IA et RGPD : ce que la CNIL attend des entreprises

Si votre entreprise utilise l'IA sans en développer, la CNIL n'attend pas de vous un dossier de conformité d'éditeur : elle attend que chaque usage d'IA qui traite des données personnelles soit traité comme un traitement ordinaire, avec une finalité écrite, une base légale, une durée de conservation, un contrat avec le fournisseur et une information des personnes concernées. Le reste, analyse d'impact, consultation du CSE, formation des équipes, se déclenche selon ce que l'outil fait, pas selon la technologie qu'il embarque.

L'enjeu n'est plus théorique. Selon le Baromètre France Num 2025 (Direction générale des Entreprises, publié le 15 septembre 2025 auprès de plus de 11 000 entreprises), 26 % des TPE et PME françaises déclarent utiliser des solutions d'IA, soit deux fois plus qu'en 2024, dont 22 % pour l'IA générative.

Ce guide traduit la doctrine de la CNIL en obligations concrètes pour une entreprise utilisatrice, avec les cas où une analyse d'impact devient obligatoire, ce que le régulateur contrôle en 2026, et un plan de mise en ordre en 30 jours.

La réponse en 30 secondes

1. Recensez vos outils d'IA réellement utilisés, y compris ceux que personne n'a validés.
2. Pour chacun, écrivez la finalité en une phrase et inscrivez-la au registre des traitements.
3. Choisissez la base légale avant le déploiement, pas après un contrôle.
4. Vérifiez le contrat de sous-traitance du fournisseur et le sort des données hors Union européenne.
5. Déclenchez une analyse d'impact si l'usage coche au moins deux des neuf critères de la CNIL.
6. Informez les personnes concernées, salariés et candidats en premier, et organisez l'exercice de leurs droits.
7. Formez les utilisateurs : la CNIL en fait une mesure d'encadrement à part entière, pas une option.

Le RGPD s'applique-t-il quand on ne fait qu'utiliser un outil d'IA ?

Oui. Dès qu'un prompt contient le nom d'un client, le dossier d'un salarié, un contrat ou un compte rendu nominatif, il y a traitement de données personnelles, et transmission de ces données au fournisseur du système. Le fait que le modèle appartienne à un tiers ne déplace pas mécaniquement la responsabilité : dès lors que vous décidez de la finalité et des moyens, vous êtes le plus souvent responsable de traitement, le fournisseur agissant comme sous-traitant. La qualification se vérifie au cas par cas, contrat en main.

La CNIL consacre à cette situation des questions-réponses sur l'utilisation d'un système d'IA générative, publiées le 18 juillet 2024, qui couvrent dix points allant du choix du système au mode de déploiement, à la gouvernance et à la formation des utilisateurs finaux. C'est aujourd'hui le document le plus directement utile à une entreprise utilisatrice.

Ce que couvrent, et ne couvrent pas, les fiches pratiques de la CNIL

C'est le malentendu le plus fréquent. Entre 2024 et 2025, la CNIL a publié un corpus de fiches pratiques IA, finalisé le 22 juillet 2025 avec trois dernières fiches sur la sécurité du développement, l'annotation des données et le statut juridique du modèle entraîné. Ces fiches sont excellentes, mais elles traitent du développement de systèmes d'IA : constitution des bases d'entraînement, base légale de l'entraînement, moissonnage de données en ligne, statut du modèle.

Une PME qui utilise Copilot n'entraîne aucun modèle. Elle a besoin d'autre chose. Voici la cartographie réelle des ressources applicables.

Votre situation	Ressource CNIL applicable	Date
Vous développez ou entraînez un modèle	Les 13 fiches pratiques IA (base légale, collecte, annotation, sécurité, statut du modèle)	corpus finalisé le 22 juillet 2025
Vous utilisez un système d'IA générative existant	Questions-réponses sur l'utilisation d'un système d'IA générative	18 juillet 2024
Vous voulez auditer votre maturité	Guide d'auto-évaluation pour les systèmes d'IA, dont la fiche « Utiliser un système d'IA en production »	guide en ligne, consulté le 25 juillet 2026
Vous décidez si une analyse d'impact est nécessaire	Fiche « Réaliser une analyse d'impact si nécessaire » et critères AIPD	fiche IA n° 5
Vous utilisez l'IA sur des salariés ou des patients	Travaux sectoriels annoncés au programme de travail 2026	à paraître

Ce dernier point mérite d'être dit franchement : dans son programme de travail 2026 pour l'accompagnement des professionnels, la CNIL annonce finaliser ses travaux sur les usages de l'IA dans les secteurs du travail et de la santé, en traitant les risques de biais algorithmiques et les garanties protégeant les droits des salariés et des patients. Elle annonce aussi des travaux sur l'analyse automatique des communications vocales, notamment en centre d'appels. Sur l'IA au travail, la doctrine française n'est donc pas encore complète : vous décidez aujourd'hui avec le RGPD de droit commun.

Les six obligations qui s'appliquent dès le premier outil d'IA

1. Une finalité écrite, inscrite au registre

« Gagner du temps » n'est pas une finalité. « Générer un premier jet de réponse aux réclamations clients à partir du ticket et de l'historique de commande » en est une. Chaque usage d'IA traitant des données personnelles doit apparaître dans votre registre des traitements, au même titre que la paie ou la vidéosurveillance.

2. Une base légale choisie avant le déploiement

Consentement, contrat, obligation légale, intérêt légitime : la base doit être identifiée en amont et documentée. Si vous retenez l'intérêt légitime pour un usage interne, menez le test de mise en balance et conservez-le par écrit : c'est lui qui sera demandé, pas l'intention.

3. Le minimum de données, et rien de plus

La minimisation se joue au moment du prompt. Un numéro de dossier remplace souvent un nom complet, un extrait remplace un contrat entier. Notre guide ChatGPT au travail et données confidentielles détaille la méthode de préparation d'un document avant envoi.

4. Un contrat de sous-traitance et un sort clair des données hors UE

Sur le mode de déploiement, la CNIL est explicite : pour des données personnelles ou sensibles, elle recommande de privilégier les solutions sur site, qui limitent les risques d'extraction auprès d'un tiers. En cloud ou par API, il faut un contrat de sous-traitance et des garanties de transfert quand les données quittent l'Union européenne. À vérifier avant signature : le fournisseur agit-il bien comme sous-traitant, vos contenus servent-ils à l'entraînement, où sont-ils hébergés, combien de temps sont-ils conservés. Pour les organisations qui veulent garder la main sur l'hébergement, notre formation Maîtriser Mistral AI couvre l'alternative souveraine européenne.

5. L'information des personnes et l'exercice de leurs droits

Les personnes doivent savoir qu'un traitement automatisé intervient, et pouvoir exercer leurs droits d'accès, de rectification, d'opposition. Ce n'est pas une formalité de second rang : l'information des candidats fait partie des points que la CNIL annonce contrôler en 2026 dans le recrutement.

6. Sécurité et durée de conservation

Un compte partagé, un historique de conversations jamais purgé, un connecteur qui donne accès à tout un lecteur réseau : ce sont des manquements de sécurité classiques, et la sécurité insuffisante figure parmi les motifs de sanction recensés dans le bilan 2025 de la CNIL. Fixez une durée de conservation par usage et supprimez ce qui a servi.

Quand une analyse d'impact devient-elle obligatoire ?

Une AIPD est obligatoire lorsque le traitement est « susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées ». En pratique, la CNIL retient deux déclencheurs : le traitement figure sur sa liste des traitements pour lesquels une AIPD est obligatoire, ou il remplit au moins deux des neuf critères suivants.

Critère CNIL	Exemple côté IA
Évaluation ou scoring, y compris profilage	Classement automatique de candidatures
Décision automatisée avec effet juridique ou similaire	Refus généré sans intervention humaine
Surveillance systématique	Analyse automatique des appels ou des messages
Données sensibles ou hautement personnelles	Santé, opinions, données de discipline
Collecte à grande échelle	Assistant branché sur toute la base client
Croisement de données	Fusion CRM, support et navigation
Personnes vulnérables	Salariés, patients, enfants
Usage innovant	Déploiement d'une technologie nouvelle dans l'organisation
Exclusion du bénéfice d'un droit ou d'un contrat	Refus de dossier, de crédit, de candidature

Appliqué aux usages courants, cela donne des réponses nettes.

Usage	Critères touchés	AIPD
Assistant de rédaction interne sans données personnelles	aucun	non requise
Compte rendu de réunion automatisé	surveillance systématique, usage innovant, personnes vulnérables (salariés)	probable, à instruire
Tri et classement automatiques de candidatures	scoring, décision, personnes vulnérables, exclusion d'un droit	requise
Chatbot client branché sur la base clients	grande échelle, croisement, usage innovant	requise

Notez le cas du compte rendu de réunion, souvent présenté comme anodin : dès qu'il devient systématique, il coche plusieurs critères. Notre méthode de compte rendu de réunion avec l'IA détaille les précautions à prendre côté participants.

Le test Origin : cinq questions avant de brancher un outil d'IA

C'est la grille que nous faisons remplir en formation. Elle prend dix minutes par outil et produit directement la trace attendue par un contrôle.

1. Quelles données entrent ? Aucune donnée personnelle, des données internes, ou des données de personnes identifiables. Si la réponse est « je ne sais pas », l'outil n'est pas prêt.
2. Qui est concerné ? Client, prospect, salarié, candidat. Dès que la réponse est « salarié » ou « candidat », le niveau d'exigence monte d'un cran : information préalable des personnes, durées de conservation courtes, et consultation du CSE quand le dispositif relève de ses attributions, dans les entreprises d'au moins 50 salariés.
3. Où partent les données ? Sur site, cloud européen, hors UE. Cette réponse détermine le contrat et les garanties de transfert.
4. La sortie déclenche-t-elle une décision ? Une suggestion relue par un humain n'a pas le même régime qu'un classement qui écarte un dossier.
5. Qui répond en cas d'erreur ? Un nom, pas un service. C'est cette personne qui relit, corrige et assume, et c'est elle qu'il faut former en premier.

Ce test ne remplace pas l'analyse officielle et ne crée aucun seuil juridique : c'est une préqualification. Dès qu'une réponse touche des personnes identifiables, une décision ou un transfert hors UE, reprenez la grille des neuf critères de la CNIL de la section précédente, et vérifiez aussi la liste des traitements pour lesquels elle rend l'analyse d'impact obligatoire. Si aucune réponse ne sort du cadre, documentez simplement l'usage dans votre registre et votre charte IA interne.

Recrutement : le sujet que la CNIL contrôle en 2026

Le 3 avril 2026, la CNIL a publié ses thématiques prioritaires de contrôle pour l'année : le recrutement, le répertoire électoral unique et les fédérations sportives. Les contrôles viseront en priorité les grandes entreprises et les cabinets de recrutement, compte tenu du volume de candidatures qu'ils reçoivent et des sélections qu'ils opèrent.

Trois points seront regardés :

• les systèmes de décision automatisée utilisés dans la sélection ;
• l'information des candidats sur le recours à un traitement automatisé ;
• les durées de conservation des candidatures.

La CNIL indique elle-même que ce thème préfigure ses futures attributions d'autorité de surveillance du marché dans le domaine du travail, au titre du règlement européen sur l'IA. Si vous utilisez un ATS avec matching ou scoring, ces trois points sont votre feuille de route immédiate. Notre panorama des cas d'usage de l'IA en ressources humaines complète ce volet côté métier.

La CNIL n'est pas encore l'autorité du règlement IA, et cela change vos réflexes

Beaucoup de contenus affirment que la CNIL est devenue « l'autorité de régulation de l'IA en France ». C'est inexact à ce jour, et la confusion coûte du temps aux entreprises.

L'état réel du dossier : la Direction générale des Entreprises et la DGCCRF ont publié un projet de désignation des autorités nationales chargées de la mise en œuvre du règlement européen sur l'IA, avec la DGCCRF en coordination et l'appui technique de l'ANSSI et du PEReN. Ce schéma passe par un projet de loi d'adaptation au droit de l'Union européenne, adopté par le Sénat le 18 février 2026 et toujours en première lecture à l'Assemblée nationale au 25 juillet 2026, selon le dossier législatif du Sénat. De son côté, la CNIL indique dans son programme 2026 se préparer à être désignée autorité de surveillance du marché pour une partie des systèmes à haut risque, notamment en biométrie et en emploi.

Conséquence pratique, deux régimes à ne pas confondre :

Point de comparaison	RGPD	Règlement européen sur l'IA
Objet	Les données personnelles traitées	Le système d'IA lui-même et son risque
Autorité en France	La CNIL, pleinement compétente aujourd'hui	Autorités en cours de désignation
Ce qui vous oblige déjà	Registre, base légale, information, AIPD, sécurité	Article 4, maîtrise de l'IA, depuis le 2 février 2025
Prochaine échéance	Travaux CNIL sur l'IA au travail	Obligations de transparence de l'article 50, au 2 août 2026

Sur cette dernière ligne, la Commission européenne a publié le 20 juillet 2026 des lignes directrices sur la transparence des systèmes d'IA, destinées à aider fournisseurs et déployeurs à appliquer l'article 50. Le détail des échéances du règlement IA et de l'obligation de formation figure dans notre article AI Act : la formation IA est-elle obligatoire ?.

Que risque-t-on vraiment ? Ce que disent les sanctions 2025

Soyons précis, parce que le sujet est saturé de chiffres agités hors contexte. Dans son bilan publié le 9 février 2026, la CNIL indique avoir prononcé en 2025 259 décisions, dont 83 sanctions pour un montant cumulé de 486 839 500 euros, 143 mises en demeure, 31 rappels aux obligations légales et 2 avertissements. Soixante-sept de ces sanctions ont été prononcées en procédure simplifiée.

Deux lectures utiles pour un dirigeant :

• Le bilan public 2025 de la CNIL ne met en avant aucune sanction présentée comme visant l'usage de l'IA en tant que tel. Les manquements mis en avant sont classiques : cookies et traceurs, sécurité insuffisante, obligations du sous-traitant.
• Mais ces manquements sont exactement ceux que l'IA amplifie. La CNIL indique notamment avoir sanctionné 16 organismes pour une surveillance vidéo continue de leurs salariés sans circonstances exceptionnelles justifiées. Un outil d'IA qui écoute, transcrit ou analyse en continu tombe dans la même logique de proportionnalité.

La question n'est donc pas « vais-je être sanctionné parce que j'utilise l'IA », mais « mes usages d'IA créent-ils un traitement disproportionné, mal sécurisé ou non documenté ».

Votre plan de mise en ordre en 30 jours

Semaine	Action	Livrable
1	Inventaire des outils d'IA réellement utilisés, y compris hors validation officielle	Liste par équipe, avec les données concernées
2	Qualification de chaque usage avec le test en cinq questions	Registre à jour, usages à risque identifiés
3	Contrats fournisseurs, hébergement, transferts, durées de conservation	Décisions d'autorisation ou de retrait par outil
4	Information des personnes, charte diffusée, formation des utilisateurs	Charte signée, session de formation planifiée

Sur le dernier point, la CNIL ne se contente pas de recommander la formation : elle en fait une mesure d'encadrement, en demandant que les utilisateurs finaux connaissent les limites du système, les usages autorisés et interdits, la règle de ne pas saisir d'informations confidentielles, et le réflexe d'évaluation critique des réponses face au biais d'automatisation. C'est la mesure la moins coûteuse et la plus rapidement démontrable d'un dossier de conformité.

FAQ · IA et RGPD en entreprise

Le RGPD s'applique-t-il si mon entreprise utilise l'IA sans en développer ?

Oui, dès qu'un outil d'IA traite des données personnelles. Coller un nom de client, un dossier de salarié ou un contrat dans un prompt revient à transmettre ces données à un fournisseur : c'est un traitement, avec une finalité, une base légale, une durée de conservation et un contrat de sous-traitance à prévoir. La CNIL consacre à ce cas des questions-réponses sur l'utilisation d'un système d'IA générative, publiées le 18 juillet 2024.

Faut-il une analyse d'impact (AIPD) pour utiliser l'IA en entreprise ?

Pas systématiquement. L'AIPD est obligatoire quand le traitement figure sur la liste publiée par la CNIL ou quand il remplit au moins deux des neuf critères de risque élevé, parmi lesquels le scoring et le profilage, la décision automatisée à effet juridique, la surveillance systématique, les données sensibles et l'usage innovant. Un assistant de rédaction sans données personnelles n'en déclenche pas ; un tri automatique de candidatures en déclenche presque toujours une.

Que contrôle la CNIL en 2026 sur l'intelligence artificielle ?

La CNIL a retenu le recrutement parmi ses trois thématiques prioritaires de contrôle pour 2026, annoncées le 3 avril 2026. Les contrôles viseront en priorité les grandes entreprises et les cabinets de recrutement, et porteront sur les systèmes de décision automatisée, l'information des candidats et les durées de conservation. La CNIL présente ce thème comme préfigurant ses futures attributions au titre du règlement européen sur l'IA dans le domaine du travail.

La CNIL est-elle l'autorité chargée du règlement européen sur l'IA en France ?

Pas à ce jour. La DGE et la DGCCRF ont publié un projet de désignation des autorités nationales, porté par un projet de loi d'adaptation au droit de l'Union européenne adopté par le Sénat le 18 février 2026 et encore en première lecture à l'Assemblée nationale au 25 juillet 2026. La CNIL indique se préparer à être désignée autorité de surveillance du marché pour une partie des systèmes à haut risque. En attendant, la CNIL est pleinement compétente sur le RGPD, qui s'applique déjà à vos usages d'IA.

Peut-on utiliser ChatGPT ou Copilot avec des données personnelles de clients ?

Oui, sous conditions. La CNIL demande de choisir le mode de déploiement selon la sensibilité : pour des données personnelles ou sensibles, elle recommande de privilégier une solution sur site, et en cloud ou par API d'exiger un contrat de sous-traitance et des garanties de transfert quand les données sortent de l'Union européenne. S'y ajoutent la minimisation des données envoyées et une information des personnes concernées.

La conformité IA se prouve par des gestes, pas par une note d'intention

Un contrôle ne demande pas si vous avez lu la doctrine. Il demande votre registre, votre base légale, votre contrat fournisseur, l'information que vous avez donnée aux personnes et ce que vos équipes savent faire devant un outil d'IA. Ces quatre preuves se construisent en quelques semaines, et la dernière est celle qui protège le mieux au quotidien.

C'est exactement ce que travaille la formation IA responsable : RGPD et AI Act : les apprenants repartent avec un audit de conformité réalisé sur un de leurs cas réels, un plan d'action et une charte d'usage IA prête à diffuser en interne.

Votre entreprise peut faire financer cette formation : consultez notre guide du financement OPCO ou demandez un devis, réponse sous 24 h.