Le RGPD ne s’arrête pas à la porte d’un système d’IA. Dès qu’un modèle est entraîné, fine-tuné ou utilisé avec des données se rapportant à une personne identifiée ou identifiable, l’ensemble des principes de l’article 5 s’applique, y compris à la phase d’entraînement elle-même, un point que beaucoup d’équipes techniques découvrent tardivement. Face à cette réalité, la CNIL a publié depuis 2024 un corpus de fiches pratiques qui précise, point par point, ce que le RGPD implique concrètement pour le développement et l’usage de systèmes d’IA, un cadre qui s’est considérablement affiné en 2025 et 2026, au point de constituer aujourd’hui une référence quasi opérationnelle plutôt qu’un texte de principe général.
Mythe vs Réalité : le RGPD bloque-t-il vraiment l’innovation en IA ?
La CNIL elle-même a jugé utile de le préciser explicitement : l’idée selon laquelle le RGPD empêcherait l’innovation en intelligence artificielle en Europe est fausse. Le règlement n’interdit pas l’usage de données personnelles pour l’IA, il encadre les conditions dans lesquelles cet usage reste licite. La question n’est donc jamais « le RGPD permet-il ce projet d’IA », mais « quelle base légale et quelles garanties permettent de le mener en conformité ».
Entraînement d’IA et RGPD : l’intérêt légitime comme base légale
Publiées le 19 juin 2025 puis finalisées en mai 2026 après consultation publique, les recommandations de la CNIL sur l’intérêt légitime tranchent une question qui bloquait de nombreux projets : le consentement, difficile voire impossible à réunir pour des corpus massifs et hétérogènes, n’est pas la seule voie disponible. L’intérêt légitime, prévu à l’article 6(1)(f) du RGPD, constitue la base légale la plus couramment mobilisable pour le développement de systèmes d’IA, à condition de satisfaire ce que la CNIL formalise comme un triple test.
Le triple test de la CNIL : les 3 critères obligatoires pour qualifier l’intérêt légitime
Ce test impose de démontrer trois éléments cumulatifs, chacun devant être documenté par écrit et conservé en vue d’un contrôle
- La légitimité exige que l’intérêt poursuivi soit licite et précisément défini, une mention générique comme « amélioration de nos services » dans un registre de traitement ne suffit pas.
- La nécessité impose de justifier pourquoi cet objectif ne peut pas être atteint avec des données anonymisées, synthétiques, ou un volume réduit.
- La mise en balance, enfin, oppose les bénéfices attendus du traitement aux atteintes potentielles pour les personnes concernées, risque de mémorisation ou de régurgitation des données par le modèle, biais discriminatoires, opacité du système, la CNIL rappelant explicitement que ce test doit être documenté individuellement, pas traité comme une formalité générique appliquée sans analyse réelle.
Web scraping et collecte de données : quelles limites fixées par la CNIL ?
Deuxième volet publié au même moment : les conditions dans lesquelles la collecte de données publiquement accessibles sur le web reste conforme. Le moissonnage (web scraping) n’est pas prohibé par principe, mais il doit respecter les conditions générales d’utilisation des sites sources, les fichiers robots.txt, exclure les catégories de données manifestement sensibles, et garantir un droit d’opposition réellement accessible aux personnes concernées. La CNIL illustre concrètement la limite à ne pas franchir : constituer une base d’images collectées sans discrimination sur de nombreux sites, sans exclure les contenus à caractère sensible ni prévoir de garantie contre la mémorisation par le modèle, pour un objectif aussi vague que « la fourniture de nouveaux services », ne satisferait pas la mise en balance exigée par le triple test.
Données sensibles (Article 9) et AIPD : les priorités de contrôle CNIL
Les données sensibles au sens de l’article 9 du RGPD (santé, opinions politiques, données biométriques) ne peuvent en principe pas fonder l’entraînement d’un système d’IA sans base légale spécifique, l’intérêt légitime seul restant insuffisant pour ces catégories.
Quels usages d’IA déclenchent une Analyse d’Impact (AIPD) obligatoire ?
Une analyse d’impact relative à la protection des données (AIPD) devient obligatoire dès lors qu’un système d’IA présente un risque élevé pour les personnes concernées, un cas fréquent pour les usages RH, de santé ou de scoring. La CNIL considère ainsi que, pour le développement des systèmes à haut risque visés par le règlement européen sur l’IA (AI Act) et impliquant des données personnelles, la réalisation d’une AIPD est en principe nécessaire .
La CNIL a explicitement annoncé l’IA comme l’un de ses thèmes de contrôle prioritaires pour 2026, avec une attention particulière portée aux traitements d’IA combinant risques élevés et données sensibles, notamment dans les secteurs du travail et de la santé . Dans ce cadre, les contrôles portent notamment sur le registre des traitements, les accords de traitement des données conclus avec les fournisseurs IA (sous‑traitance), et l’existence effective des AIPD requises, conformément aux obligations RGPD classiques appliquées aux traitements à risque .
→ Voir notre guide de gouvernance de l’IA en entreprise pour la vue d’ensemble de la démarche de conformité.
FAQ : Conformité RGPD appliquée à l’IA
Mon système d’IA nécessite-t-il une AIPD et comment la réaliser ?
Oui, si le traitement présente un risque élevé pour les droits et libertés des personnes. Pour l’IA, la CNIL recommande une AIPD dès que deux critères sont remplis (données sensibles, collecte à large échelle, personnes vulnérables, croisement de données, usage innovant ou nouvelles technologies) ou si des risques importants existent (discrimination, mésusage, etc.). Pour les systèmes à haut risque au sens de l’AI Act, une AIPD est en principe nécessaire. L’AIPD doit être réalisée avant la mise en œuvre et mise à jour de façon itérative. Elle doit cartographier les risques spécifiques à l’IA (mémorisation/régurgitation, biais, attaques par empoisonnement, perte de contrôle des données, etc.) et définir un plan de mesures pour les réduire à un niveau acceptable.
Puis-je utiliser l’intérêt légitime pour entraîner mon modèle ?
Oui, c’est souvent la base légale la plus adaptée pour le développement d’IA par des organismes privés. Mais il faut satisfaire le triple test : (1) intérêt licite et précisément défini ; (2) nécessité (pas d’alternative moins intrusive) ; (3) mise en balance bénéfices/risques (mémorisation, régurgitation, biais, opacité). Cette analyse doit être documentée.
Quelles mesures de sécurité mettre en place pour un système d’IA ?
Pour l’IA, la CNIL recommande de combiner sécurité « classique » (accès, chiffrement, sauvegardes, DevSecOps) avec une analyse des risques spécifiques à l’IA : vérification des sources de données, versioning des jeux de données, anonymisation/pseudonymisation, contrôle des sorties (filtres, watermarking), audits/red teaming, et plan de rollback. La CNIL renvoie vers des référentiels comme EBIOS‑RM, OWASP AI Security, ENISA, MITRE ATLAS, etc.
Suis-je responsable, co-responsable ou sous-traitant dans un projet IA ?
Cela dépend de qui détermine le « pourquoi » (finalité) et le « comment » (moyens) du traitement de données personnelles. Si vous décidez seul de ces éléments vous en êtes responsable ; avec d’autres organismes, vous êtes co-responsables (contrat requis) et si vous agissez pour le compte d’un donneur d’ordre, vous êtes sous-traitant (contrat, sécurité, alerte). Dans le contexte de l’IA, la CNIL précise qu’un fournisseur peut être responsable s’il constitue sa propre base d’entraînement, ou sous-traitant s’il suit vos instructions précises.
Mettre votre usage de l’IA en conformité RGPD
Nos experts vous accompagnent dans la mise en conformité de vos traitements IA avec les recommandations CNIL.
Vous souhaitez échanger sur votre projet ou évaluer vos besoins ? Contactez nos experts.