compris sur les données passées à un modèle. Encadrez les décisions automatisées (art. 22).
6. Encadrer la sous-traitance
Vos fournisseurs d'IA sont des sous-traitants : un contrat conforme à l'article 28 est requis, avec des garanties sur la localisation des données et l'absence de réutilisation pour l'entraînement.
7. Tenir le registre à jour
Chaque traitement IA doit figurer au registre des activités de traitement (art. 30), avec finalité, base légale, durées de conservation et sous-traitants nommés.
Repères issus du RGPD (règlement UE 2016/679) et des recommandations de la CNIL sur l’IA. À adapter à vos traitements ; ce guide ne remplace pas l’avis de votre DPO.
Conformité IA = base légale + minimisation + transparence + AIPD + droits + sous-traitance + registre
Le RGPD s’applique pleinement dès qu’une IA traite des données personnelles, ce qui est presque toujours le cas en entreprise (emails, fiches clients, appels, candidatures). Il ne s’agit pas de renoncer à l’IA, mais de l’encadrer.
Le RGPD et l’EU AI Act sont complémentaires : le premier protège les données personnelles, le second encadre les systèmes d’IA selon leur niveau de risque. Un agent conversationnel, par exemple, relève à la fois de la transparence RGPD (art. 13-14) et de l’article 50 de l’AI Act (informer l’utilisateur qu’il parle à une IA).
Source officielle : CNIL : Intelligence artificielle et RGPD
Non. Le RGPD n’interdit pas l’IA : il impose un cadre (base légale, information, minimisation, sécurité, droits des personnes). Une entreprise peut parfaitement utiliser l’IA sur des données personnelles en respectant ces principes et en documentant ses choix.
Une analyse d’impact (AIPD, art. 35) est obligatoire dès qu’un traitement est susceptible d’engendrer un risque élevé pour les personnes, ce qui est fréquent pour les usages IA à grande échelle, décisionnels ou portant sur des données sensibles. En cas de doute, la CNIL recommande de la réaliser.
Cela dépend du contrat. Vos fournisseurs sont des sous-traitants (art. 28) : exigez par contrat l’interdiction de réutiliser vos données pour entraîner leurs modèles, la localisation des données (idéalement UE), et des garanties de sécurité. PilotCrew héberge sa base principale en UE (certains sous-traitants sont hors UE, liste publique) et n’entraîne aucun modèle sur vos données.
Ils se cumulent. Le RGPD protège les données personnelles ; l’EU AI Act encadre les systèmes d’IA selon leur risque (dont l’obligation de transparence de l’article 50 pour les chatbots et agents). Une mise en conformité IA sérieuse couvre les deux.
Pour une entreprise, la conformité RGPD × IA n’est pas qu’une contrainte : c’est un argument de confiance vis-à-vis des clients et un filtre qui élimine les fournisseurs IA opaques. Documenter ses usages, choisir des outils transparents sur leur hébergement et leurs modèles transforme une obligation en différenciateur.
Les équipiers PilotCrew reposent sur une base principale en UE (Francfort), avec certains sous-traitants hors UE listés publiquement. Ils sont transparents sur les modèles utilisés, avec supervision humaine avant les actions à impact et une documentation publiée (registre des traitements, liste des sous-traitants).
Base principale en UE, sous-traitants hors UE listés, transparence des modèles, supervision humaine. 14 jours d’essai, résiliable en 1 clic.
Voir notre démarche EU AI Act