Une analyse d'impact est-elle toujours obligatoire pour un outil d'IA ?

Non. Elle l'est quand le traitement figure sur la liste de la CNIL ou remplit au moins deux des neuf critères de risque. La CNIL recommande, en attendant d'autres recommandations, d'associer le délégué et de la réaliser le cas échéant.

Analyse d'impact (AIPD) pour un assistant IA : la méthode

Q: Quand faut-il consulter la CNIL ?

Lorsque, après les mesures prévues, le risque résiduel reste élevé.

Une analyse d'impact relative à la protection des données (AIPD) est obligatoire quand un traitement est « susceptible d'engendrer un risque élevé » pour les personnes (article 35 du RGPD, règlement général sur la protection des données). Pour un assistant IA branché sur vos documents, la réponse dépend surtout de ce que contiennent ces documents. La CNIL (Commission nationale de l'informatique et des libertés) recommande en tout cas d'associer votre délégué à la protection des données et, le cas échéant, de réaliser cette analyse.

Cette fiche explique la méthode de la CNIL. La décision finale revient au responsable de traitement, conseillé par son délégué ou un avocat.

Pourquoi la question se pose pour un assistant d'équipe

Selon les questions-réponses de la CNIL du 18/07/2024, l'entreprise qui connecte un système d'IA à une base de connaissances contenant des données personnelles devient responsable de ce traitement. Ce n'est donc pas seulement l'affaire du fournisseur.

La règle : la liste, ou deux critères sur neuf

L'analyse est requise si le traitement figure sur la liste publiée par la CNIL, ou s'il remplit au moins deux des neuf critères issus des lignes directrices européennes :

Évaluation ou notation, profilage compris
Décision automatique avec effet juridique ou similaire
Surveillance systématique
Données sensibles ou à caractère hautement personnel
Collecte à grande échelle
Croisement de données
Personnes vulnérables (patients, personnes âgées, enfants…)
Usage innovant, faisant appel à une nouvelle technologie
Exclusion du bénéfice d'un droit ou d'un contrat

La CNIL ajoute qu'elle est aussi requise si vous estimez le risque élevé alors qu'un seul critère est rempli.

Trois cas pour se repérer

Assistant	Documents versés	Critères possibles	Lecture
Notices et procédures techniques	Peu ou pas de données personnelles	8 éventuellement	Faible exposition ; documentez votre raisonnement
Service client sur le site	Conditions de vente, FAQ ; conversations avec des visiteurs	8, peut-être 5 selon le volume	À examiner avec le délégué
Questions RH des salariés	Dossiers individuels, arrêts, entretiens	4 et 8 au moins	Analyse attendue selon la règle des deux critères

Ce tableau donne des pistes de lecture, pas une qualification juridique. Le critère 8 (nouvelle technologie) mérite d'être discuté pour tout projet d'IA générative.

Ce que l'analyse doit contenir

L'article 35, paragraphe 7, du RGPD fixe un contenu minimal :

une description systématique des opérations et des finalités ;
une évaluation de la nécessité et de la proportionnalité ;
une évaluation des risques pour les droits et libertés des personnes ;
les mesures prévues pour y faire face, y compris les garanties de sécurité.

Pour un assistant IA, la description gagne à inclure : la liste des dossiers versés, les profils qui l'interrogent, le chemin des données (stockage, modèle, journaux), la durée de conservation des conversations et les droits d'accès.

Qui fait quoi

Le responsable de traitement (votre entreprise) mène l'analyse et en porte la décision.
Le délégué à la protection des données, s'il existe, conseille et vérifie.
Le sous-traitant (le fournisseur) apporte son aide et les informations nécessaires : c'est une obligation de l'article 28.
Les équipes métier et la personne chargée de la sécurité informatique gagnent à participer.

Les outils

La CNIL propose une méthode, des guides avec un catalogue de bonnes pratiques et un logiciel libre, PIA, pour conduire et formaliser l'analyse. Elle publie aussi des cas pratiques par secteur, dont un sur l'intelligence artificielle.

Avant, pendant, après

L'analyse se mène avant la mise en service, puis se tient à jour. Si, après les mesures prévues, le risque résiduel reste élevé, la CNIL doit être consultée. La CNIL rappelle aussi que l'analyse d'impact et la documentation exigée par le règlement européen sur l'IA peuvent se compléter : voir la page sur le règlement IA.

Pour préparer la description du traitement, la checklist en 12 points fournit la matière de départ.