CNIL et IA : ce qui concerne une entreprise qui utilise l'IA

La CNIL a publié une série de fiches pratiques sur l'intelligence artificielle, dix-sept au total, plus une liste de vérification. Beaucoup de dirigeants les ouvrent, lisent trois pages sur l'annotation des données et le moissonnage du web, et referment le document en se disant que ce n'est pas pour eux. Ils ont à moitié raison, et c'est la moitié restante qui compte.

En une phrase. Les recommandations de la CNIL sur l'intelligence artificielle appliquent le RGPD aux systèmes d'IA. Elles visent d'abord ceux qui développent ces systèmes. Une entreprise qui se contente d'utiliser un outil du commerce reste tenue par quatre obligations : définir une finalité et une base légale, informer les personnes, répondre à l'exercice de leurs droits, et réaliser une analyse d'impact quand le risque est élevé.

À qui ces fiches s'adressent

Les fiches portent sur le développement de systèmes d'IA quand des données personnelles entrent en jeu, en particulier pour constituer des bases d'entraînement. Leur destinataire naturel est celui qui conçoit un modèle ou l'entraîne, pas celui qui ouvre un abonnement à un assistant du commerce.

On y trouve la détermination du régime juridique applicable, la définition d'une finalité, la qualification juridique des fournisseurs, la base légale et le cas de la réutilisation des données, l'analyse d'impact, la protection des données dès la conception, l'intérêt légitime, le cas particulier du moissonnage, l'information des personnes, l'exercice de leurs droits, l'annotation des données, la sécurité du développement, et le statut d'un modèle au regard du RGPD.

Une entreprise qui utilise un outil tiers sans rien fabriquer peut écarter l'annotation, le moissonnage et la conception. Quatre sujets restent sur sa table.

Les quatre sujets qui vous concernent

La base légale et la finalité. Dès que vous déposez des données personnelles dans un outil d'IA, vous réalisez un traitement. Il lui faut une finalité définie et une base légale. Un candidat dont le curriculum vitae passe dans un assistant de tri, un client dont l'historique nourrit une réponse automatique, un salarié dont les écrits servent à produire une synthèse : ce sont trois traitements, pas trois commodités.

L'information des personnes. Les personnes dont vous traitez les données doivent savoir que l'IA intervient. Cette obligation vient du RGPD et elle rejoint, pour les systèmes concernés, celle de l'article 50 du règlement européen sur l'IA, dont l'application générale est fixée au 2 août 2026. Le sujet est traité en détail dans notre article sur ce que l'IA Act impose vraiment à une PME.

L'exercice des droits. Accès, rectification, opposition, effacement. Ces droits ne disparaissent pas parce qu'un modèle est intervenu dans la chaîne. La question pratique à se poser est simple : si une personne demande demain l'effacement de ses données, savez-vous où elles sont passées.

L'analyse d'impact. Elle devient nécessaire quand le traitement présente un risque élevé pour les personnes. Un usage d'IA sur des données de santé, sur des données de salariés ou sur une décision qui affecte quelqu'un déclenche la question. Y répondre avant le déploiement coûte quelques heures ; y répondre après un signalement coûte autre chose.

Le point aveugle : vous ne savez pas ce qui est sorti

Ces quatre sujets supposent de connaître les traitements en cours. Or, dans la plupart des entreprises, une partie des usages d'IA n'est pas déclarée. Un contrat déposé dans un outil grand public, une liste de clients collée dans une fenêtre de discussion, un enregistrement de réunion transcrit par un service que personne n'a validé. Le RGPD s'applique à ces traitements comme aux autres, et la direction ne sait pas qu'ils existent.

C'est pourquoi l'inventaire précède toujours la mise en conformité. La méthode tient en une semaine et se trouve dans notre article sur le shadow IA.

Ce qui fait la différence, concrètement

Trois documents suffisent à une PME pour tenir la position, et aucun ne demande un cabinet d'avocats.

Le registre des usages d'IA. Une ligne par usage : quel outil, quel service, quelles données, quelle finalité, quelle base légale, qui vérifie la sortie. Il se tient dans un tableur et il répond à neuf questions sur dix en cas de contrôle.

Les règles écrites. Ce qui est autorisé, sur quelles catégories de données, avec quelle relecture humaine. Le générateur de charte IA produit ce document à partir de vos outils et de votre cadre social, et il se corrige ensuite avec le registre. Qui arbitre et qui relit relève de la gouvernance IA.

La trace de la montée en compétence. Les sessions tenues, leur contenu, les participants, les dates. Elle sert au titre du règlement européen, et elle sert surtout à ce que les règles écrites soient appliquées par des gens qui comprennent pourquoi.

Monter ces trois pièces à partir d'une situation réelle, usage par usage, c'est le travail que couvre l'audit IA.

Une précision, pour finir sur un point que beaucoup de pages confondent. La désignation des autorités chargées de surveiller le règlement européen sur l'IA relève de chaque État membre, et le Future of Privacy Forum relevait en juillet 2026 que plusieurs ne l'avaient pas encore notifiée. Les recommandations de la CNIL citées ici relèvent du RGPD, qui s'applique depuis 2018 et ne dépend d'aucune échéance à venir.

Le document lui-même. Ce qu'il faut mettre dans une charte IA d'entreprise, et le cadre de confiance qui la rend tenable auprès des équipes.