Comment vérifier qu’un outil IA respecte le RGPD en 2026
Vous avez sûrement déjà vu le cas. Un service marketing teste un assistant IA pour résumer des comptes rendus, un commercial colle des données client dans un copilote, puis la question tombe au détour d'un mail, est-ce que cet outil respecte vraiment le RGPD ? Sur le terrain, le problème n'est presque jamais l'outil affiché comme tel, c'est l'usage réel, les données qui passent dedans, et l'absence de preuves claires du fournisseur.
Pour un DPO ou un responsable métier, le bon réflexe n'est pas de croire la page de vente. Il faut exiger des éléments tangibles, puis vérifier les points qui comptent vraiment, inventaire, base légale, DPA, transferts hors UE, rétention, sécurité, et surtout la possibilité d'empêcher la réutilisation des données pour l'entraînement. Quand on travaille comme ça, on voit vite si l'éditeur maîtrise son sujet ou s'il se contente d'un discours rassurant.
Table des matières
- Table des matières
- Cartographier les outils IA réellement utilisés dans votre entreprise
- Qualifier chaque traitement IA selon les bases légales du RGPD
- Exiger les bonnes garanties contractuelles du fournisseur
- Contrôler les mesures techniques de sécurité et de confidentialité
- Réaliser une analyse d'impact pour les traitements à risque élevé
- Obtenir les preuves de conformité avec des modèles de questions
Table des matières
- Cartographier les outils IA réellement utilisés dans votre entreprise
- Qualifier chaque traitement IA selon les bases légales du RGPD
- Exiger les bonnes garanties contractuelles du fournisseur
- Contrôler les mesures techniques de sécurité et de confidentialité
- Réaliser une analyse d'impact pour les traitements à risque élevé
- Obtenir les preuves de conformité avec des modèles de questions
Cartographier les outils IA réellement utilisés dans votre entreprise
Le premier piège, c'est de croire que la liste des outils connus par la DSI suffit. Dans une PME, l'audit fait souvent apparaître bien plus d'outils que prévu, parfois 2 à 3 fois plus que ce que la DSI pensait gérer, surtout quand les équipes ont adopté des usages en autonomie, sans validation formelle (donnéespersonnelles.fr). C'est là qu'apparaît le shadow AI, ces assistants, transcripteurs ou générateurs de contenu utilisés sans cadre. Pour repérer ce qui existe vraiment, gardez aussi sous la main une collection d'outils IA afin de confronter les usages déclarés à des familles d'outils concrètes.
Règle pratique : si un outil IA touche à des données de clients, de salariés ou de prospects, il doit être traité comme un traitement à part entière, pas comme un simple gadget.
Commencer par les usages, pas par les licences
La bonne méthode consiste à partir des cas d'usage réels. Demandez à chaque équipe ce qu'elle fait avec l'IA, pour quoi faire, sur quelles données, et à quelle fréquence. Une transcription de réunion, un générateur de réponses commerciales, un assistant RH ou un outil de scoring ne se qualifient pas pareil, même s'ils passent tous dans la case « IA ».
Le plus utile, c'est de documenter chaque ligne avec un format stable. Pour chaque outil, notez au minimum la finalité, les catégories de données traitées, le volume approximatif, la fréquence d'usage, le rôle du fournisseur, et le lieu d'hébergement connu ou annoncé. Sans ça, vous n'avez pas un registre, vous avez une liste de noms.
Un modèle de registre simple à tenir
Un tableau de départ suffit souvent. L'objectif n'est pas de bâtir un dossier parfait dès le premier jour, mais de rendre les décisions traçables. Vous pouvez utiliser les colonnes suivantes.
- Nom de l'outil, pour éviter les doublons entre services.
- Équipe utilisatrice, pour savoir qui porte le besoin métier.
- Finalité exacte, pas une formule vague comme « améliorer la productivité ».
- Données traitées, par exemple clients, salariés, contenus internes, données sensibles.
- Validation RGPD, avec statut, date, et décision.
- Preuves disponibles, DPA, politique de conservation, paramètres de confidentialité, ou rien du tout.
Le point clé, c'est de faire remonter les cas où l'outil reçoit des données personnelles avant toute validation juridique. C'est généralement là que le risque se situe, pas dans la promesse commerciale affichée sur le site. Pour cadrer proprement les données, la logique de pseudonymisation peut aussi aider à réduire l'exposition, à condition de ne pas la confondre avec une vraie anonymisation, comme le rappelle ce guide sur la pseudonymisation appliquée à l'IA.
Qualifier chaque traitement IA selon les bases légales du RGPD
Une fois la cartographie posée, il faut classer chaque cas d'usage par base légale. La CNIL rappelle qu'en France, une analyse du statut d'un modèle doit d'abord vérifier s'il a été conçu pour produire ou inférer des informations sur des personnes physiques à partir de son entraînement, car dans ce cas, il peut contenir des données personnelles et entrer dans le champ du RGPD. Elle rappelle aussi qu'il faut vérifier si l'on peut extraire des données personnelles avec des moyens raisonnablement susceptibles d'être utilisés, notamment via des tests de réidentification (CNIL).
Ce qu'il faut regarder avant de parler de conformité
L'erreur classique consiste à demander « l'outil est-il RGPD ? ». La bonne question est plutôt, pour quel traitement, dans quel contexte, avec quelles données, et sur quelle base légale. La CNIL liste 6 bases légales possibles, consentement, obligation légale, contrat, mission d'intérêt public, intérêts vitaux et intérêt légitime, ce qui donne une grille de lecture concrète pour tout outil IA utilisé en France (CNIL).
Dans un CRM prédictif, la base peut être le contrat pour certaines fonctions, mais pas pour tout. Dans une transcription de réunion, on voit souvent une combinaison de finalité métier et d'intérêt légitime, à condition d'avoir vraiment pesé les droits des personnes. Dans un générateur de contenu utilisé avec des données client, le consentement n'est pas automatiquement la bonne réponse, surtout si le traitement sert surtout la relation commerciale interne.
Comment classer vos cas d'usage sans vous perdre
Le plus efficace est de prendre chaque usage et de le forcer à entrer dans une seule ligne juridique claire. Quand ça ne rentre pas, ce n'est pas un détail, c'est souvent le signe que le cas d'usage est mal défini ou trop large.
- Consentement, utile surtout quand l'utilisateur final doit garder un vrai choix.
- Contrat, pertinent si le traitement est indispensable à l'exécution du service demandé.
- Obligation légale, réservé aux cas où un texte impose le traitement.
- Intérêt légitime, possible si l'équilibre avec les droits des personnes est documenté.
- Mission d'intérêt public, plutôt rare dans une PME privée.
- Intérêts vitaux, exceptionnel, et pas un raccourci pour contourner le reste.
Quand un outil manipule des données personnelles de façon sensible ou indirecte, la CNIL et les guides français convergent vers une exigence simple, il faut documenter les finalités, les catégories de données, la base légale, et la capacité réelle à protéger l'identité des personnes (CNIL). Si l'éditeur ne sait pas vous expliquer ça, il ne faut pas avancer plus loin.
Exiger les bonnes garanties contractuelles du fournisseur
Le contrat est souvent l'endroit où les promesses deviennent vérifiables, ou pas. Squair Law recommande de commencer par une finalité spécifique, en précisant les fonctionnalités du système, ses capacités prévisibles les plus à risque et ses conditions d'utilisation, puis de qualifier le rôle de chaque acteur en responsable de traitement ou sous-traitant selon son niveau de contrôle (Squair Law). C'est exactement le type de lecture qu'il faut faire avant de signer.
Les clauses à lire mot pour mot
Le DPA doit dire clairement si le fournisseur agit comme sous-traitant ou comme responsable de traitement sur certaines fonctions. S'il traite pour votre compte, il faut retrouver les instructions de traitement, la confidentialité, la sous-traitance ultérieure, les mesures de sécurité, la suppression ou restitution des données, et les règles de notification d'incident. Pour les transferts hors UE, cherchez la base juridique annoncée, comme les SCC ou une décision d'adéquation, et refusez les formulations floues du type « may transfer globally ».
Le point que beaucoup oublient, c'est l’opt-out d'entraînement. Si l'éditeur peut réutiliser vos données client pour enrichir un futur modèle, vous devez savoir comment empêcher cette réutilisation et obtenir un engagement écrit. Sur un outil sensible, l'absence de réponse nette à ce sujet est un vrai signal d'alerte.
Clauses contractuelles essentielles selon le niveau de risque
| Niveau de risque | Clauses DPA minimales | Transferts hors UE | Opt-out entraînement |
|---|---|---|---|
| Faible | Rôle du fournisseur, confidentialité, suppression, support | À expliciter si applicable | À demander si des données client peuvent être réutilisées |
| Moyen | DPA complet, sous-traitants, incident, rétention, auditabilité | SCC ou décision d'adéquation à vérifier | Engagement écrit recommandé |
| Élevé | DPA complet, obligations de sécurité renforcées, sous-traitance encadrée, suppression documentée | Clauses de transfert détaillées à exiger | Opt-out écrit à exiger systématiquement |
Pour un contrôle plus large de la surface de risque, l'analyse des mécanismes de sécurité doit aussi s'appuyer sur des critères techniques concrets, comme on le voit dans un audit de sécurité d'un outil IA. Le contrat seul ne suffit pas, mais sans contrat propre, le reste tient rarement.
Contrôler les mesures techniques de sécurité et de confidentialité
La promesse « données sécurisées » ne vaut rien sans preuves exploitables. La CNIL insiste sur le fait qu'il faut vérifier si l'on peut extraire des données personnelles avec des moyens raisonnablement susceptibles d'être utilisés, ce qui oblige à regarder les tests de réidentification, la fréquence des contrôles et leur qualité (CNIL). Autrement dit, la question n'est pas seulement « chiffrement ou pas », mais quelle protection réelle.
Ce qu'il faut demander dans l'interface ou la documentation
Un bon fournisseur peut généralement montrer où se règlent la confidentialité, les journaux et les accès. Vous cherchez des éléments concrets, pas des mots rassurants. Si l'outil permet de désactiver l'usage des prompts pour l'entraînement, de limiter les comptes autorisés, ou de paramétrer la rétention, c'est bon signe.
Les promesses de confidentialité valent peu si personne ne peut vous montrer où elles sont appliquées dans le produit.
Les contrôles techniques à vérifier restent très basiques sur le fond, mais ils doivent être prouvés :
- Chiffrement, au repos et en transit, avec une explication claire du périmètre.
- Gestion des accès, pour savoir qui peut voir quoi et depuis quel rôle.
- Minimisation, pour limiter les données collectées à ce qui est nécessaire.
- Rétention, avec une durée définie et une suppression effective.
- Journaux d'audit, pour reconstituer les accès et les actions.
Ce qui fait la différence entre sérieux et façade
Le principe du moindre privilège doit être visible dans la pratique, pas seulement dans une politique de sécurité. Si tout le monde peut tout voir, le contrôle est théorique. Même chose pour la journalisation, un outil sans historique exploitable est difficile à défendre lors d'une revue de conformité.
La meilleure preuve, c'est une capture de l'interface d'administration, une documentation de sécurité à jour, ou un extrait de procédure montrant comment les accès sont restreints. Pour les outils qui prétendent anonymiser, demandez toujours si des tests de réidentification ont été faits et avec quelle méthode. Si le fournisseur refuse de répondre, considérez que la protection annoncée n'est pas démontrée.
Réaliser une analyse d'impact pour les traitements à risque élevé
Dans un dossier IA, l'AIPD n'est pas un exercice de style. Dès qu'un traitement peut créer un risque élevé pour les droits et libertés, il faut le poser noir sur blanc, avec les preuves qui vont avec. La CNIL rappelle de définir une finalité précise, de vérifier le rôle exact de l'entreprise, de limiter les données au nécessaire, de fixer une durée de conservation et de cartographier les risques, tout en informant les personnes concernées pour qu'elles comprennent pourquoi leurs données sont utilisées et puissent exercer leurs droits. Un outil IA qui touche à des données personnelles, à des décisions sensibles ou à des données réutilisées pour l'entraînement finit très vite dans cette zone, même si le projet partait comme un simple pilote.
Quand l'AIPD s'impose vraiment
Les cas où l'AIPD devient difficile à éviter sont assez concrets. Données sensibles, profils utilisateurs, informations réutilisables pour l'entraînement, usage innovant ou traitement à grande échelle, la liste de vérification de la CNIL vise clairement ces situations, surtout quand des personnes vulnérables sont concernées. Si le fournisseur vous dit que le produit est « standard » sans pouvoir expliquer ce qu'il fait des données, il y a déjà matière à s'arrêter.
L'évaluation doit aussi regarder les risques propres à l'IA. Accès non autorisé, discrimination algorithmique, perte de données, réutilisation inattendue des contenus, puis les mesures qui réduisent réellement ces risques, comme le chiffrement, la supervision humaine et le contrôle d'accès. C'est le bon endroit pour documenter la nécessité et la proportionnalité du traitement, avec des éléments vérifiables, pas avec des formules générales. Dans les audits, c'est souvent là que les dossiers s'effondrent, parce qu'on trouve une intention correcte mais aucune preuve opérationnelle.
Les points à écrire dans le dossier
Le dossier AIPD doit rester concret. S'il ne décrit pas le flux réel des données et les décisions humaines autour de l'outil, il ne sert pas à grand-chose.
- Description du traitement, avec les données entrantes, les sorties, et les destinataires.
- Nécessité et proportionnalité, pour justifier pourquoi cet outil et pas un autre traitement moins intrusif.
- Risques identifiés, avec l'effet possible sur les personnes.
- Mesures de réduction, notamment chiffrement, contrôle d'accès, supervision humaine.
- Durée de conservation, alignée avec le principe de limitation de conservation.
Pour un outil IA, je conseille de formaliser une hypothèse simple. Si l'usage ne permet pas de lire clairement les risques et les garde-fous, le déploiement doit attendre. Une AIPD bien faite ne bloque pas tout, mais elle évite les mises en production trop rapides qui laissent les équipes sans filet.
Obtenir les preuves de conformité avec des modèles de questions
Le fournisseur doit vous répondre sur des points précis, sans langue de bois. S'il est sérieux, il peut envoyer un DPA complet, une note d'architecture, sa politique de conservation, ses éléments de sécurité, et un écrit sur l'opt-out d'entraînement. S'il ne peut pas, le risque est déjà visible.
Modèle de mail à envoyer
Bonjour,
Nous évaluons votre outil au regard du RGPD avant déploiement. Merci de nous transmettre les éléments suivants :
- Le DPA complet, avec le rôle exact de votre société, responsable de traitement ou sous-traitant.
- La documentation des flux de données, y compris l'hébergement, les sous-traitants, et les transferts hors UE.
- Votre politique de conservation et de suppression, avec les durées applicables.
- Vos mesures de sécurité, en particulier accès, chiffrement, logs et tests de protection.
- Votre position écrite sur l'entraînement, avec la possibilité d'exclure nos données de tout entraînement futur.
Merci aussi d'indiquer si des données personnelles peuvent être extraites du modèle ou réutilisées dans d'autres services du groupe.
Les réponses qui rassurent, et celles qui doivent vous faire ralentir
Une réponse utile cite des documents précis, nomme le bon rôle juridique, et détaille les paramètres du produit. Une réponse faible renvoie seulement vers des conditions générales, ou explique que « tout est conforme » sans fournir de preuve. Quand le fournisseur reste flou sur l'entraînement, les transferts, ou la suppression, il faut suspendre la validation.
Pour une équipe PME, le plus efficace est de garder ce courrier comme trame standard et de l'envoyer avant chaque nouvel essai sérieux. Vous évitez ainsi de refaire l'enquête à chaque fois, et vous gagnez un vrai tri entre les outils solides et les solutions trop vagues pour être validées.
Si vous devez comparer plusieurs outils IA avant de trancher, gardez une méthode simple, un inventaire, une base légale, un DPA propre, puis des preuves techniques vérifiables. Pour aller plus loin dans le choix d'un outil adapté à votre besoin métier, visitez IATOLL, vous y trouverez des outils IA classés par usage pour gagner du temps et éviter les abonnements pris à l'aveugle.
