# Comment le RGPD s'applique-t-il à l'IA ? Définition et enjeux pour l'entreprise > Le RGPD encadre tout traitement de données personnelles par un système d'IA opéré dans l'Union européenne ou visant des personnes qui s'y trouvent. Quatre obligations s'appliquent en priorité : finalité explicite, minimisation des données, droits d'accès et d'opposition, et étude d'impact pour les traitements à risque élevé. ## Définition Le Règlement général sur la protection des données (RGPD, règlement européen 2016/679) s'applique à tout système d'IA dès lors qu'il traite des données personnelles (nom, email, adresse IP, historique d'achat, image, voix). Quatre obligations structurent l'analyse pour les déploiements IA. La finalité explicite : un système IA ne peut traiter des données que pour des usages clairement définis à l'avance et notifiés aux personnes concernées. La minimisation : on ne traite que les données strictement nécessaires à la finalité, pas plus. Les droits des personnes : accès, rectification, opposition, portabilité, effacement. L'étude d'impact (DPIA, *Data Protection Impact Assessment*) : obligatoire lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes (article 35 du RGPD), à apprécier au cas par cas selon les critères et la liste de la CNIL. La CNIL a publié des recommandations sur le développement des systèmes d'IA. Le 19 juin 2025, elle les a complétées par des fiches sur l'intérêt légitime et sur le moissonnage de données en ligne (web scraping). Elles font référence en France. ## Exemple Une entreprise française de e-commerce déploie un chatbot IA pour son service client. Trois questions RGPD à trancher avant la mise en production. Premièrement, sur quelle base juridique le traitement repose-t-il (consentement, intérêt légitime, exécution contractuelle) ? Deuxièmement, les conversations sont-elles transmises à un sous-traitant hors UE (OpenAI, Anthropic via API) ? Si oui, il faut un mécanisme de transfert : décision d'adéquation (Data Privacy Framework pour un fournisseur américain participant) ou, à défaut, clauses contractuelles types et analyse de transfert (TIA). Troisièmement, combien de temps les conversations sont-elles conservées ? Sans réponse précise sur ces trois points, le déploiement est juridiquement fragile, et la CNIL peut prononcer une amende administrative pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial de l'exercice précédent, le montant le plus élevé étant retenu (article 83 du RGPD). ## Pour un dirigeant Six clauses RGPD à exiger de tout fournisseur IA traitant des données personnelles pour vous. Premièrement, une qualification claire des rôles : qui est responsable de traitement (vous, le plus souvent), qui est sous-traitant (le fournisseur), avec leurs obligations respectives au sens des articles 26 et 28 du RGPD. Deuxièmement, une cartographie des transferts hors UE et les garanties associées (CCT, BCR, décision d'adéquation). Troisièmement, la durée et les modalités de conservation des données par le fournisseur (logs, prompts, sorties). Quatrièmement, le droit d'audit, exercé à vos frais, sur la conformité RGPD du sous-traitant. Cinquièmement, l'obligation de notification d'incident dans les 24 heures (contre 72 heures pour la déclaration à la CNIL). Sixièmement, la procédure d'exercice des droits des personnes : qui les reçoit, qui y répond, dans quels délais. ## Questions fréquentes **Le RGPD s'applique-t-il à un outil d'IA qui utilise mes données ?** Oui, dès qu'il traite des données personnelles (nom, email, adresse IP, image, voix), que le système soit opéré dans l'Union européenne ou vise des personnes qui s'y trouvent. Quatre obligations priment : finalité explicite, minimisation, droits des personnes (accès, opposition, effacement) et étude d'impact (DPIA) pour les traitements susceptibles d'engendrer un risque élevé. **Puis-je envoyer des données personnelles à une API IA américaine (OpenAI, Anthropic) ?** Pas sans précaution. Le transfert hors UE exige un mécanisme de transfert : une décision d'adéquation (le Data Privacy Framework UE-États-Unis couvre les entreprises américaines participantes) ou, à défaut, des clauses contractuelles types avec une analyse de transfert. Il faut aussi qualifier les rôles : vous êtes généralement responsable de traitement, le fournisseur sous-traitant, avec un contrat conforme à l'article 28. À défaut, le traitement est irrégulier. **Quand une étude d'impact (DPIA) est-elle obligatoire ?** Lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes (article 35). C'est à apprécier cas par cas, avec les critères et la liste publiés par la CNIL. La DPIA se mène avant la mise en production, pas après. ## À lire aussi - [AI Act](https://wyp.agency/glossaire/ai-act/) - [Garde-fous](https://wyp.agency/glossaire/garde-fous/) - [Données d'entraînement](https://wyp.agency/glossaire/donnees-entrainement/) - [Souveraineté numérique](https://wyp.agency/glossaire/souverainete-numerique/) - [Biais algorithmique](https://wyp.agency/glossaire/biais-algorithmique/) - [Shadow AI](https://wyp.agency/glossaire/shadow-ai/) - [Omnibus numérique (Digital Omnibus)](https://wyp.agency/glossaire/omnibus-numerique/) - [IA explicable (XAI)](https://wyp.agency/glossaire/ia-explicable/) ## Sources - Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (RGPD) (https://eur-lex.europa.eu/eli/reg/2016/679/oj) - Intelligence artificielle, recommandations et guides, CNIL (https://www.cnil.fr/fr/intelligence-artificielle) - IA : la CNIL finalise ses recommandations sur le développement des systèmes d'IA (intérêt légitime, moissonnage), CNIL, 19 juin 2025 (https://www.cnil.fr/fr/recommandations-developpement-ia-interet-legitime) - Transferts de données UE-États-Unis, décision d'adéquation du 10 juillet 2023 (Data Privacy Framework), Commission européenne (https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_en) --- Fiche du glossaire IA de WYP.agency · https://wyp.agency/glossaire/rgpd-ia/ · Dernière mise à jour : 2026-10-14