RGPD et IA au Luxembourg : les règles pour utiliser ChatGPT

ChatGPT Enterprise au service clients, Copilot branché sur la messagerie, un outil qui classe les CV : au Luxembourg, chacun de ces chantiers passe par le RGPD et par la loi nationale de 2018, que l’on cite rarement.

Ouvrir ChatGPT à une équipe, c’est déjà un projet d’IA. Je le prends avant le pilote : base légale, analyse d’impact, délégation du personnel, décision automatisée. La confidentialité des prompts a son propre guide pour le Luxembourg.

Loi du 1er août 2018 : les articles qui touchent un projet d’IA

Le RGPD s’applique tel quel au Grand-Duché. La loi du 1er août 2018 ne le recopie pas : elle organise la CNPD et règle ce que le règlement laissait aux États. Pour un projet d’IA, cinq de ses articles comptent.

Bonne nouvelle d’abord : depuis 2018, aucune autorisation préalable de la CNPD n’est à demander. Guichet.lu le rappelle, la contrepartie est de documenter la conformité soi-même. L’AI Act s’ajoute à ces textes sans les remplacer ; il a son guide pour le Luxembourg.

L’article qui me semble le plus sous-estimé est le 65. Il impose douze mesures précises à tout projet de recherche ou de statistique, et un modèle d’IA entraîné « pour des statistiques » peut y tomber sans que l’équipe s’en doute.

Base légale RGPD d’un outil d’IA : la choisir avant le pilote

L’article 6 du RGPD offre six bases : consentement, contrat, obligation légale, intérêts vitaux, mission d’intérêt public, intérêt légitime. La CNPD, dans sa page « L’IA oblige », veut les finalités fixées dès la conception et une base pour chaque traitement.

Pour un outil interne, je laisserais le consentement de côté. Un salarié dit difficilement non à son employeur, et un consentement retiré oblige à sortir ses données du projet. Le contrat ou l’intérêt légitime, mis en balance par écrit, tiennent mieux.

Les données de santé ou d’appartenance syndicale demandent en plus une exception de l’article 9. Et un compte ChatGPT personnel ne lie votre entreprise au fournisseur par aucun contrat de sous-traitance de l’article 28 : réglez ce point avant les cinq cas ci-dessous.

Liste AIPD de la CNPD : votre projet d’IA y figure-t-il ?

L’article 35.4 du RGPD demande à chaque autorité de publier la liste des traitements qui exigent toujours une analyse d’impact. La CNPD a publié la sienne : huit types d’opérations, dont plusieurs ne valent qu’en combinaison avec un autre critère des lignes directrices européennes.

Ces lignes directrices sont le WP248, repris par le Comité européen le 25 mai 2018. L’un de leurs critères est l’usage innovant d’une technologie. Un modèle d’IA générative, je le range d’office dans cette case : c’est souvent lui qui fait basculer le projet.

Rédiger des courriers avec ChatGPT ne tombe dans aucun des huit points ; le brancher sur les e-mails des salariés pour noter leur travail tombe dans le quatrième. Un fichier indexé sur le matricule luxembourgeois n’entre pas pour autant dans le cinquième.

Surveillance des salariés par IA : l’article L.261-1 du Code du travail

Un outil qui mesure la productivité, lit les tickets du support pour noter les agents ou résume les e-mails de chacun relève de l’article L.261-1. Il exige une base de l’article 6 du RGPD et une information préalable détaillée : finalité, modalités, durée de conservation.

L’employeur s’engage aussi formellement à ne pas utiliser les données pour une autre finalité. Dans les quinze jours, la délégation ou les salariés peuvent demander l’avis de la CNPD, qui répond dans le mois. Pendant ce délai, le projet attend : la demande est suspensive.

À partir de 150 salariés, l’article L.414-9 soumet à une décision commune avec la délégation les installations techniques qui contrôlent comportement et performances, et les critères généraux d’appréciation. Un outil d’IA qui note les agents me paraît entrer droit dans ces cases.

La fiche de la CNPD sur la cybersurveillance veut un contrôle gradué : ponctuel et sans identifier personne d’abord, individuel sur indices. Un tableau de bord nominatif dès le premier jour fait l’inverse. La charte IA d’entreprise fixe les usages, cette procédure fixe le contrôle.

Décision automatisée et article 22 : quand l’IA note des personnes

L’article 22 protège contre la décision fondée exclusivement sur un traitement automatisé qui produit des effets juridiques ou significatifs. Exceptions : contrat, loi, consentement explicite. Dans le premier et le dernier cas, la personne garde le droit d’obtenir une intervention humaine et de contester.

La Cour de justice a précisé la notion le 7 décembre 2023 (C-634/21, SCHUFA) : une note de solvabilité calculée par machine est déjà une « décision » quand le contrat en dépend de manière déterminante. J’en tire qu’un humain qui valide sans regarder ne sauve rien.

Pour le KYC d’un fonds d’investissement luxembourgeois ou l’octroi de crédit dans une banque de la place, c’est le point qui m’inquiète le plus. Une note de risque reprise telle quelle dans un refus ressemble au cas jugé à Luxembourg en 2023.

Recherche et statistiques : les douze mesures de l’article 65

Faire tirer par ChatGPT des statistiques d’un historique de dossiers, ou évaluer un modèle sur ces dossiers, peut relever des articles 63 à 65 de la loi de 2018. Le Luxembourg y fixe des garanties que le RGPD laissait ouvertes.

L’article 65 en liste douze. Le responsable peut en écarter, mais il doit documenter et justifier chaque exclusion pour le projet. L’article 89 du RGPD se contentait de « garanties appropriées » ; la liste luxembourgeoise est bien plus précise, et je trouve la méthode saine.

Le point 3 exige anonymisation, pseudonymisation ou séparation fonctionnelle, pour que les données ne servent pas à décider à l’égard des personnes. Pour savoir quels champs retirer d’un jeu d’entraînement, notre liste des données personnelles à retirer avant une IA sert de point de départ.

Bac à sable réglementaire de la CNPD : Sandkëscht ou consultation préalable

Sandkëscht est le bac à sable de la CNPD. Tout établissement enregistré au Luxembourg peut y tester avec elle un projet touchant aux nouvelles technologies, notamment l’IA. La participation dure en général de 9 à 18 mois.

La CNPD n’y fournit ni serveurs ni données. Le 10 novembre 2026, sa page de dépôt annonçait encore « rendez-vous en août 2026 » pour de nouvelles candidatures, sans formulaire ouvert. Le suivi de ce dossier est dans notre guide sur la CNPD et l’IA.

Pour une équipe qui se contente d’ouvrir ChatGPT ou Copilot, Sandkëscht n’a pas d’intérêt : il vise un projet neuf, pas un abonnement. Je ne confondrais pas non plus les quatre voies ci-dessous, qui n’ont ni le même déclencheur ni le même délai.

Pilote d’IA et RGPD : ce que je laisse hors du jeu de test

Avant un pilote ChatGPT ou Copilot, on est tenté de copier un vrai lot de dossiers pour « voir si ça marche ». La minimisation de l’article 5 se joue là. Un jeu de test sans matricules ni IBAN réels donne en général le même résultat.

Mon réflexe : des étiquettes à la place des identifiants, avant que le texte quitte le poste. L’application Nonimo pour le Luxembourg fait ce tri : noms, e-mails, IBAN et matricules partent en étiquettes, la réponse revient avec les vraies valeurs.

Pour un PDF, un Word ou un Excel entier, mieux vaut masquer le fichier lui-même qu’un copier-coller.

Une étiquette ne règle ni la base légale, ni l’AIPD, ni l’information de la délégation : elle réduit ce que le fournisseur reçoit. Pour équiper toute une équipe, les formules Nonimo au Luxembourg sont détaillées à part.

Si un lot réel est déjà parti, la question devient la notification d’une violation à la CNPD, avec son délai de 72 heures.

Sources

• CNPD, « Analyse d’impact relative à la protection des données » : liste des huit types de traitements soumis à AIPD (art. 35.4), critères de ses exemples, consultation préalable.
• CNPD, FAQ du programme Sandkëscht : entités établies au Luxembourg, 9 à 18 mois, pas d’infrastructure fournie.
• Loi du 1er août 2018, version consolidée sur Legilux : articles 49, 63 à 65, 71 (article L.261-1 du Code du travail) et 72.
• RGPD, texte officiel sur EUR-Lex : articles 6, 9, 22, 28, 35, 36 et 83.
• Cour de justice, arrêt du 7 décembre 2023, C-634/21 (SCHUFA) : une note qui détermine la décision d’un tiers relève de l’article 22.
• Code du travail, version consolidée au 1er janvier 2026 : articles L.261-1, L.411-1 (seuil de 15 salariés) et L.414-9 (décisions communes dès 150 salariés).
• Guichet.lu, droits et devoirs de la délégation du personnel : décisions prises en commun sur les installations de contrôle et les critères d’appréciation.
• Guichet.lu, traitement des données à caractère personnel : plus d’autorisation préalable, information des représentants des salariés.
• Comité européen de la protection des données, Endorsement 1/2018 : reprise du WP248 sur l’AIPD et du WP251 sur les décisions automatisées.

Consulté le 10 novembre 2026.