Dernière revue :
Comment le RGPD s'applique-t-il à l'IA ? Définition et enjeux pour l'entreprise
Le RGPD encadre tout traitement de données personnelles par un système d'IA opéré dans l'Union européenne ou visant des personnes qui s'y trouvent. Quatre obligations s'appliquent en priorité : finalité explicite, minimisation des données, droits d'accès et d'opposition, et étude d'impact pour les traitements à risque élevé.
Le Règlement général sur la protection des données (RGPD, règlement européen 2016/679) s'applique à tout système d'IA dès lors qu'il traite des données personnelles (nom, email, adresse IP, historique d'achat, image, voix). Quatre obligations structurent l'analyse pour les déploiements IA. La finalité explicite : un système IA ne peut traiter des données que pour des usages clairement définis à l'avance et notifiés aux personnes concernées. La minimisation : on ne traite que les données strictement nécessaires à la finalité, pas plus. Les droits des personnes : accès, rectification, opposition, portabilité, effacement. L'étude d'impact (DPIA, Data Protection Impact Assessment) : obligatoire lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes (article 35 du RGPD), à apprécier au cas par cas selon les critères et la liste de la CNIL. La CNIL a publié des recommandations sur le développement des systèmes d'IA. Le 19 juin 2025, elle les a complétées par des fiches sur l'intérêt légitime et sur le moissonnage de données en ligne (web scraping). Elles font référence en France.
Exemple concret
Une entreprise française de e-commerce déploie un chatbot IA pour son service client. Trois questions RGPD à trancher avant la mise en production. Premièrement, sur quelle base juridique le traitement repose-t-il (consentement, intérêt légitime, exécution contractuelle) ? Deuxièmement, les conversations sont-elles transmises à un sous-traitant hors UE (OpenAI, Anthropic via API) ? Si oui, il faut un mécanisme de transfert : décision d'adéquation (Data Privacy Framework pour un fournisseur américain participant) ou, à défaut, clauses contractuelles types et analyse de transfert (TIA). Troisièmement, combien de temps les conversations sont-elles conservées ? Sans réponse précise sur ces trois points, le déploiement est juridiquement fragile, et la CNIL peut prononcer une amende administrative pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial de l'exercice précédent, le montant le plus élevé étant retenu (article 83 du RGPD).
Questions fréquentes
Le RGPD s'applique-t-il à un outil d'IA qui utilise mes données ?
Oui, dès qu'il traite des données personnelles (nom, email, adresse IP, image, voix), que le système soit opéré dans l'Union européenne ou vise des personnes qui s'y trouvent. Quatre obligations priment : finalité explicite, minimisation, droits des personnes (accès, opposition, effacement) et étude d'impact (DPIA) pour les traitements susceptibles d'engendrer un risque élevé.
Puis-je envoyer des données personnelles à une API IA américaine (OpenAI, Anthropic) ?
Pas sans précaution. Le transfert hors UE exige un mécanisme de transfert : une décision d'adéquation (le Data Privacy Framework UE-États-Unis couvre les entreprises américaines participantes) ou, à défaut, des clauses contractuelles types avec une analyse de transfert. Il faut aussi qualifier les rôles : vous êtes généralement responsable de traitement, le fournisseur sous-traitant, avec un contrat conforme à l'article 28. À défaut, le traitement est irrégulier.
Quand une étude d'impact (DPIA) est-elle obligatoire ?
Lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes (article 35). C'est à apprécier cas par cas, avec les critères et la liste publiés par la CNIL. La DPIA se mène avant la mise en production, pas après.
À voir aussi
Pour aller plus loin
Recommandations de la CNIL sur le développement des systèmes d'IA
Sources
- Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (RGPD). https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Intelligence artificielle, recommandations et guides, CNIL. https://www.cnil.fr/fr/intelligence-artificielle
- IA : la CNIL finalise ses recommandations sur le développement des systèmes d'IA (intérêt légitime, moissonnage), CNIL, 19 juin 2025. https://www.cnil.fr/fr/recommandations-developpement-ia-interet-legitime
- Transferts de données UE-États-Unis, décision d'adéquation du 10 juillet 2023 (Data Privacy Framework), Commission européenne. https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_en