Données clients dans une IA : faut-il notifier la CNIL ?

Un salarié a collé un fichier client dans une IA, un lien de conversation a circulé, ou votre fournisseur annonce un incident. Comment ces données sortent, je l’ai décrit dans un guide à part. Cette page commence après : qui déclare quoi, à qui, et dans quel délai.

Le RGPD fixe la marche à suivre et la CNIL publie son mode d’emploi. Il manque la version pour une conversation avec une IA, où le texte parti est parfois introuvable et où le compte n’appartient pas toujours à l’entreprise.

Exemple de violation de données personnelles avec une IA : six situations

L’article 4.12 du RGPD vise toute violation de la sécurité qui entraîne, de manière accidentelle ou illicite, la divulgation ou l’accès non autorisé à des données personnelles. Aucune intrusion n’est exigée. Un copier-coller suffit, dès lors que le texte arrive chez quelqu’un qui n’avait pas à le lire.

D’une situation à l’autre, ce qui bouge, c’est qui déclare et quand. Le cadre contractuel de l’outil, détaillé dans notre guide RGPD sur les données clients, pèse plus lourd que sa marque. Des six scènes, je classe le lien partagé en tête : personne ne sait qui l’a ouvert.

Délai de notification à la CNIL : quand les 72 heures commencent

L’article 33.1 demande de notifier « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance ». Le point de départ est votre connaissance, pas l’heure du copier-coller. Une conversation du lundi découverte le mercredi fait partir le compteur le mercredi.

Le CEPD tolère une brève enquête pour établir, avec un degré de certitude raisonnable, qu’il y a bien eu violation (point 34). Elle commence aussitôt. Laisser dormir une alerte évidente peut valoir absence de notification (point 40), donc l’heure de l’alerte se note dès qu’elle arrive.

Passé le délai, la notification reste due et porte les motifs du retard. Une charte IA qui désigne le destinataire des signalements fait gagner les premières heures, celles où personne ne sait à qui parler.

Est-il toujours obligatoire de notifier ? Évaluer le risque

Non. L’article 33 dispense de notification la violation qui n’est pas susceptible d’engendrer un risque pour les personnes. La CNIL en tire trois niveaux : sans risque, on documente ; avec un risque, on notifie ; avec un risque élevé, on prévient aussi les personnes.

Le CEPD pèse la nature des données, la facilité d’identification, la gravité des conséquences, le nombre de personnes et leur vulnérabilité. Une donnée sensible cachée dans un arrêt de travail compte davantage qu’une liste d’adresses de livraison.

Ses exemples 01/2021 tracent la ligne. Un salarié parti avec le fichier clients : notification, faute de connaître ses intentions (cas n° 08). Un agent tenu au secret qui reçoit vingt fiches par erreur et les efface : registre seulement (cas n° 09). Un compte gratuit ressemble au premier.

Qui doit notifier : responsable du traitement ou sous-traitant ?

Seul le responsable du traitement notifie la CNIL. Un cabinet qui tient la paie ou la comptabilité de ses clients agit souvent pour leur compte : il est alors leur sous-traitant, et la déclaration leur revient. Les cabinets d’expertise comptable sont en première ligne.

L’article 33.2 impose au sous-traitant de prévenir son client « dans les meilleurs délais ». Le CEPD précise qu’il n’a pas à évaluer le risque d’abord : il établit la violation et il alerte (point 44). Attendre d’avoir compté les personnes pour écrire ce premier message serait une erreur.

Un tableau collé peut mêler plusieurs clients, et une plage copiée dans Excel emporte les lignes masquées à la main. Chaque client touché reçoit alors son alerte, et chacun décide pour lui-même.

Notifier une violation à la CNIL : téléservice, trame et notification complémentaire

La notification se fait en ligne, sur le téléservice de la CNIL réservé aux responsables de traitement. Les plaintes passent par un autre service. Une trame .odt de la CNIL reprend les étapes. La remplir hors ligne d’abord évite de rédiger sous la pression du formulaire.

L’article 33.3 fixe le minimum : nature de la violation, catégories et nombre approximatif de personnes et d’enregistrements, contact du DPO, conséquences probables, mesures prises. S’il manque des éléments, l’article 33.4 autorise l’échelonnement : notification initiale dans le délai, complémentaire ensuite.

La rubrique la plus délicate décrit la nature de la violation. Pour une conversation avec une IA, je préfère des faits datés à une formule générale. Dans l’exemple ci-dessous, la conversation est copiée avant d’être supprimée : effacer l’historique d’abord vous laisserait sans rien pour remplir cette rubrique.

Ces déclarations nourrissent un jeu de données que la CNIL publie sur data.gouv.fr, hors notifications des trois derniers mois. Chaque ligne y correspond à un cas précis : une raison de plus pour écrire juste du premier coup.

Informer les personnes concernées : ce que demande l’article 34

Le seuil est plus haut : un risque élevé. La communication se fait dans les meilleurs délais, en termes clairs et simples, avec la nature de la violation, un contact, les conséquences probables et les mesures prises. Une phrase de juriste qui noie l’information ne remplit pas l’obligation.

L’article 34.3 prévoit trois dispenses, et la CNIL peut exiger la communication. En cas de doute, elle indique elle-même si les personnes doivent être prévenues. Pour un cabinet de courtage, une déclaration de sinistre avec l’état de santé de l’assuré mène vite à ce seuil.

Registre des violations de données : un modèle minimal

Le RGPD n’impose aucun modèle. L’article 33.5 exige les faits, les effets et les mesures prises, pour toute violation, notifiée ou non. Le CEPD ajoute le raisonnement des décisions, et surtout la justification quand on ne notifie pas (point 125).

Ce registre peut vivre dans celui des traitements, si les violations y restent repérables et extractibles (CEPD, note 47). Les pièces du registre des traitements sont décrites dans notre guide sur l’IA et le RGPD. Si vous notifiez, le récapitulatif de la CNIL vaut déjà documentation.

Un registre mal tenu peut appeler une amende de l’article 83 (CEPD, point 129) : pour l’article 33, jusqu’à 10 000 000 € ou 2 % du chiffre d’affaires annuel mondial. Ma ligne préférée est celle de la non-notification : elle prouve qu’on a réfléchi.

Santé, télécoms, assurance cyber : les déclarations qui s’ajoutent à la CNIL

La notification RGPD n’est pas toujours seule. La CNIL rappelle que plusieurs textes (NIS, eIDAS, Paquet télécom, systèmes d’importance vitale, loi de modernisation de notre système de santé) créent des obligations qui peuvent se recouvrir. Ces guichets n’ont pas les mêmes délais : à vérifier dans la première heure.

Pour une entreprise assurée, le délai coûteux est celui de la plainte : depuis le 24 avril 2023, 72 heures après la découverte des pertes pour être indemnisé d’une cyberattaque. Notifier la CNIL ne vaut pas plainte ; notre guide sur l’assurance cyber détaille ce point de départ.

Et si votre entreprise déploie ses propres systèmes d’IA, ses obligations de déployeur au titre de l’AI Act se lisent à part. Elles ne remplacent pas cette notification.

Violation de données : ce qu’on fait, et ce qu’on évite, dans la première heure

La première heure sert à garder des preuves, pas à effacer. Sans le texte parti, le compte et l’heure, la rubrique « nature de la violation » reste vide. Un PDF « noirci » d’un simple rectangle compte comme parti en clair, comme le montre notre guide du caviardage.

Pour un fichier joint, les métadonnées ajoutent parfois des noms : auteur, client, dossier. Supprimer d’abord est le réflexe que je déconseille le plus : on se prive du seul document qui permet de compter.

Moins de violations à notifier à la CNIL : masquer avant l’envoi

Aucune procédure n’efface ce qui est parti. Ce qui fait baisser le nombre de notifications, c’est un texte qui ne contient plus rien à déclarer. Nonimo remplace sur l’ordinateur les données identifiantes, NIR et SIRET compris, par des étiquettes avant que le texte parte, et montre chaque remplacement.

Un texte masqué reste une donnée personnelle tant que la correspondance existe chez vous, comme l’explique notre guide pour anonymiser un document. Mais une étiquette lue par un inconnu ne désigne personne, et c’est l’évaluation du risque qui change.

Pour les applications qui appellent un modèle par API, Nonimo Gateway fait le même remplacement avant chaque requête. C’est là que je mettrais le premier effort : une procédure de notification bien rodée sert moins qu’un envoi qui n’a rien à notifier.

Sources

• RGPD, texte officiel sur EUR-Lex. Définition de la violation (article 4.12), notification, contenu minimal, échelonnement et documentation (article 33), information des personnes et dispenses (article 34), plafond de l’article 83.4.
• CNIL, Notifier une violation de données personnelles. Téléservice réservé aux responsables de traitement, notification en deux temps, motifs du retard, trame .odt, récapitulatif valant documentation.
• CNIL, Les violations de données personnelles. Les trois niveaux de risque, le registre des violations et les dispenses d’information.
• CEPD, lignes directrices 9/2022 sur la notification des violations, version 2.0. Brève enquête (point 34), alerte ignorée (point 40), sous-traitant (points 44 à 47), destinataire fiable (point 114), registre (points 121 à 129).
• CEPD, lignes directrices 01/2021, exemples de notification, adoptées le 14 décembre 2021. Cas n° 08 (salarié et fichier clients) et n° 09 (transmission à un tiers de confiance).
• CNIL sur data.gouv.fr, Notifications à la CNIL de violations de données à caractère personnel. Jeu de données sous Licence Ouverte, hors notifications des trois derniers mois.
• Agence du numérique en santé, cadre législatif et déclarations du CERT Santé. Article L. 1111-8-2 du code de la santé publique, décret n° 2022-715, établissements concernés, signalement sans délai.
• Entreprendre Service Public, plainte sous 72 heures après une cyberattaque. Article 5 de la loi LOPMI, en vigueur depuis le 24 avril 2023, délai courant à la découverte des pertes.

Consulté le 8 novembre 2026.