L’idée reçue selon laquelle le RGPD empêcherait l’innovation en intelligence artificielle en Europe est fausse, rappelle la CNIL. Mais elle pose une condition : lorsque des données personnelles sont utilisées pour développer ou faire fonctionner un système d’IA, le RGPD s’applique pleinement, et il se combine désormais avec le règlement européen sur l’intelligence artificielle (AI Act). Pour aider les professionnels à s’y retrouver, la CNIL a publié un ensemble cohérent de recommandations et de fiches pratiques, complété depuis par des documents d’orientation. Voici ce que les entreprises doivent en retenir.
Un cadre structuré : la recommandation de 2024, les fiches de 2025
La CNIL a adopté dès le 18 janvier 2024 une première recommandation sur l’application du RGPD au développement des systèmes d’IA (délibération n° 2024-011), sous forme de fiches pratiques. Le 22 juillet 2025, elle a publié ses premières recommandations complètes sur le sujet, organisées en une fiche de
synthèse et une série de fiches pratiques couvrant l’ensemble du cycle de développement : détermination du régime juridique applicable, définition d’une finalité, qualification juridique des acteurs (responsable de traitement, sous-traitant), choix de la base légale, analyse d’impact, protection des données dès la conception, information des personnes, exercice de leurs droits, annotation des données et sécurité du développement (CNIL).
Le périmètre est large : sont concernés les systèmes fondés sur l’apprentissage automatique, les systèmes dont l’usage opérationnel est défini dès la phase de développement comme les systèmes à usage général (GPAI), et tous les apprentissages, qu’ils soient réalisés « une fois pour toutes » ou en continu à partir des données d’utilisation (CNIL). Une distinction essentielle doit être gardée à l’esprit : ces fiches couvrent la phase de développement, non celle de déploiement, qui fait l’objet de documents distincts.
Les principes clés pour l’entreprise
Premier principe : La finalité.
Un système d’IA exploitant des données personnelles doit être développé en vue d’un objectif déterminé, explicite et légitime. La CNIL reconnaît la spécificité de l’apprentissage automatique, dont les capacités ne sont pas toutes anticipables, mais refuse que cette plasticité dispense de définir la finalité : elle doit être adaptée au contexte de l’IA, pas supprimée.
Deuxième principe : La base légale.
La collecte et la réutilisation de données pour l’entraînement d’un modèle doivent reposer sur une base légale, et la réutilisation de jeux de données existants impose des tests et vérifications préalables (CNIL). C’est souvent là que la conformité se joue : la CNIL rappelle que l’absence de base légale valide constitue un manquement sanctionnable.
Troisième principe : Les droits des personnes.
Les personnes dont les données sont collectées pour développer un système d’IA doivent en être informées et disposent des droits garantis par le RGPD (accès, rectification, opposition) ; les responsables de traitement doivent les respecter et en faciliter l’exercice (CNIL).
Quatrième principe : La sécurité et la protection dès la conception.
La phase d’annotation des données, cruciale pour la qualité du modèle, doit respecter une méthodologie rigoureuse, et la sécurité du développement doit être garantie tout au long de la chaîne (CNIL).
RGPD et AI Act : deux règlements cumulatifs
Lorsque des données personnelles sont utilisées pour développer un système d’IA, le RGPD et l’AI Act s’appliquent tous les deux, rappelle la CNIL, dont les recommandations ont été élaborées pour compléter de manière cohérente le règlement européen sur le volet protection des données. Concrètement, une entreprise qui déploie un assistant conversationnel doit donc cumuler les exigences : information des utilisateurs exigée par l’article 50 de l’AI Act depuis le 2 août 2026, et base légale, information des personnes concernées et sécurisation des traitements exigées par le RGPD. Les manquements au RGPD demeurent sanctionnés jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel, le montant le plus élevé étant retenu (RGPD, article 83).
La démarche conseillée
Pour une PME, la priorité est d’abord descriptive : recenser les outils d’IA générative utilisés, y compris les abonnements individuels, identifier les données personnelles qui y transitent, puis vérifier pour chacun la base
légale, l’information des personnes et la sécurité.
La liste de vérification publiée par la CNIL fournit un point de départ documenté. Ensuite, pour tout projet interne de modèle ou de base de données, les fiches pratiques s’imposent comme méthode. C’est précisément l’accompagnement que Karib2i propose à nos clients, en articulant conformité RGPD, veille AI Act et fonction de DPO externalisé.
Sources
- CNIL, « Les fiches pratiques IA » : https://www.cnil.fr/fr/les-fiches-pratiques-ia
- CNIL, « Développement des systèmes d’IA : les recommandations de la CNIL pour respecter le RGPD », 22
- juillet 2025 : https://www.cnil.fr/fr/developpement-des-systemes-dia-les-recommandations-de-la-cnil-pour-respecter-le-rgpd
- CNIL, Délibération n° 2024-011 du 18 janvier 2024 portant adoption d’une recommandation sur l’application du RGPD au développement des systèmes d’IA : https://www.cnil.fr/sites/default/files/2024-04/recommandation_sur_l_application_du_rgpd_au_developpement_des_systemes_d_intelligence_artificielle_1.pdf
- Règlement (UE) 2016/679 (RGPD), article 83 (plafonds de sanctions).
Laisser un commentaire