RGPD, le retour : vous pensiez en avoir fini avec lui ? Vos projets IA le remettent au goût du jour.

Bases légales, AIPD, droits des personnes : le mode d'emploi pour faire de l'IA proprement, et le prouver.

Série « Reprendre la main », Épisode 3/5 · 1. L'IA souveraine en France · 2. L'AI Act expliqué · 4. Construire son agent IA souverain · 5. Passer à l'échelle

Une idée reçue à enterrer d'entrée

« Le RGPD, c'est réglé. On a fait le chantier en 2018, on a un DPO, des bandeaux cookies, circulez. »

Si cette phrase ressemble à ce qu'on entend dans votre organisation, j'ai une mauvaise nouvelle : le RGPD vient de changer de terrain de jeu. Et son nouveau terrain, c'est le vôtre, vos projets IA.

Une deuxième idée reçue pendant qu'on y est : « le RGPD empêche l'innovation en IA en Europe ». La CNIL elle-même la qualifie de fausse. Ce que le RGPD exige, ce n'est pas de renoncer à l'IA. C'est de savoir répondre à trois questions : quelles données personnelles entrent dans vos systèmes, à quel titre, et ce que les personnes peuvent en dire.

En 2025, la CNIL a prononcé 486 millions d'euros d'amendes. Et elle a placé l'IA, en particulier les outils RH, en tête de ses thèmes de contrôle prioritaires pour 2026. Ce n'est plus un sujet théorique.

Prenons quinze minutes pour le rendre simple.

L'idée-force : deux textes, deux questions différentes

On confond souvent RGPD et AI Act. La distinction tient en une ligne :

L'AI Act régule ce que votre IA fait. Le RGPD régule ce que votre IA ingère.

L'AI Act (épisode 2 de cette série) classe les usages par niveau de risque. Le RGPD, lui, se moque de savoir si votre système est « à haut risque » au sens européen : dès qu'une donnée personnelle, un nom, un CV, un email client, une conversation, entre dans votre pipeline, il s'applique. Intégralement. Y compris pendant la phase d'entraînement d'un modèle.

Les deux textes sont complémentaires et s'appliquent simultanément. Une IA de tri de CV, par exemple, cumule : obligations « haut risque » de l'AI Act + tout l'arsenal RGPD sur les données des candidats.

Et voici le point que presque tout le monde rate : si vous utilisez un LLM tiers avec des données personnelles de vos clients ou salariés, c'est vous le responsable de traitement. Pas OpenAI. Pas Mistral. Vous. La responsabilité ne s'externalise pas avec l'outil. La CNIL qualifie d'ailleurs précisément les rôles (responsable, responsable conjoint, sous-traitant) tout au long de la chaîne de l'IA, et affine ses recommandations sur les responsabilités des acteurs (concepteurs de modèles, hébergeurs, réutilisateurs, intégrateurs).

La question n°1 : au nom de quoi traitez-vous ces données ?

Tout traitement de données personnelles exige une base légale. Le RGPD en propose six, mais pour l'IA, trois reviennent sans cesse :

Le consentement : propre en théorie, souvent impraticable à grande échelle (allez demander leur accord aux 50 000 personnes de votre base d'entraînement).
L'exécution du contrat : couvre le service rendu au client, mais pas vos usages internes dérivés.
L'intérêt légitime : la voie la plus souple, et désormais la mieux balisée.

C'est le grand apport des recommandations que la CNIL a consolidées entre 2024 et 2025 (dernières fiches finalisées en juillet 2025) : l'intérêt légitime est reconnu comme la base légale la plus couramment mobilisable pour développer un système d'IA, y compris un assistant conversationnel, un outil anti-fraude, ou l'amélioration d'un modèle à partir des conversations des utilisateurs.

Mais « mobilisable » ne veut pas dire « automatique ». La CNIL impose un triple test :

Légitimité : l'intérêt poursuivi est licite, précis, réel. (Et un usage interdit par l'AI Act ne pourra jamais être « légitime » : les deux textes se verrouillent mutuellement.)
Nécessité : pas de moyen moins intrusif pour atteindre le même objectif.
Mise en balance : vos intérêts ne doivent pas outrepasser les droits des personnes, avec des garanties compensatoires : information renforcée, droit d'opposition effectif, pseudonymisation, exclusion de certaines données.

Et une ligne rouge claire : les données sensibles (santé, opinions, origine ethnique, biométrie) sont exclues de l'intérêt légitime pour l'entraînement, sauf exception explicite de l'article 9. Entraîner un modèle de détection de pathologies sur des dossiers patients « parce que c'est utile » ne passe pas.

Dernière subtilité qui change tout en pratique : la base légale de l'entraînement n'est pas forcément celle du déploiement. Un même projet IA peut reposer sur deux bases différentes selon la phase. Documentez les deux.

Les droits des personnes : ce que votre IA doit savoir honorer

Le RGPD maintient tous les droits des personnes face à une IA. Concrètement, votre système doit pouvoir gérer :

Le droit à l'information. Les personnes dont les données nourrissent ou traversent votre IA doivent le savoir. Pour le recrutement, la CNIL est explicite : si un algorithme trie, score ou classe les candidatures, l'information est due au moment du dépôt de candidature, pas après, pas sur demande.

Le droit d'opposition. Si votre base légale est l'intérêt légitime, les personnes peuvent s'opposer, et vous devez être techniquement capable de traiter cet opt-out. « Notre modèle est déjà entraîné » n'est pas une réponse.

L'article 22, le droit à l'humain. Nul ne peut faire l'objet d'une décision exclusivement automatisée produisant des effets significatifs (refus de crédit, rejet de candidature) sans pouvoir demander une intervention humaine. C'est le jumeau RGPD de la « supervision humaine » de l'AI Act, et le même piège : un humain qui valide en rafale sans regarder ne compte pas.

Le droit à l'explication. Les décisions automatisées doivent être explicables de façon compréhensible. « C'est le modèle qui a décidé » est exactement la phrase qu'un contrôleur adore entendre... chez les autres.

L'AIPD : le document qui vous sauvera (ou vous manquera)

L'analyse d'impact (AIPD, ou DPIA) est obligatoire pour les traitements IA à fort risque pour les personnes : RH et recrutement, santé, scoring, surveillance. C'est LE document que la CNIL demande en premier lors d'un contrôle, et son absence sur un outil de tri de CV figure parmi les axes de contrôle prioritaires annoncés pour 2026.

La bonne nouvelle : une AIPD bien menée n'est pas de la paperasse. C'est l'exercice qui vous force à répondre, avant l'incident, aux questions qu'on vous posera après : quelles données, quels risques, quelles mesures. Les entreprises qui la font sérieusement découvrent souvent des failles qu'elles sont ravies d'avoir trouvées elles-mêmes.

Les cinq points d'attention

1. Le LLM tiers nourri aux données clients. Vos équipes collent des emails clients dans un assistant IA grand public ? Vous êtes responsable de traitement d'un transfert de données que vous n'avez ni cadré ni documenté, potentiellement hors UE (retour à l'épisode 1 : le Cloud Act ne protège pas, un prestataire souverain simplifie tout). Le shadow AI est d'abord un problème RGPD avant d'être un problème de sécurité.

2. La réutilisation non anticipée. Vos données de service client peuvent-elles entraîner votre LLM interne ? Pas si vite : la CNIL exige que les personnes aient pu raisonnablement anticiper cet usage. Un client qui écrit au support ne s'attend pas à devenir un jeu de données. Il faudra un test de compatibilité, une information, un droit d'opposition.

3. Le web scraping sans garde-fous. Moissonner des données en ligne pour entraîner un modèle n'est pas interdit, mais il est encadré : définir à l'avance ce qu'on cherche, filtrer les données sensibles, respecter les protections techniques des sites, offrir un mécanisme d'opposition. Le scraping sauvage, lui, est une bombe à retardement.

4. Les durées de conservation oubliées. Vos candidats de 2022 sont-ils encore dans votre ATS ? La CNIL recommande deux ans maximum après le dernier contact. Une IA RH branchée sur une base jamais purgée, c'est deux infractions pour le prix d'une.

5. La documentation des choix de conception. C'est, de l'avis même des praticiens, le point le plus critique et le plus négligé. Pourquoi ce modèle, pourquoi ces données, pourquoi cette base légale : si ce n'est pas écrit, aux yeux d'un contrôleur, ça n'existe pas.

La méthode : greffer l'IA sur votre existant RGPD

Vous n'avez pas à repartir de zéro, vous avez déjà les fondations de 2018. Il s'agit de les étendre :

Complétez votre registre des traitements avec chaque usage IA (y compris ceux découverts dans l'inventaire de l'épisode 2 : c'est le même exercice, mutualisez-le).
Qualifiez la base légale de chaque traitement, entraînement et déploiement séparément, triple test à l'appui pour l'intérêt légitime.
Déclenchez les AIPD sur les usages à risque : RH, scoring, santé d'abord.
Mettez à jour vos mentions d'information (candidats, clients, salariés) et outillez le droit d'opposition.
Vérifiez vos DPA (contrats de sous-traitance) avec chaque fournisseur IA : localisation des données, réutilisation pour l'entraînement, garanties de sécurité.

Le DPO qui a mené le chantier RGPD est votre meilleur allié : donnez-lui un siège dans chaque projet IA, dès la conception, pas en comité de relecture finale.

Le mot de la fin

Le RGPD a huit ans, et il vieillit bien, parce qu'il n'a jamais été un texte sur les cookies. C'est un texte sur une question intemporelle : qui décide de ce qu'on fait des informations sur les gens ? L'IA ne rend pas cette question obsolète. Elle la rend brûlante.

Les organisations qui l'ont compris traitent le RGPD non comme un frein mais comme un cahier des charges : des données propres, documentées, minimisées, c'est-à-dire exactement ce dont un bon projet IA a besoin de toute façon. La conformité et la qualité, ici, sont le même chemin.

Et la boucle est bouclée : la souveraineté vous dit où faire tourner votre IA (épisode 1), l'AI Act comment avoir le droit de l'utiliser (épisode 2), le RGPD ce que vous devez aux personnes dont elle traite les données. Reste une question : comment on construit, concrètement ?

C'est l'épisode 4. Sortez le clavier.

📖 Dans la même série, Épisode 1 : l'IA souveraine en France (état des lieux, feuille de route, self-hosting vs API) · Épisode 2 : l'AI Act expliqué (pyramide des risques, obligations, pièges) · Épisode 4 : construire son premier agent IA souverain pas à pas · Épisode 5 : passer à l'échelle (utilisateurs, modèles, machines et euros).

Sources principales : fiches pratiques IA de la CNIL (cnil.fr, 2024-2026), recommandations CNIL sur l'intérêt légitime (fiches finalisées juillet 2025), avis CEPD de décembre 2024, thématiques prioritaires de contrôle CNIL 2026, référentiel durées de conservation recrutement (avril 2026). Cet article vulgarise : il ne remplace ni un avis juridique ni votre DPO.

← Retour au blog