Quelle IA est conforme au RGPD et comment l'utiliser ?

« IA conforme RGPD » : la formule s’affiche sur presque toutes les pages de vente, et le RGPD l’ignore. Le règlement juge un traitement, avec un responsable, une finalité et des destinataires. Un même outil peut être bien employé ici et hors du cadre à côté.

Cette page sert à choisir un outil d’IA, ou à juger celui que vos équipes utilisent déjà, avec une grille tirée du RGPD et de la CNIL. Ce qu’on peut coller ou non d’un dossier client est traité dans notre guide sur ChatGPT et les données clients.

Solution IA conforme RGPD : ce que valent les promesses des éditeurs

La CNIL ne tient pas de liste d’outils d’IA « autorisés ». Dans sa foire aux questions du 18 juillet 2024, elle renvoie la charge à l’utilisateur : « il vous revient donc d’interroger le fournisseur sur la conformité de son système au RGPD ».

Un badge « 100 % RGPD » me fait lever un sourcil : il ne dit ni qui traite, ni où, ni combien de temps. Chaque promesse se traduit en une question, et notre page organisations montre comment la poser service par service.

IA et RGPD en gestion de projet, en bureautique ou par API : le type d’outil compte

Avant la marque, la forme. Un assistant ouvert dans le navigateur, une fonction d’IA ajoutée à votre logiciel de gestion de projet, une API branchée sur vos applications ou un modèle installé sur vos serveurs : la chaîne de sous-traitance change à chaque fois.

L’IA intégrée surprend le plus. L’éditeur de votre logiciel peut confier le calcul à un fournisseur de modèle, qui devient son sous-traitant. L’article 28, paragraphe 2, lui impose votre autorisation écrite ; si elle est générale, il doit vous prévenir de l’ajout pour que vous puissiez objecter. Encore faut-il lire ses avis.

Avec des données de clients, de salariés ou des documents sensibles, la CNIL juge « plus opportun et plus sécurisé » le déploiement sur site. Par API, la maîtrise reste « quasi exclusivement dans les mains du fournisseur ». Voyez aussi LLM local ou proxy de confidentialité.

DPA, entraînement, conservation : les questions à poser à l’éditeur d’IA

Le premier document à réclamer est l’accord de traitement des données, le DPA, qui met en œuvre l’article 28. Sans lui, l’éditeur ne travaille pas pour votre compte. La grille ci-dessous porte sur ce que ce contrat laisse souvent dans le vague.

Trois points reviennent : l’usage de vos saisies pour l’entraînement, la durée de conservation des requêtes et des journaux, et les cas où un humain peut lire. Chez certains éditeurs, les échanges relus par des réviseurs restent plus longtemps que les autres, comme chez Gemini.

Exigez des réponses écrites et datées : une page d’aide change sans prévenir. Un éditeur incapable de dire où partent vos données, je ne le retiendrais pas, même moins cher. Les réponses obtenues nourrissent ensuite la charte IA de l’entreprise.

Transfert de données hors UE : articles 44 à 49 et Data Privacy Framework

L’article 44 pose le principe : un transfert vers un pays tiers n’a lieu que si le chapitre V est respecté, transferts ultérieurs compris. Un éditeur établi en Irlande qui fait traiter vos requêtes aux États-Unis par un sous-traitant y entre donc.

Le chapitre V offre ensuite ses fondements, dans cet ordre : une décision d’adéquation de la Commission (article 45), des garanties appropriées comme les clauses types (article 46), puis les dérogations de l’article 49. Celles-ci s’interprètent strictement et ne portent pas un outil ouvert tous les matins.

Pour les États-Unis, la Commission a adopté le 10 juillet 2023 la décision d’adéquation du Data Privacy Framework. Elle ne couvre que les entreprises américaines inscrites sur la liste du département du Commerce. Comment un éditeur l’annonce, la politique de Claude en donne un exemple.

Le 3 septembre 2025, le Tribunal de l’Union européenne a rejeté le recours d’un citoyen français, Philippe Latombe, contre cette décision. Le Tribunal rappelle que la Commission doit en suivre l’application et peut la suspendre ou la modifier si le droit américain change.

M. Latombe a formé un pourvoi le 31 octobre 2025 (affaire C-703/25 P). À notre connaissance, la Cour de justice n’a pas encore statué.

Deux décisions précédentes sur les États-Unis ont été invalidées par la Cour de justice, en 2015 et en 2020. Faire reposer tous ses transferts sur une seule décision me paraît donc fragile : garder des clauses types dans le contrat ne coûte pas grand-chose.

Cloud Act et SecNumCloud : ce que l’hébergement en France change

Le Cloud Act est une loi américaine de mars 2018. Selon le ministère de la Justice des États-Unis, elle confirme qu’un fournisseur soumis à la juridiction américaine doit communiquer, sur ordre légal valide, les données qu’il contrôle, où qu’il les stocke.

Le même ministère détaille les garde-fous : mandat d’un juge indépendant pour le contenu, pas de collecte en vrac, intérêts du pays étranger pesés par les tribunaux en cas de conflit de lois. Ce n’est pas un libre-service, et l’adresse du centre de données ne règle pas la question.

En France s’ajoute la loi dite « de blocage » du 26 juillet 1968 : sauf traité, elle interdit de communiquer à des autorités étrangères certains renseignements économiques sensibles. Son effet face à un fournisseur étranger relève d’un avocat, surtout pour les collectivités territoriales et leurs données d’usagers.

Côté européen, l’article 48 du RGPD ne reconnaît la décision d’un juge ou d’une autorité d’un pays tiers que si elle repose sur un accord international, comme un traité d’entraide judiciaire.

SecNumCloud est la qualification de l’ANSSI pour des offres cloud « de confiance ». Elle vise à protéger les données sensibles face à la menace cybercriminelle et à l’application de lois extraterritoriales. L’ANSSI préconise ces offres dans ses recommandations sur l’hébergement des systèmes d’information sensibles.

Mon avis : SecNumCloud se justifie quand une demande étrangère sur vos données serait inacceptable, pour des raisons de souveraineté ou de secret. Pour reformuler des comptes rendus de réunion internes, c’est souvent disproportionné, et le contrat compte davantage.

AIPD, information et droits des personnes : ce qui reste à votre charge

L’outil choisi, trois obligations restent chez vous. L’information d’abord : l’article 13 demande d’indiquer les destinataires et, le cas échéant, le transfert hors UE avec sa base. Pour un cabinet, la phrase trouve sa place dans la clause IA de la lettre de mission.

L’analyse d’impact ensuite, exigée par l’article 35 quand un traitement, en particulier par de nouvelles technologies, est susceptible d’engendrer un risque élevé. Elle se fait avant. Les données sensibles d’un dossier suffisent souvent à faire basculer la réponse.

Les droits enfin. Le 7 février 2025, la CNIL a admis que l’accès, la rectification ou l’effacement peuvent être « particulièrement difficiles » à mettre en œuvre dans un modèle d’IA. La parade la plus sûre est en amont : n’y faire entrer rien qu’il faudrait retrouver.

Recommandations IA de la CNIL : lesquelles visent un utilisateur

La CNIL publie beaucoup sur l’IA, et la plupart de ses textes s’adressent à ceux qui conçoivent les modèles. Ses fiches pratiques, finalisées le 22 juillet 2025, portent sur le développement : finalité, base légale, annotation, sécurité, statut des modèles au regard du RGPD.

Pour l’organisme qui utilise un outil, la référence reste la FAQ du 18 juillet 2024. Son programme du 7 avril 2026 annonce la fin de ses travaux sur l’IA au travail et en santé. Le 8 novembre 2026, sa page des fiches pratiques ne contenait encore rien sur l’usage en entreprise.

Classer ces textes par lecteur plutôt que par date évite de s’imposer des règles écrites pour d’autres. Le règlement européen sur l’IA ajoute ses propres obligations de déployeur, résumées dans notre guide sur l’AI Act.

IA respectueuse du RGPD : trois usages, trois réponses

Pour une petite structure, je ferais simple. Aucun compte grand public pour quoi que ce soit de nominatif. Une offre professionnelle avec DPA pour le travail courant. Un modèle hébergé chez vous, ou une offre qualifiée, quand les données ne doivent apparaître nulle part ailleurs.

Reste ce qu’aucun contrat ne règle : ce que la personne colle. Quel que soit l’outil retenu, Nonimo agit avant lui, sur l’ordinateur de chaque collaborateur : noms, adresses, NIR et SIRET deviennent des étiquettes, et c’est ce texte-là qui part.

Ce que l’application voit elle-même de vos textes est décrit sur notre page sécurité. Le masquage ne remplace pas la grille ci-dessus : il réduit ce qu’elle doit couvrir.

Sources

• CNIL, questions-réponses sur l’utilisation d’un système d’IA générative, 18 juillet 2024 : interroger le fournisseur, contrat, déploiement sur site, cloud ou API, service grand public, AIPD, charte et formation.
• CNIL, IA et RGPD : nouvelles recommandations, 7 février 2025 : information des personnes et droits « particulièrement difficiles » à mettre en œuvre dans un modèle.
• Règlement (UE) 2016/679, RGPD : articles 13, 28, 30, 33, 35, 44 à 49.
• Commission européenne, transferts de données UE-États-Unis : décision d’adéquation du 10 juillet 2023, limitée aux entreprises participantes.
• Data Privacy Framework List, département du Commerce des États-Unis : liste des participants, filtrable par données couvertes.
• Tribunal de l’Union européenne, communiqué n° 106/25, 3 septembre 2025 : rejet du recours Latombe contre le cadre UE-États-Unis.
• Pourvoi formé le 31 octobre 2025 par Philippe Latombe, affaire C-703/25 P, Journal officiel de l’Union européenne.
• Ministère de la Justice des États-Unis, livre blanc sur le CLOUD Act, avril 2019 : données contrôlées par le fournisseur, quel que soit le lieu, et garde-fous.
• ANSSI, le cloud et la qualification SecNumCloud : offres de confiance face aux lois extraterritoriales, limites de la qualification.
• Loi n° 68-678 du 26 juillet 1968, dite loi de blocage : communication de renseignements économiques à des autorités étrangères.
• CNIL, « IA : la CNIL finalise ses recommandations sur le développement des systèmes d’IA », 22 juillet 2025, page des fiches pratiques IA et programme de travail 2026 du 7 avril 2026.

Consulté le 8 novembre 2026.