Connexion à l'espace du CercleDiagnostic 30 min

Consulting IA et stratégieMis à jour le

Que change le RGPD pour un projet d'IA ?

Le RGPD, règlement général sur la protection des données, s'applique à tout projet d'intelligence artificielle qui traite des données personnelles : base légale, information des personnes, minimisation, sécurité, durée de conservation et choix des sous-traitants.

Aussi appelé : RGPD, GDPR, règlement général sur la protection des données, protection des données et IA, IA et données personnelles

En clair

Une entreprise veut qu'un assistant d'IA résume les réclamations de ses clients. Avant de commencer, elle choisit une offre professionnelle avec un contrat conforme au RGPD, retire des textes les informations inutiles, comme les numéros de téléphone, met à jour son registre des traitements et complète l'information donnée aux clients.

Comment ça marche

Les principes s'appliquent aussi à l'IA

Le RGPD ne vise pas une technologie : dès qu'un projet d'IA traite des données personnelles, ses principes s'appliquent. Il faut une base légale, une finalité précise, des données limitées au nécessaire, une durée de conservation définie, la sécurité des données et l'information des personnes.

Le fournisseur d'IA, un sous-traitant

Quand une entreprise confie des données personnelles à un service d'IA, l'éditeur agit en général comme sous-traitant. Un contrat doit encadrer ce traitement, et les transferts hors de l'Union européenne doivent être protégés. C'est une raison de privilégier les offres professionnelles plutôt que la shadow AI.

Des recommandations de la CNIL

La CNIL publie des fiches pratiques sur l'IA : base légale, information des personnes, sécurité, analyse d'impact. Combiné à l'AI Act, le RGPD forme le cadre de tout projet d'IA en Europe, que la gouvernance de l'entreprise doit organiser.

À ne pas confondre avec

RGPD et IA et les termes voisins
Terme voisinSa définitionLa différence
AI Act (règlement européen sur l'IA)L'AI Act est le règlement (UE) 2024/1689, la loi européenne sur l'intelligence artificielle : il classe les systèmes d'IA selon leur niveau de risque et fixe à chaque niveau des obligations, de l'interdiction à la simple transparence.L'AI Act encadre les systèmes d'IA selon leur niveau de risque. Le RGPD protège les données personnelles, avec ou sans IA. Un même projet doit souvent respecter les deux.
Souveraineté des donnéesLa souveraineté des données désigne la capacité d'une entreprise ou d'un État à garder la maîtrise de ses données : savoir où elles sont stockées et traitées, quelle loi s'y applique et qui peut y accéder.La souveraineté des données porte sur le lieu de stockage et le droit applicable. Le RGPD fixe les règles de traitement des données personnelles, où qu'elles soient hébergées, et encadre leurs transferts hors de l'Union.
  • AI Act (règlement européen sur l'IA)L'AI Act est le règlement (UE) 2024/1689, la loi européenne sur l'intelligence artificielle : il classe les systèmes d'IA selon leur niveau de risque et fixe à chaque niveau des obligations, de l'interdiction à la simple transparence.
  • Souveraineté des donnéesLa souveraineté des données désigne la capacité d'une entreprise ou d'un État à garder la maîtrise de ses données : savoir où elles sont stockées et traitées, quelle loi s'y applique et qui peut y accéder.
  • Charte d'usage de l'IAUne charte d'usage de l'IA est un document interne qui fixe les règles d'utilisation de l'intelligence artificielle par les collaborateurs : outils autorisés, données interdites, relecture obligatoire, transparence et personne à contacter en cas de doute.
  • Shadow AI (IA fantôme)La shadow AI, ou IA fantôme, désigne l'usage d'outils d'intelligence artificielle par des collaborateurs sans l'accord ni le contrôle de leur entreprise, par exemple un assistant grand public utilisé avec des données internes.
  • Human in the loop (validation humaine)Le human in the loop, ou humain dans la boucle, consiste à intégrer une validation humaine dans un processus automatisé ou un agent IA : le système prépare, une personne approuve, corrige ou refuse avant les actions sensibles.
  • Scraping (web scraping)Le scraping, ou moissonnage de données, est une technique qui collecte automatiquement des informations publiées sur des sites web, à l'aide d'un programme, pour les ranger dans un fichier ou une base exploitable.
  • Gouvernance IALa gouvernance de l'IA est l'ensemble des règles, des rôles et des contrôles qu'une organisation met en place pour décider quels usages de l'intelligence artificielle autoriser, les encadrer, en suivre les risques et en rendre compte.

Pour aller plus loin

Questions fréquentes

Peut-on mettre des données clients dans ChatGPT ou Claude ?

Seulement dans un cadre maîtrisé : une offre professionnelle avec un contrat de sous-traitance conforme au RGPD, des données limitées au nécessaire et des personnes informées. Avec un compte personnel grand public, mieux vaut ne saisir aucune donnée personnelle de clients.

Faut-il une analyse d'impact (AIPD) pour un projet d'IA ?

Elle est obligatoire quand le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. La CNIL publie la liste des traitements concernés et des critères pour décider ; de nombreux projets d'IA qui utilisent des données personnelles y répondent.

Le RGPD interdit-il les décisions prises par une IA ?

Il protège contre les décisions fondées exclusivement sur un traitement automatisé qui produisent des effets juridiques ou affectent la personne de manière significative (article 22), sauf exceptions. Dans ces cas, la personne peut obtenir une intervention humaine et contester la décision.

Sources

  1. CNIL, « Les fiches pratiques IA », consulté le .
  2. CNIL, « Ce qu'il faut savoir sur l'analyse d'impact relative à la protection des données (AIPD) », consulté le .
  3. RGPD, article 22 « Décision individuelle automatisée, y compris le profilage », texte publié par la CNIL, consulté le .

30 minutes pour savoir combien de temps vous récupérez.

Diagnostic offert, sans engagement, avec Mehdi ou Loïc. Réponse confirmée sous 24 h ouvrées.

  • Un échange concret, pas un argumentaire
  • 3 pistes d'automatisation identifiées
  • Compte-rendu écrit envoyé sous 24 h
Réserver mon diagnostic gratuitAppeler le +33 6 35 51 35 74

Réserver votre diagnostic de 30 min

30 minutes avec Mehdi ou Loïc, offertes et sans engagement. Choisissez le créneau qui vous arrange.

Chargement du planning…

Ouvrir le planning dans un nouvel onglet

Cookies et mesure d'audience

Nous mesurons l'audience avec Google Analytics si vous l'acceptez. En savoir plus sur les cookies et la politique de confidentialité