IA et collectivités territoriales : l'utiliser sans risque
· Mis à jour le
Joaquín Trapero in Expert en intelligence artificielle et en protection des données, fondateur de Nonimo.
Une secrétaire de mairie colle une réclamation dans un assistant pour en adoucir le ton. Le texte part avec un nom, une adresse, parfois un numéro de sécurité sociale. Ce que l’éditeur en fait ensuite, nous l’avons détaillé pour ChatGPT et la confidentialité des données.
Cette page traite ce qui n’existe que dans le secteur public : la CADA, les archives publiques, la transparence des algorithmes, les usages à haut risque du CCAS, la commande publique. Les règles communes à toute organisation sont dans nos autres guides.
Une collectivité peut utiliser l'IA générative, mais rien de nominatif ne doit partir sur un compte personnel. Elle doit en plus pouvoir retrouver ce qui a été envoyé (CADA, archives), mentionner l'algorithme dans une décision individuelle (CRPA L311-3-1) et préparer le régime haut risque de décembre 2027.
Cas d’usage de l’IA dans les collectivités : qui colle quoi
Selon l’observatoire Data Publica, 48 % des collectivités interrogées en 2025 n’avaient donné aucune consigne à leurs agents. Le CNFPT décrit le même « shadow IA » : des usages lancés seuls, sans validation. Certaines collectivités ont d’abord interdit des outils, puis ont dû revoir leur position.
Le danger change selon le poste. Le CCAS reçoit des dossiers où le numéro de sécurité sociale arrive en pièce jointe. Le compte rendu de conseil municipal, lui, est public par nature.
Les ressources humaines manipulent des arrêts de travail qui suffisent à révéler un état de santé. Une seule règle pour tout le monde ne tiendra pas : l’agent d’accueil et le DSI ne collent pas les mêmes choses.
Ce qui part vers l'IA, selon le poste
Choisissez votre fonction. La ligne surlignée est celle qui fait le plus de dégâts si elle sort.
| Tâche confiée à l'IA | Ce que contient souvent le texte | Avant l'envoi |
|---|---|---|
| Résumer une demande d'aide | NIR, IBAN, revenus, composition du foyer, parfois un certificat médical | Retirer tout identifiant ; la copie de carte d'identité jointe ne part pas |
| Préparer un acte ou une réponse d'état civil | Filiation, date et lieu de naissance, mentions marginales | Travailler sur un modèle vide, jamais sur l'acte |
| Rédiger un courrier d'urbanisme | Nom du pétitionnaire, parcelle, voisins identifiables | Remplacer noms et références cadastrales |
| Répondre à un étranger sur sa démarche | Numéro de titre, nationalité, situation de séjour | Rien de la pièce : une copie de titre de séjour se filigrane, elle ne se colle pas |
| Synthétiser un dossier d'agent | Évaluation, absences, procédure disciplinaire | Pas d'IA externe sans avis du DPO |
| Mettre en forme le compte rendu du conseil | Élus et votes (publics), administré cité en questions diverses | Garder le public, retirer le particulier |
| Rédiger un mot d'accueil ou un article du bulletin | Rarement des données personnelles | Usage le plus sûr, à encourager |
Grille établie par nous, sans valeur d'inventaire. Pour une pièce d'identité qui doit partir chez un tiers, voyez aussi le filigrane du passeport et celui de la carte d'identité.
Albert, l’Assistant : quelle IA pour la fonction publique territoriale ?
La DINUM opère l’Assistant, adossé à Albert API et hébergé sur des services SecNumCloud homologués. Nous avons lu les pages publiées : celle des tarifs d’Albert API l’ouvre « à tous les agents de la fonction publique de l’État », pour expérimenter.
La page de l’Assistant vise les « agents publics » sans citer les collectivités. Le guide d’usage de juin 2026 s’adresse aux agents de l’État. Une mairie n’a donc aucun outil fourni d’office : ses options sont celles d’une entreprise, détaillées pour Claude.
Écrire « Albert » dans une charte communale sans accès confirmé, c’est une erreur. L’agent qui ne peut pas ouvrir l’outil officiel retourne sur son compte personnel, et la charte n’a servi à rien. Les offres professionnelles, comme celles de Copilot, se comparent sur contrat.
Quel outil pour cet agent ?
À dérouler pour chaque service, avant d'écrire la liste des outils autorisés.
Le texte contient-il une personne identifiable (administré, agent, élu dans une affaire privée) ?
La collectivité a-t-elle un accès écrit à un outil de l'État, ou un contrat signé avec un éditeur qui la désigne comme responsable de traitement ?
Le DPO a-t-il validé cet usage précis, et l'AIPD est-elle faite si elle était requise ?
Arbre établi par nous à partir des pages de la DINUM (Albert API, l'Assistant) consultées le 8 novembre 2026 et de la page collectivités de la CNIL.
Prompt et CADA : la conversation est-elle un document administratif ?
L’article L300-2 du CRPA vise les documents des collectivités liés à leur mission, « quels que soient leur date, leur lieu de conservation, leur forme et leur support ». La CADA y range les fichiers informatiques extraits par un « traitement automatisé d’usage courant ».
Notre lecture : une conversation gardée dans le compte de service d’une mairie en est probablement un. Nous n’avons trouvé aucun avis de la CADA sur un échange avec une IA. Si un passage doit être retiré avant communication, voyez comment caviarder un PDF.
Ce qui m’inquiète le plus, c’est le compte personnel : la collectivité ne détient plus rien, et l’agent seul sait ce qu’il a envoyé.
Ce qu'un administré pourrait demander après un échange avec l'IA
Notre lecture du CRPA et des pages de la CADA. La ligne surlignée est celle qui surprend les services.
| Ce qui existe | Document administratif ? | Pourquoi |
|---|---|---|
| Le courrier envoyé, rédigé avec l'IA | Oui | L300-2 cite les correspondances ; l'outil utilisé n'y change rien |
| La conversation gardée dans le compte de service | Probablement | Produite pour la mission, sur un support informatique |
| Le brouillon proposé avant la décision | Préparatoire | Selon la CADA, communicable une fois la décision prise |
| L'échange sur le compte personnel d'un agent | À trancher | Qui le détient ? La collectivité n'y a pas accès |
CRPA, article L300-2 ; CADA, « Le document est-il administratif ? ». Lecture de notre part, pas une position de la CADA. Le jour où une demande arrive, c'est la version expurgée envoyée à l'IA qui vous sauve : gardez-la.
Archives publiques : combien de temps vit un échange avec l’IA
Le CRPA renvoie au code du patrimoine : un document non communicable le devient au terme des délais de ses articles L213-1 et L213-2. Pour la vie privée, FranceArchives rappelle le délai : 50 ans après la dernière information protégée.
Une conversation qui résume un dossier du CCAS entre donc dans un cycle long, quand l’éditeur peut l’effacer vite ou la garder des années. Les deux calendriers ne se parlent pas. Qu’un agent pressé puisse vider l’historique d’un clic, ça me gêne franchement.
La vie d'une conversation sur un dossier du CCAS
Exemple : une demande d'aide résumée avec l'IA, puis tranchée par la commission.
Pendant l'instruction
La conversation sert de brouillonDocument préparatoire : pas encore communicableLe seul moment où l'on peut encore retirer les identifiants avant l'envoiAprès la décision
Le dossier est closCommunicable sur demandeLes mentions protégées sont occultées ou disjointes (CRPA, L311-7)50 ans plus tard
La dernière mention de vie privée a 50 ansCommunicable à toute personneSecret médical : un autre délai, compté depuis le décès ou la naissanceCRPA, articles L311-7 et L311-8 ; FranceArchives, « Le droit d'accès aux archives publiques ». Exemple inventé. Les délais réels se décident document par document, avec le service d'archives.
Transparence des algorithmes publics : la mention de l’article L311-3-1
Une décision individuelle « prise sur le fondement d’un traitement algorithmique » le dit à l’intéressé par une mention explicite. Sur demande, il obtient le degré de contribution du traitement, les données et leurs sources, les paramètres appliqués à son cas et les opérations effectuées.
À partir de 50 agents en équivalent temps plein, la collectivité publie aussi en ligne les règles de ses principaux traitements. La CADA juge ces règles communicables, document à rédiger ou non. Le RGPD ajoute ses propres limites aux décisions automatisées sur des données clients.
Un courrier reformulé par l’IA n’est pas, à mon sens, une décision fondée sur un algorithme. Un outil qui classe les demandes par priorité, si.
Faut-il la mention L311-3-1 ?
À poser pour chaque usage qui touche une décision individuelle : aide, place en crèche, logement, autorisation.
L'outil a-t-il pesé sur le sens de la décision (tri, score, proposition d'accord ou de refus) ?
La collectivité compte-t-elle au moins 50 agents en équivalent temps plein ?
CRPA, articles L311-3-1, R311-3-1-1, R311-3-1-2, L312-1-3 et D312-1-4 ; CADA, avis 202400645, séance du 18 avril 2024. La frontière entre rédiger et fonder une décision n'est tranchée par aucun texte : notre lecture.
CCAS et aide sociale : les usages à haut risque du règlement IA
L’annexe III du règlement européen classe à haut risque les systèmes utilisés par les autorités publiques pour juger de l’éligibilité aux aides sociales, ou pour « octroyer, réduire, révoquer ou récupérer » ces prestations. Un CCAS qui confie ce tri à un outil peut donc y entrer.
Le règlement 2026/1744 les applique au 2 décembre 2027. Le déployeur public s’enregistre alors dans la base de l’Union et analyse l’impact sur les droits fondamentaux. Le reste des obligations du déployeur figure dans notre guide sur le règlement IA en entreprise.
La ligne « récupérer » est celle que je surveillerais : un outil qui repère les indus semble anodin, et il peut tomber dans le champ du texte.
Ce que fait l'outil au CCAS, et ce qu'en dit l'annexe III
Point 5 a). Les lignes intermédiaires dépendent du poids réel de l'outil dans l'évaluation.
| Usage | Haut risque ? | Ce que cela déclenche au 2 décembre 2027 |
|---|---|---|
| Reformuler une lettre de refus déjà décidée | Non, a priori | Les règles générales du RGPD |
| Résumer une demande pour la commission | À examiner | Une analyse écrite de son rôle dans la décision |
| Noter ou classer l'éligibilité des demandeurs | Oui | Enregistrement (article 26, paragraphe 8), analyse d'impact (article 27), contrôle humain |
| Proposer la récupération d'un trop-perçu | Oui, a priori | Les mêmes obligations |
Règlement (UE) 2024/1689, annexe III, articles 26 et 27 ; règlement (UE) 2026/1744 pour la date. L'article 6, paragraphe 3, sort du haut risque l'outil qui ne fait qu'une tâche préparatoire, sauf s'il profile des personnes : c'est la ligne « à examiner ». Un certificat médical joint au dossier pose en plus la question de l'hébergement : voyez le compte rendu médical confié à l'IA.
DPO, AIPD, marché public : les obligations des collectivités avant l’outil
Selon la CNIL, le RGPD impose à toutes les structures publiques de désigner un délégué. Pour la commande publique, elle demande de qualifier « le plus tôt possible » le rôle de chacun, responsable ou sous-traitant : c’est lui qui dit si les clauses de l’article 28 s’imposent.
Un outil d’IA traité comme un abonnement logiciel, sans consultation ni DPO, c’est la pire porte d’entrée. Un éditeur qui refuse de dire combien de temps il garde les invites mérite qu’on passe son chemin. Ces questions recoupent celles d’un questionnaire d’assurance cyber.
La charte vient après, et notre modèle de charte IA se transpose en note de service.
Avant de publier la consultation
Les points propres au secteur public, en plus du contrat de sous-traitance.
0 sur 8
Trop tôt pour publier. Les trous sur l'export et l'archivage se paient le jour d'une demande d'administré.
Presque. Faites relire les points manquants par le DPO avant la publication.
Le dossier tient. Reste à décider ce que les agents ont le droit d'y coller.
Liste établie par nous d'après la CNIL (page collectivités territoriales ; commande publique, 31 mai 2022), le CRPA et le règlement IA. Pour une application interne branchée sur une API, le filtrage peut se faire en amont, par exemple avec Presidio ou derrière un AI gateway.
Courriers d’administrés : ce qui part vers l’IA générative
Un courrier de CCAS ou d’urbanisme mélange deux choses : ce qui identifie la personne et ce qui décrit sa situation. L’IA a besoin de la seconde, presque jamais de la première. Notre inventaire des données à retirer les classe famille par famille.
Mon réflexe : garder la situation, enlever la personne. Collez votre propre courrier ci-dessous, ou testez l’exemple. Le Word qui a circulé entre services peut garder un nom effacé dans son suivi des modifications.
Ce que votre courrier laisse passer
Le vérificateur repère NIR (clé comprise), SIREN, SIRET, IBAN, plaque d'immatriculation, téléphone et e-mail.
Tout reste dans votre navigateur : rien n'est envoyé. L'outil ne repère ni les noms ni les adresses. Données inventées : le NIR porte exprès une clé de contrôle fausse. Il n'est donc pas signalé, comme un numéro mal recopié. Une liste exportée du logiciel métier se nettoie, elle, comme un fichier CSV.
![Une référence cadastrale fictive devient [PARCELLE_1] : dans un courrier d'urbanisme, la parcelle désigne le pétitionnaire](/guias/fr/collectivite-urbanisme-parcelle-etiquette.webp "La parcelle d'un courrier d'urbanisme")
IA générative en mairie : la règle que je ferais voter
Une délibération d’une page vaut mieux qu’une charte de vingt pages que personne n’ouvre. Elle nomme les outils fournis, interdit le dossier nominatif sur un compte personnel et désigne qui garde les conversations. Notre page collectivités territoriales reprend les cas de chaque service.
Reste le geste au poste de travail, que la consigne ne fera pas à la place de l’agent. Nonimo remplace sur l’ordinateur de l’agent les noms, NIR, SIREN et SIRET d’un courrier par des étiquettes stables, puis remet les vrais noms dans la réponse.
Trois décisions pour le prochain conseil
Dans cet ordre : l'outil vient en dernier.
Voter
Une délibération ou une note de service d'une pageOutils fournis, usages interdits, durée de conservationPassage devant le comité social territorialFournir
Des comptes de service, pas des comptes personnelsUn export possible pour la CADA et les archivesUn nom responsable de leur fermetureRetirer
Les identifiants avant chaque envoiSur le poste de l'agent, au moment de collerLa version envoyée, gardée au dossierOrdre de marche proposé par nous. Il ne remplace pas l'avis de votre DPO ni celui du service d'archives départemental. Pour équiper tout un service, voyez la page organisations.
Les PDF scannés se lisent aussi sur le poste, comme le décrit notre page Sécurité.
Pour une application de la collectivité qui appelle l’API d’OpenAI, la version serveur de Nonimo fait le même tri dans votre propre système d’information.
Sources
- Banque des Territoires, observatoire Data Publica, 14 novembre 2025 : 48 % des collectivités sans consigne, enquête auprès de 292 collectivités.
- Banque des Territoires, le CNFPT cartographie pratiques, attentes et craintes, 2 juin 2025 : shadow IA, chartes et interdictions temporaires.
- Sénat, rapport d’information n° 447 (2024-2025), 13 mars 2025 : onze recommandations pour les collectivités.
- DINUM, Albert API, tarifs et limites : accès ouvert aux agents de la fonction publique de l’État.
- DINUM, DITP et DGAFP, guide d’usage de l’IA pour les agents publics, juin 2026 : périmètre des agents de l’État.
- Légifrance, CRPA, livre III : définition du document administratif (L300-2).
- Légifrance, CRPA, droit d’accès : L311-3-1, R311-3-1-2, L311-7, L311-8, L312-1-3 et le seuil de 50 agents (D312-1-4).
- CADA, le document est-il administratif ? : fichiers informatiques, documents préparatoires.
- CADA, avis 202400645, 18 avril 2024 : règles des traitements algorithmiques communicables.
- FranceArchives, le droit d’accès aux archives publiques : délai de 50 ans pour la vie privée.
- CNIL, collectivités territoriales : délégué obligatoire pour toutes les structures publiques.
- CNIL, commande publique : quel acteur est responsable, 31 mai 2022 : qualification le plus tôt possible.
- Règlement (UE) 2024/1689 : annexe III, point 5 a), articles 26 et 27.
- Règlement (UE) 2026/1744 : application au 2 décembre 2027 des règles sur l’annexe III.
Consulté le 8 novembre 2026.
Guides associés
Questions fréquentes
Quelle IA pour les collectivités territoriales ?
Celle que la collectivité a choisie et contractualisée par écrit. Aucun outil n'est imposé aux communes : le choix passe par la commande publique, l'avis du DPO et souvent une AIPD avant la mise en service.
Quelle IA pour la fonction publique ?
Pour l'État, la DINUM opère l'Assistant et Albert API. Sa page tarifs ouvre Albert API aux agents de la fonction publique de l'État ; rien n'y garantit l'accès d'une commune. Demandez une confirmation écrite avant de compter dessus.
Quels cas d'usage de l'IA dans les collectivités ?
Surtout de la rédaction : courriers, comptes rendus, réponses aux administrés. Viennent ensuite la synthèse de dossiers et l'accueil en ligne. Un outil qui évalue l'éligibilité à une aide sociale relève d'un régime plus strict.
Quelles sont les obligations des collectivités face à l'IA ?
Celles du RGPD, plus quelques-unes propres au public. DPO obligatoire, AIPD si le risque est élevé, mention de l'article L311-3-1 du CRPA pour une décision algorithmique, puis le régime haut risque du règlement IA en décembre 2027.
Peut-on utiliser ChatGPT dans une collectivité territoriale ?
Oui, pour un texte où personne n'est identifiable. Un dossier d'administré collé dans un compte personnel, non : la collectivité en reste responsable et ne peut plus le retrouver si on le lui demande.
Existe-t-il un guide de l'IA pour les collectivités ?
Nous n'en avons trouvé aucun au niveau national. Celui de juin 2026 vise les agents de l'État. Le Sénat a publié en mars 2025 un rapport à onze recommandations pour les collectivités, sans valeur obligatoire.