IA et RGPD : la checklist de conformité (2026)

Vos équipes utilisent déjà l'IA. C'est un fait, pas une hypothèse. La vraie question n'est donc plus « faut-il l'autoriser ? », mais « comment la rendre conforme au RGPD ? ». Voici une checklist concrète, en 10 points, pensée pour un responsable ou un DPO (délégué à la protection des données). Un fil rouge la traverse. Le principe de minimisation impose de n'exposer que le strict nécessaire. Traduit en pratique : anonymisez les identifiants avant de les envoyer à l'IA. Une donnée jamais transmise ne peut pas fuiter.

Le problème : l'IA traite déjà des données personnelles

Un prompt n'est pas neutre. Vos collaborateurs y collent des noms de clients. Des e-mails. Des extraits de contrats. Des tableaux RH. Dès qu'une donnée identifie une personne, c'est une donnée personnelle. Et son passage dans un outil d'IA est un traitement au sens du RGPD.

L'enjeu est double. D'abord, le fond du droit : chaque traitement doit reposer sur une base légale et respecter les principes du règlement. Ensuite, le risque concret : une donnée collée dans un outil grand public peut être retenue, relue ou réutilisée. La CNIL, l'autorité française de protection des données, a publié en 2025 des fiches pratiques pour appliquer le RGPD aux systèmes d'IA. Le message : innovation et droits des personnes peuvent tenir ensemble, à condition de cadrer.

Faut-il alors interdire l'IA en interne ? Non. L'interdiction pousse les usages dans l'ombre, sans contrôle. Mieux vaut encadrer. La checklist ci-dessous fait exactement cela.

La checklist RGPD en 10 points

Parcourez ces dix étapes dans l'ordre. Chacune est actionnable dès cette semaine. Le point 3 est le levier central : il applique concrètement la minimisation.

1. 1Recensez les données personnelles qui entrent dans l'IA : prompts, fichiers joints, historiques de conversation.
2. 2Définissez une base légale (article 6 du RGPD) pour ce traitement — souvent l'exécution d'un contrat ou l'intérêt légitime, selon le contexte.
3. 3Appliquez la minimisation : anonymisez les identifiants AVANT le prompt. C'est le levier n°1. Une donnée jamais envoyée ne fuite pas.
4. 4Vérifiez le contrat de l'outil : un DPA (accord de traitement des données) et une clause « pas d'entraînement sur vos données ».
5. 5Faites une AIPD (analyse d'impact relative à la protection des données, article 35) si l'usage présente un risque élevé.
6. 6Informez les personnes concernées — salariés, clients. La transparence est une obligation, pas une option.
7. 7Tenez le registre des traitements (article 30) à jour ; ajoutez-y votre nouvel usage de l'IA.
8. 8Gardez un humain dans la boucle pour les décisions qui affectent des personnes.
9. 9Encadrez les transferts hors UE si l'outil est américain. Le cadre EU-US (Data Privacy Framework) existe, mais reste à vérifier.
10. 10Sensibilisez vos équipes : la meilleure règle échoue si personne ne la connaît.

L'AIPD : obligatoire seulement si le risque est élevé

Une confusion fréquente : « on utilise de l'IA, donc AIPD obligatoire ». C'est faux. L'article 35 du RGPD déclenche l'AIPD quand un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. L'AIPD décrit alors le traitement, en évalue la nécessité et la proportionnalité, et fixe les mesures pour maîtriser les risques.

Comment savoir si le risque est élevé ? La CNIL a défini neuf critères. Voici les principaux.

• Profilage ou évaluation des personnes.
• Décision automatisée avec effet juridique.
• Surveillance systématique.
• Traitement de données sensibles ou à grande échelle.
• Croisement de jeux de données, ou personnes vulnérables.

La règle pratique de la CNIL : un traitement qui réunit au moins deux de ces neuf critères est présumé à risque élevé. L'AIPD devient alors obligatoire. Autre nuance utile : recourir à l'IA n'impose pas, à lui seul, de nommer un DPO. L'article 37 ne le rend obligatoire que dans trois cas précis. D'abord, les organismes publics. Ensuite, ceux dont les activités de base impliquent un suivi régulier et systématique à grande échelle. Enfin, ceux qui traitent à grande échelle des données sensibles ou pénales.

La solution : anonymiser avant le prompt

Toute la checklist repose sur un contrôle simple. Si l'IA ne voit jamais vos identifiants, le risque s'effondre. Vous n'avez plus à faire confiance à la rétention d'un outil tiers. La donnée sensible n'a tout simplement pas quitté votre poste. C'est la minimisation appliquée à la lettre.

En pratique, le geste tient en quatre temps. Vous gardez la maîtrise du mapping entre le jeton et la vraie valeur, en local.

1. 1Repérez les données personnelles dans votre texte : noms, e-mails, identifiants, montants.
2. 2Remplacez-les par des jetons réversibles, côté navigateur.
3. 3Envoyez seulement le texte anonymisé à l'IA.
4. 4Restaurez les vraies valeurs dans la réponse, en local.

C'est précisément le rôle d'ONYRI Sanitize. Le moteur repère les données sensibles — noms, e-mails, identifiants, montants — et les remplace par des jetons réversibles avant l'envoi. La détection et le mapping restent dans votre navigateur. Seul un texte anonymisé atteint le modèle. Vous cochez la case la plus lourde de votre checklist RGPD — la minimisation — sans renoncer à la puissance de l'IA.