Brouillon en relecture. Ce contenu n’a pas encore été validé par l’auteur.
Informations à revérifier. Cette page devait être revue avant le 2 décembre 2026 : une date ou une règle a pu changer depuis. Consultez la page Veille ou la source officielle.
Le RGPD s’applique aussi à l’IA
- 1Le paysage en un coup d’œil
- 2L’AI Act : une échelle de risques
- 3Le RGPD s’applique aussi à l’IA
- 4Travail, accessibilité, droit d’auteur
À la fin de cette étape, vous saurez :
- Appliquer les principes du RGPD aux données confiées à un outil d’IA
- Connaître les six réflexes d’une petite structure
Situation
Sonia voudrait coller son fichier clients dans un assistant pour écrire des promotions personnalisées : noms, adresses, historique d’achats. « Ce n’est qu’un outil d’écriture », se dit-elle.
L’essentiel
Les principes du RGPD Règlement général sur la protection des données. Voir le glossaire s’appliquent aux données que vous saisissez dans une IA : finalité, Minimisation Principe du RGPD : ne collecter et ne transmettre que les données nécessaires à la finalité ; pour une IA, ne coller que ce qui sert à la tâche. Voir le glossaire, exactitude, durée de conservation, sécurité, responsabilité Règlement (UE) 2016/679 (RGPD)Journal officiel de l’Union européenne.
Source primaire · consultée le 24 septembre 2026
Consulter la source. Un outil d’IA qui traite des données personnelles pour vous est un Sous-traitant (RGPD) Organisme qui traite des données personnelles pour le compte d’un autre (un fournisseur d’IA, par exemple) ; un contrat encadre ce traitement (article 28 du RGPD). Voir le glossaire : il faut un contrat.
Six réflexes
Une finalité claire. Pourquoi ces données, pour quel usage ? Des données collectées pour facturer ne servent pas d’office à faire de la prospection.
Le strict nécessaire. Pour rédiger une promotion, l’assistant n’a besoin ni des noms ni des adresses : un profil type suffit.
Un contrat avec le fournisseur. Tout fournisseur d’IA qui traite des données personnelles pour vous signe un contrat de sous-traitance (article 28). Vérifiez aussi ses sous-traitants et les lieux de traitement.
Des transferts encadrés. Hors de l’Union européenne, un transfert repose sur des garanties : le Data Privacy Framework pour les États-Unis, ou des clauses contractuelles types avec une analyse d’impact du transfert.
Pas de décision automatique. Un modèle ne doit pas décider seul d’une mesure qui a des effets importants pour une personne (article 22), comme refuser un client ou un candidat.
Une analyse d’impact si le risque est élevé. Données sensibles, surveillance, évaluation de personnes, grande échelle : une analyse d’impact (AIPD (DPIA) Analyse d'impact relative à la protection des données. Voir le glossaire) est à envisager.
Vrai ou faux
Le RGPD et l’IA
Vrai ou faux ?
Une hallucination sur une personne est une donnée inexacte
Si un assistant invente une information sur un client ou un salarié, et que vous la reprenez, vous traitez une donnée fausse. Le principe d’exactitude du RGPD s’applique : on vérifie avant d’utiliser.
ComprendreLes ressources de la CNIL
La CNIL Commission nationale de l'informatique et des libertés. Voir le glossaire a publié des questions-réponses sur l’utilisation d’un système d’IA générative Famille d’IA qui produit du texte, des images, du son ou de la vidéo à partir d’une consigne ; les assistants conversationnels en sont l’exemple le plus connu. Voir le glossaire Les questions-réponses de la CNIL sur l’utilisation d’un système d’IA générativeCNIL.
Source primaire · consultée le 24 septembre 2026
Consulter la source : partir du besoin, préférer une solution sur site pour les données sensibles, signer un contrat avec l’hébergeur, fixer des règles internes, former. Elle propose aussi des fiches pour les TPE et les PME Utiliser l’IA générative dans les TPE et PMECNIL.
Source primaire · consultée le 24 septembre 2026
Consulter la source.
À retenir
- Les données saisies dans une IA restent soumises au RGPD.
- Minimisez, signez un contrat de sous-traitance, encadrez les transferts.
- Aucune décision importante sur une personne ne doit être prise par un modèle seul.
Sources
- Règlement (UE) 2016/679 (RGPD), Journal officiel de l’Union européennesource primaire
- Les questions-réponses de la CNIL sur l’utilisation d’un système d’IA générative, CNILsource primaire
- Utiliser l’IA générative dans les TPE et PME, CNILsource primaire
Contenu tiré de la base de connaissance du site (§5.2, §6.2), dont chaque affirmation est sourcée et datée. Dernière vérification des sources : 24 septembre 2026. À revérifier avant le 2 décembre 2026.
Fin de l’étape
Faites les activités de la page, puis terminez l’étape.