Utiliser l'IA est-il compatible avec le RGPD ?
Oui, si chaque usage d'IA est traité comme ce qu'il est : un traitement de données. Dès qu'un assistant reçoit des informations sur des clients, des salariés ou des candidats, le RGPD demande une base légale, une finalité déterminée et des garanties de sécurité à la mesure du risque.
Six principes du règlement suffisent à juger un usage d'IA. Chaque principe renvoie à l'article concerné, dans le texte publié par la CNIL ; ils valent pour le copilote bureautique comme pour l'agent relié à vos systèmes, chez vous comme chez vos sous-traitants.
Base légale et finalité déclarée
Chaque usage d'IA qui touche des données personnelles s'appuie sur l'une des six bases de l'article 6 (contrat, intérêt légitime, consentement, obligation légale…) et sert une finalité déterminée. Un assistant ouvert « pour tout faire » n'en a aucune : le registre précise qui l'utilise, pour quoi, sur quelles données.
Le minimum de données
Seules les données nécessaires à la tâche entrent dans l'outil. Un extrait anonymisé remplace le fichier client complet ; les catégories particulières de l'article 9 (santé, opinions, origine, entre autres) restent hors des outils qui n'ont pas été validés pour elles.
L’information des personnes
Clients, salariés et candidats dont les données passent par une IA en sont avertis : mentions d'information, politique de confidentialité, note interne. Le texte indique la finalité, la base légale et les destinataires, éditeur de l'outil compris.
Des droits jusqu’à la décision automatisée
Accès, rectification, effacement, opposition : la personne garde ses droits sur ce que l'IA a traité, même quand les données ont transité par un outil tiers.
Une décision qui la touche de manière significative, prise sans aucune intervention humaine, tombe sous l'article 22, qui l'encadre strictement et ouvre le droit d'obtenir l'intervention d'une personne puis de contester la décision.
Une durée de conservation
Historique des conversations, journaux, fichiers déposés : tout ce qui part vers l'outil a une durée de vie à fixer. Les réglages de rétention des offres professionnelles servent à la maîtriser ; ils font partie du paramétrage de conformité.
La sécurité, réglée par défaut
Comptes nominatifs, droits d'accès, espaces cloisonnés, chiffrement : la sécurité couvre les données qui partent vers l'outil comme celles qui en reviennent. L'article 25 demande en plus que les réglages les plus protecteurs soient ceux appliqués d'emblée.
Notre conseil data & IA applique ces six principes à vos flux, usage par usage ; la charte IA d'entreprise les traduit ensuite en consignes que les salariés retiennent.
Quand faut-il une AIPD pour un projet d'IA ?
L'article 35 du RGPD impose une analyse d'impact (AIPD) avant tout traitement qui menace fortement les droits et libertés des personnes. Un projet d'IA franchit vite ce seuil : données sensibles ou massives, évaluation ou notation de personnes, décision automatisée, croisement de fichiers.
Les lignes directrices européennes retiennent neuf critères ; deux réunis rendent en général l'analyse obligatoire, et la CNIL publie la liste des traitements pour lesquels elle est toujours exigée, sur sa page consacrée à l'AIPD.
Un assistant qui reformule des notes internes sans données personnelles reste sous le seuil ; un outil qui trie des candidatures ou note des clients le dépasse presque toujours.
L'AIPD décrit le traitement, en pèse la nécessité, recense les risques pour les personnes et fixe les mesures qui les réduisent. Conduite tôt avec le DPO, elle évite de découvrir un blocage après le lancement.
Le recrutement mérite une vigilance particulière. La CNIL a placé ce domaine en tête de ses contrôles annoncés le 3 avril 2026, et les outils qui trient ou évaluent des candidats entreront le 2 décembre 2027 dans le régime le plus exigeant de l'AI Act, celui du haut risque.
Une AIPD menée maintenant sert les deux textes ; nos audits de flux la préparent, traitement par traitement.
Quel outil d'IA est conforme au RGPD ?
La conformité d'un outil d'IA au RGPD se décide dans trois choix qui vous reviennent : l'offre souscrite, le contrat de traitement signé avec l'éditeur et les réglages de l'espace.
Les cinq grands éditeurs proposent une offre professionnelle sous contrat ; leurs réglages par défaut diffèrent, et les écarts naissent de ces réglages.
Pour chaque outil, le tableau donne ce que l'offre professionnelle garantit, les points à contrôler avant de déployer et la page de l'éditeur où le faire. Il ne classe personne : à ce niveau, les cinq répondent au RGPD dès que l'offre, le contrat et les réglages suivent.
| Outil | Ce que garantit l'offre professionnelle | À vérifier avant de déployer | Page de l'éditeur |
|---|---|---|---|
| ChatGPT (OpenAI) | Offres Business et Enterprise : par défaut, OpenAI n'apprend rien de vos conversations ; contrat de traitement et réglages d'administration fournis. Stockage au repos en Europe en cours d'ouverture pour Business ; résidence plus complète pour Enterprise. | L'offre utilisée par vos équipes : les comptes Free, Go, Plus et Pro alimentent l'entraînement des modèles jusqu'à ce que chacun coupe l'option. La signature du contrat et la région de stockage retenue. | Engagements entreprise (OpenAI) |
| Microsoft Copilot | Licence Microsoft Copilot, ex-Microsoft 365 Copilot, et Copilot Chat inclus : dès que l'utilisateur se connecte avec son compte Entra, prompts et réponses bénéficient des engagements qui protègent déjà les mails et fichiers du tenant. Pour un utilisateur situé en Europe, les requêtes restent traitées à l'intérieur de l'EU Data Boundary. | Les droits de partage SharePoint et OneDrive, puisque Copilot accède à chaque document que la personne a le droit d'ouvrir : un audit des permissions précède le déploiement. Les modèles d'Anthropic et de SpaceXAI échappent à cette frontière européenne, et Claude y est désactivé par défaut pour les clients de l'Union. | Centre de gestion de la confidentialité Microsoft |
| Google Gemini | Dans Google Workspace, Google s'engage à ne pas faire relire vos contenus par des personnes et à ne pas s'en servir pour entraîner des modèles au-delà de votre domaine, sauf accord de votre part. Même règle pour l'appli Gemini et pour Gemini Notebook, à condition de passer par un compte de l'entreprise. | Le compte utilisé : l'application grand public ne porte pas ces garanties. Gemini Notebook n'obéit pas aux réglages de région de données définis dans Workspace. | Sécurité et confidentialité de Google Workspace |
| Claude (Anthropic) | Team et Enterprise : Anthropic n'entraîne pas ses modèles sur ces espaces, sauf choix contraire du client, et fournit un contrat de traitement et une console d'administration centralisée. | Anthropic ne vend pas d'hébergement européen en direct : pour garder les données en Europe, il faut passer par Amazon Bedrock ou Google Vertex AI. Sur Free, Pro et Max, l'entraînement dépend du réglage choisi par chaque utilisateur. | Trust Center (Anthropic) |
| Mistral AI (Vibe) | Hébergement dans l'Union par défaut, aux États-Unis seulement si l'on choisit ce point d'accès pour l'API. Vibe Enterprise : entraînement désactivé d'office, que seul l'administrateur peut rallumer ; déploiement possible sur site ou en cloud privé. | Sur Vibe Team, l'entraînement est actif à l'ouverture de l'espace : l'administrateur doit le désactiver pour toute l'organisation depuis son panneau. Certaines fonctions provoquent des transferts temporaires hors Union, listés parmi les sous-traitants. | Conditions et contrat de traitement (Mistral AI) |
Relevé du 7 octobre 2026 dans la documentation des éditeurs. Leurs conditions changent souvent : le contrat que vous signez fait foi.
Trois des cinq éditeurs sont américains. Les transferts hors Union relèvent du chapitre V du RGPD (articles 44 à 49) ; vers les États-Unis, ils reposent aujourd'hui sur le Data Privacy Framework, dont la décision d'adéquation du 10 juillet 2023 a été validée par le Tribunal de l'Union le 3 septembre 2025, un pourvoi restant à juger.
Le contrat de traitement doit dire où partent vos données.
Comment mettre vos usages d'IA en conformité RGPD ?
La mise en conformité RGPD des usages d'IA suit cinq étapes : cartographier les flux, qualifier chaque traitement (avec une AIPD si le risque est élevé), choisir l'offre et régler l'espace, écrire les consignes pour les équipes, puis tenir le dossier à jour.
L'offre se choisit après la qualification, jamais avant : on ne sait pas quel contrat signer tant qu'on ignore quelles données vont circuler.
Cartographier les flux
Recensez les outils d'IA en service, ceux ouverts par les équipes hors du cadre compris, et les données qui y passent : clients, salariés, candidats, partenaires. Cette carte des flux fait souvent apparaître des usages dont la direction n'avait pas connaissance.
Qualifier chaque traitement
Pour chaque usage : base légale, finalité, catégories de données, destinataires, durée de conservation, transfert éventuel hors Union. Les usages à risque élevé déclenchent une AIPD. Le tout rejoint le registre des activités de traitement de l'article 30.
Choisir l’offre et régler l’espace
Retenez une offre professionnelle dès que des données personnelles circulent, signez le contrat de traitement, puis réglez la rétention, les accès, le partage et l'entraînement. C'est cette étape qui rend l'outil compatible avec vos usages.
Écrire les consignes
La charte IA dit à chacun ce qu'il peut confier à quel outil ; la politique de données fixe les règles de circulation vers les fournisseurs. Les salariés savent quoi faire et la conformité tient au quotidien.
Tenir le dossier à jour
Registre actualisé, AIPD archivées, mentions d'information vérifiables. Les conditions des éditeurs changent souvent : une revue trimestrielle intègre les outils arrivés, les usages étendus et les contrats modifiés.
Masteria conduit ces étapes dans son conseil data & IA. Le diagnostic IA situe d'abord votre maturité, données comprises ; les rôles et le comité qui tiennent le tout dans la durée relèvent de la gouvernance de l'IA.
Pour tenir le registre, la CNIL détaille les attentes sur sa page registre des activités de traitement.
Ce que la CNIL a publié sur l'IA, de 2024 à 2026
La CNIL éclaire l'application du RGPD à l'IA par des questions-réponses, des recommandations et ses priorités de contrôle. Quatre publications comptent pour une organisation qui utilise des assistants : juillet 2024, juillet 2025, avril 2026 et août 2026.
Recourir à une IA générative (juillet 2024)
Publiées le 18 juillet 2024, ces questions-réponses conseillent de choisir le mode de déploiement selon la sensibilité des données, de fixer par écrit les usages permis et proscrits, d'encadrer l'éditeur par contrat et d'apprendre aux utilisateurs où l'outil se trompe.
Source : CNIL, IA générative
Développer un système d’IA (juillet 2025)
Le 22 juillet 2025, la CNIL a bouclé ses recommandations sur le développement : RGPD et modèles entraînés sur des données personnelles, annotation, sécurité. Elles visent surtout les entreprises qui construisent ou ajustent un modèle.
Source : CNIL, recommandations finalisées
Contrôles 2026 : le recrutement
Parmi les thèmes retenus pour 2026, annoncés le 3 avril, la CNIL vérifie dans le recrutement l'usage des systèmes de décision automatisée, ce que l'on dit aux candidats et combien de temps on garde leurs données. Les grands employeurs et les cabinets spécialisés passent en premier.
Source : CNIL, contrôles 2026
Deux règlements qui s’additionnent
Mise à jour le 17 août 2026, la page de questions-réponses de la CNIL consacrée au règlement IA rappelle que les deux textes ne visent pas les mêmes objets et peuvent s'appliquer ensemble au même système dès qu'il traite des données personnelles.
Source : CNIL, règlement IA et RGPD
Six notions à maîtriser
- RGPD
- Règlement (UE) 2016/679, appliqué depuis le 25 mai 2018. Il régit toute opération sur des données personnelles dans l'Union, qu'un humain, un logiciel ou une IA l'effectue.
- AIPD
- Analyse d'impact relative à la protection des données, que prévoit l'article 35. Elle précède les traitements qui font peser un risque élevé sur les personnes et documente les mesures qui le réduisent.
- Contrat de traitement (DPA)
- Accord exigé par l'article 28 entre le responsable de traitement et son sous-traitant. Avec un éditeur d'IA, il fixe ce que l'éditeur peut faire des données, la sécurité, les sous-traitants ultérieurs et le sort des données en fin de contrat.
- Base légale
- Fondement qui rend un traitement licite au sens de l'article 6 : consentement, contrat, obligation légale, intérêts vitaux, mission d'intérêt public, intérêt légitime.
- Minimisation
- Règle de l'article 5 qui limite les données traitées à ce qu'exige la finalité. Pour une IA : le prompt ne contient que ce dont la tâche a besoin.
- Décision automatisée
- Décision fondée exclusivement sur un calcul automatique, sans intervention humaine, qui produit des effets juridiques sur une personne ou l'affecte de manière significative. L'article 22 en limite les cas et garantit l'intervention humaine.
Textes et pages officielles consultés le 7 octobre 2026
- RGPD, règlement (UE) 2016/679 : version officielle sur EUR-Lex
- Le texte du RGPD article par article, sur le site de la CNIL
- CNIL, recours à un système d'IA générative : la foire aux questions de juillet 2024
- CNIL, page de référence sur l'analyse d'impact (AIPD)
- CNIL, tenir le registre des activités de traitement
- CNIL, programme de contrôles 2026 (annonce du 3 avril)
- CNIL, articulation entre règlement IA et RGPD (page revue le 17 août 2026)
Trois missions où les données ont fixé le cadre
Dans chacune, la question des données a été posée avant le premier prompt. Les récits complets figurent dans nos études de cas anonymisées.
Des dossiers de marchés publics dans un espace fermé
Un cabinet qui conseille collectivités et syndicats mixtes a bâti ses assistants d'appels d'offres dans un espace professionnel réglé pour que l'éditeur ne s'entraîne pas sur les dossiers. La journée de formation collective, à Paris et à Lyon, comprenait les règles de confidentialité et de RGPD.
Voir la missionUne PME tourne la page des comptes personnels
Le diagnostic remis en septembre 2026 à un distributeur photovoltaïque de trois personnes prévoit d'abandonner les comptes personnels au profit de comptes d'équipe gérés par un administrateur, réglés pour que les échanges n'entraînent pas le modèle, et d'inscrire l'outil commun au registre RGPD.
Voir la missionUn groupe fixe ce que Copilot peut lire
Avant de former ses managers, un groupe international du packaging a délimité ce que Copilot pourrait lire : les fichiers de OneDrive et de SharePoint, à l'exclusion des serveurs partagés. Son comité de direction doit encore trancher deux points liés : quelles données exclure, comment auditer les accès.
Voir la mission
IA et RGPD : les questions des DPO et des directions
Un outil précis, un transfert hors Union, une AIPD à cadrer ?
Posez-la pendant le cadrage offertMettre les flux en règle, puis apprendre aux équipes à les y garder
La mise en conformité décrite sur cette page relève de notre conseil data & IA : cartographie des flux, qualification des traitements, AIPD, choix des offres et réglages. Elle se règle au forfait après le cadrage et reste hors du financement de l'OPCO.
Les équipes, elles, apprennent les bons réflexes en formation : la formation AI Act pour le cadre réglementaire, les formations aux outils pour des usages quotidiens respectueux des données. Facturées à partir de 1 980 € HT la journée, ces formations sont proposées par un organisme certifié Qualiopi.
Pour aller plus loin sur les données
Des pages voisines, chacune sur un pan du sujet : contrat, consignes, gouvernance, sécurité d'un outil, formation.
Conseil data & IA
Cartographie des flux, qualification des traitements et réglages des outils, menés avec votre DPO.
Gouvernance de l'IA
Registre des usages relié au registre RGPD, comité et référent IA, calendrier de l'AI Act.
Charte IA en entreprise
La rubrique données d'une charte, avec une formulation prête à discuter en atelier.
Sécurité de Claude en entreprise
Un cas d'école : contrats, rétention, régions et réglages d'un assistant passés au crible.
Sécurité de l’IA et RGPD : le guide
Les risques concrets d'une fuite par prompt et les parades qui fonctionnent.
Formation AI Act
Comprendre comment le règlement IA s'ajoute au RGPD, et classer vos usages.
Mathias Nizan relit lui-même les contrats de traitement et les réglages des outils avant chaque recommandation. Le tableau des éditeurs et les liens vers la CNIL ont été vérifiés le 7 octobre 2026. Pour connaître son parcours, voyez sa page de fondateur.
Cité dansLes ÉchosLire l'article