RGPD et IA générative : les recommandations de la CNIL

Le RGPD s'applique à l'IA générative dès qu'elle traite des données personnelles, et la CNIL précise où : dans les bases d'entraînement, dans les modèles qui ont pu les mémoriser et dans les invites (prompts). Pour les organisations qui utilisent ces outils, ses questions-réponses du 18 juillet 2024 fixent les points à traiter ; pour celles qui développent un système, ses fiches pratiques IA détaillent la méthode.

Quand le RGPD s'applique-t-il à une IA générative ?

Côté développement, la CNIL rappelle, dans son annonce du 22 juillet 2025, l'avis du Comité européen de la protection des données de décembre 2024 : le RGPD s'applique, dans de nombreux cas, aux modèles entraînés sur des données personnelles, en raison de leur capacité de mémorisation. La fiche 13 aide à analyser le statut d'un modèle au regard du RGPD.

Côté usage, le RGPD s'applique aux données saisies dans l'outil, aux documents qu'on lui confie et aux réponses qui concernent des personnes identifiables. Une organisation qui achète un outil sans l'entraîner est dans ce second cas : les questions-réponses de 2024 sont son point de départ.

Que recommande la CNIL pour utiliser un outil d'IA générative ?

Choisir le mode de déploiement selon les données : pour des données sensibles, la CNIL conseille de privilégier une solution sur site ; en cas de service cloud, un contrat de sous-traitance est nécessaire, avec une attention particulière aux transferts hors de l'Union.
Évaluer le système avant de le retenir : sécurité, pertinence pour le besoin, robustesse, absence de biais, conditions de licence.
Écrire une politique interne qui définit les usages autorisés et interdits, et proscrit la saisie de données personnelles ou confidentielles lorsque le fournisseur peut réutiliser les entrées pour entraîner ses modèles.
Former les utilisateurs aux limites de l'outil et leur demander de vérifier les données fournies en entrée et la qualité des sorties.
Associer le délégué à la protection des données et, pour les usages sensibles, envisager un comité d'éthique.

La CNIL cite aussi la génération augmentée par récupération parmi les approches possibles ; son fonctionnement est expliqué dans l'article sur le RAG documentaire. Pour l'usage d'outils grand public par les salariés, voir ChatGPT en entreprise.

Quelle base légale pour un traitement d'IA générative ?

La fiche 4 aide à choisir la base légale, la fiche 8 détaille l'intérêt légitime, base la plus courante pour un organisme privé. Trois conditions : un intérêt légitime et clairement défini, un traitement nécessaire à cet intérêt, pas d'atteinte disproportionnée à la vie privée, appréciée notamment au regard des attentes raisonnables des personnes. Pour les systèmes à usage général, la CNIL admet depuis février 2025 que la finalité soit décrite par le type de système et ses principales fonctionnalités, faute de pouvoir lister toutes les applications futures.

Comment appliquer la minimisation et l'information des personnes ?

Selon les recommandations du 7 février 2025, la minimisation n'interdit pas les grandes bases d'entraînement, mais impose de sélectionner et nettoyer les données pour écarter celles qui sont inutiles. La durée de conservation peut être longue si elle est justifiée et sécurisée. Quand les personnes ne peuvent pas être contactées une à une, une information générale sur le site de l'organisme peut suffire ; la CNIL admet des solutions raisonnables et des délais adaptés pour l'exercice des droits sur un modèle.

Pour un utilisateur, la minimisation se traduit par des règles concrètes : ne mettre dans l'invite que ce qui sert la question, pseudonymiser les pièces avant de les confier à l'outil, et préparer le corpus documentaire en amont. L'article Préparer ses données avant l'IA détaille cette étape.

Faut-il une AIPD pour un projet d'IA générative ?

La fiche 5 rappelle qu'un traitement qui remplit au moins deux des neuf critères de la liste des autorités européennes est présumé soumis à l'analyse d'impact. Elle range dans l'usage innovant, qui est l'un de ces critères, les systèmes d'IA générative entraînés sur de grandes quantités de données dont le comportement ne peut pas être anticipé dans tous les cas. Un second critère, comme des données sensibles ou un traitement à grande échelle, suffit alors souvent. L'analyse doit couvrir des risques propres à l'IA : extraction de données, biais, contenus fictifs sur des personnes réelles, décisions automatisées, attaques comme l'empoisonnement des données.

Comment le règlement européen sur l'IA s'articule-t-il avec le RGPD ?

Le règlement (UE) 2024/1689 du 13 juin 2024, publié le 12 juillet 2024 et entré en vigueur le 1er août 2024, ne remplace pas le RGPD : la CNIL écrit qu'il a pour but de le compléter. Il a été modifié par le règlement (UE) 2026/1744 du 8 juillet 2026, dit omnibus numérique sur l'IA, publié au Journal officiel le 24 juillet 2026 et entré en vigueur le 27 juillet 2026. Calendrier qui en résulte :

2 février 2025 : pratiques interdites et dispositions générales ;
2 août 2025 : règles sur les modèles d'IA à usage général ;
2 août 2026 : application générale, dont les obligations de transparence de l'article 50 (informer qu'on échange avec un système d'IA, signaler les hypertrucages) ;
2 décembre 2026 : nouvelles interdictions ajoutées par l'omnibus et marquage des contenus générés pour les systèmes mis sur le marché avant le 2 août 2026 ;
2 décembre 2027 : systèmes à haut risque de l'annexe III (emploi, éducation, services publics, biométrie) ;
2 août 2028 : systèmes à haut risque intégrés à des produits de l'annexe I.

L'omnibus a réécrit l'article 4 : fournisseurs et déployeurs « prennent des mesures pour favoriser » la maîtrise de l'IA par leur personnel. Les deux textes se rejoignent sur l'AIPD : le déployeur d'un système à haut risque utilise les informations du fournisseur pour la mener, et l'analyse d'impact sur les droits fondamentaux la complète. Selon son programme de travail 2026, la CNIL se prépare à être désignée autorité de surveillance du marché au titre du règlement.

Par où commencer dans une organisation ?

Recenser les usages d'IA générative réels, y compris les outils grand public ouverts par les équipes.
Pour chacun, noter les données saisies, la finalité, la base légale, le fournisseur, ses conditions de réutilisation des invites et le lieu d'hébergement.
Appliquer le test des deux critères pour décider de l'AIPD.
Rédiger la politique d'usage, former les utilisateurs, puis revoir l'inventaire au rythme du calendrier du règlement.

Cet inventaire correspond à l'étape d'audit de la méthode présentée sur l'accueil.

Questions fréquentes

Peut-on saisir des données personnelles dans un outil d'IA générative ?

La CNIL recommande une politique qui fixe les usages permis et interdit la saisie de données personnelles ou confidentielles quand le fournisseur peut réutiliser les entrées pour l'entraînement.

Le règlement européen sur l'IA a-t-il été reporté ?

En partie. L'omnibus de juillet 2026 repousse les obligations des systèmes à haut risque au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I) ; l'article 50 s'applique depuis le 2 août 2026.

Qui contrôle l'application du RGPD aux outils d'IA ?

La CNIL, pour les traitements relevant de sa compétence. Pour le règlement IA, chaque État organise sa gouvernance ; la CNIL indique se préparer à un rôle d'autorité de surveillance du marché.

Sources

Tous les articles

RGPD et IA générative : ce que recommande la CNIL