Coller un courriel client ou un extrait de ticket dans un assistant IA pour le résumer, c’est traiter des données personnelles. La CNIL a publié le 18 juillet 2024 des questions-réponses sur l’utilisation des systèmes d’IA générative.
Ce billet en tire une grille pratique, relevée en octobre 2026. Ce n’est pas un conseil juridique : le DPO reste l’interlocuteur.
Un traitement comme un autre
L’usage doit reposer sur l’une des six bases légales de l’article 6 du RGPD : consentement, contrat, obligation légale, intérêts vitaux, mission d’intérêt public ou intérêt légitime. La CNIL précise qu’il revient à l’organisme utilisateur d’interroger le fournisseur sur la conformité de son système au RGPD et que, dans le cas général, c’est l’organisme qui engage sa responsabilité si son personnel utilise mal l’outil.
Minimiser avant de coller
L’article 5 exige des données « adéquates, pertinentes et limitées à ce qui est nécessaire » à la finalité. Appliqué à un prompt : retirer noms, adresses et identifiants dont la tâche n’a pas besoin.
La CNIL demande que les utilisateurs ne soumettent que les informations qu’ils sont autorisés à partager et, sur un service grand public, de « ne jamais partager d’informations confidentielles telles que des données personnelles ».
Savoir ce que devient la donnée
Le mode de déploiement conditionne le reste (question 5) :
- Service grand public : envisageable pour des usages non confidentiels, avec des adresses professionnelles dédiées et en désactivant la réutilisation des données d’usage par le fournisseur.
- Cloud : un contrat de sous-traitance est nécessaire. L’article 28 du RGPD impose notamment que le sous-traitant supprime ou renvoie les données au terme de la prestation, au choix du responsable du traitement.
- API : la maîtrise du système est « quasi exclusivement dans les mains du fournisseur ». La CNIL invite à éviter autant que possible la saisie de données personnelles et à vérifier les conditions d’un transfert hors UE.
- Sur site : jugé « plus opportun et plus sécurisé » pour des données personnelles ou des documents sensibles. Voir servir un modèle par une API locale et la mémoire nécessaire à un LLM local.
Quand le fournisseur peut réutiliser les données, la CNIL laisse l’organisme décider au cas par cas d’interdire toute donnée personnelle ou certaines catégories. Règle pratique : si vous ignorez combien de temps les prompts sont conservés et ce qu’il en advient, n’y mettez pas de données personnelles.
Informer les personnes
Les articles 13 et 14 du RGPD imposent d’informer les personnes, notamment des finalités, de la base juridique, des destinataires et d’un éventuel transfert vers un pays tiers.
L’AIPD, quand elle s’impose
L’article 35 exige une analyse d’impact, avant le traitement, lorsqu’il est susceptible d’engendrer un risque élevé, « en particulier par le recours à de nouvelles technologies ». Pour la CNIL, elle s’impose si le traitement figure sur sa liste, et elle est en principe obligatoire s’il remplit au moins deux des neuf critères, sauf si le risque élevé peut être écarté ; un seul critère peut suffire si le risque est élevé. Les critères : évaluation ou scoring, décision automatique, surveillance systématique, données sensibles, grande échelle, croisement de données, personnes vulnérables, usage innovant, exclusion d’un droit.
Dans sa fiche du 8 avril 2024, consacrée surtout au développement des systèmes, la CNIL classe l’apprentissage profond et l’IA générative dans l’usage innovant. Un assistant génératif appliqué à des données de santé cocherait donc vraisemblablement deux critères.
Encadrer et former
La CNIL recommande une charte listant les usages autorisés et interdits, la formation des utilisateurs finaux et une gouvernance associant dès le départ le DPO, le RSSI et les responsables métiers.
Ce qu’il faut retenir
- Résumer un document contenant des données personnelles avec une IA est un traitement : base légale, minimisation, information.
- Service grand public : aucune donnée personnelle, comptes professionnels, réutilisation désactivée.
- Rétention ou réutilisation inconnues chez le fournisseur : pas de données personnelles dans le prompt.
- L’IA générative relève de l’usage innovant : avec un second critère, l’AIPD est en principe obligatoire, sauf risque élevé écarté.
- Pour les données sensibles, la CNIL juge le déploiement sur site plus sûr.
In English
Before pasting personal data into an AI assistant: legal basis, minimization, information, DPIA, and reuse by the provider. What the GDPR and the CNIL's questions and answers say. The CNIL recommends disabling the provider's reuse of usage data and never sharing personal data in a consumer service, and a cloud deployment calls for a processing agreement under Article 28.
Sources & vérification
Relevé sur : Textes officiels (EUR-Lex, CNIL), relevé 2026-10
- CNIL, questions-réponses sur l'utilisation d'un système d'IA générative cnil.fr
- CNIL, Comment déployer une IA générative ? cnil.fr
- CNIL, Ce qu'il faut savoir sur l'analyse d'impact relative à la protection des données cnil.fr
- CNIL, IA, réaliser une analyse d'impact si nécessaire cnil.fr
- Règlement (UE) 2016/679 (RGPD), EUR-Lex eur-lex.europa.eu