Faut-il un DPO pour utiliser l’IA dans votre entreprise ?

La réponse tient dans une nuance. Non, utiliser l'IA n'impose pas à lui seul de nommer un DPO (délégué à la protection des données). Oui, votre usage peut le déclencher dans certains cas. Tout dépend de la nature et de l'échelle des données que vous traitez. Pas de l'outil. L'article 37 du RGPD fixe trois cas d'obligation. En dehors, la CNIL encourage quand même la désignation. Et dans tous les cas, une obligation reste immédiate : minimiser et anonymiser vos données avant de les confier à l'IA.

Le DPO est obligatoire dans trois cas

L'article 37 du RGPD est précis. La désignation d'un DPO n'est obligatoire que dans trois situations. Il suffit d'en remplir une seule pour être concerné.

• Le traitement est effectué par une autorité ou un organisme public.
• Vos activités de base consistent en un suivi régulier et systématique des personnes à grande échelle.
• Vos activités de base consistent en un traitement à grande échelle de données sensibles (santé, biométrie, opinions, origine…) ou de données pénales.

Un mot mérite l'attention : « activités de base ». Le critère vise le cœur de votre métier. Pas une tâche annexe. Une entreprise dont l'activité principale n'est ni la surveillance de personnes ni le traitement de données sensibles sort souvent des trois cas. La CNIL, de son côté, ne se prive pas de contrôler : elle a mis en demeure des communes de désigner un DPO. Les collectivités sont des organismes publics, donc concernées par le premier cas.

Utiliser l'IA ne crée pas l'obligation

L'IA en soi ne déclenche aucune obligation de DPO. Ce qui compte, c'est ce que vous traitez et à quelle échelle. Analyser à grande échelle des données de santé via une IA peut faire basculer dans le troisième cas. Utiliser un assistant IA pour rédiger des e-mails, non. La plupart des PME qui recourent à l'IA pour des tâches courantes restent hors des trois cas.

Reste que la CNIL va plus loin. Même sans obligation, elle encourage la désignation d'un DPO. Un référent unique aide à piloter la conformité de l'ensemble de vos traitements. C'est une recommandation, pas une obligation déguisée. À vous de peser le bénéfice selon votre maturité.

« Pas de DPO, pas de contraintes » : c'est faux

L'objection revient souvent. Pas de DPO obligatoire, donc pas de contrainte. C'est faux. Le RGPD s'applique quel que soit votre statut DPO. Plusieurs obligations restent entières pour tout usage professionnel de l'IA.

La base légale de votre traitement (article 6). La minimisation des données (article 5). L'information des personnes. La tenue du registre des traitements. La sécurité. Et une AIPD (analyse d'impact relative à la protection des données, article 35) dès qu'un traitement présente un risque élevé.

L'AIPD est un dispositif distinct du DPO. Elle est requise, par exemple, pour un traitement à grande échelle de données sensibles ou un profilage automatisé. Certains usages de l'IA créent exactement ces configurations. DPO et AIPD sont deux obligations séparées. L'une n'exonère jamais de l'autre.

Le levier actionnable dès aujourd'hui

DPO obligatoire ou non, un levier réduit le risque tout de suite. La minimisation. Ne transmettez à l'IA que les données strictement nécessaires. Supprimez ou anonymisez au préalable les données personnelles et sensibles. Avant qu'elles ne quittent votre environnement. Ce geste répond directement à l'article 5 du RGPD, et vous n'attendez aucune décision d'organisation pour l'appliquer.

1. 1Cartographiez les données personnelles et sensibles présentes dans vos prompts.
2. 2Retirez ou anonymisez celles qui ne sont pas nécessaires à la réponse.
3. 3N'envoyez à l'IA que le texte anonymisé.
4. 4Restaurez les vraies valeurs dans la réponse, en local.

C'est le rôle d'ONYRI Sanitize. Le moteur détecte les données sensibles — noms, coordonnées, identifiants, données de santé, secrets techniques — et les remplace par des jetons réversibles avant l'envoi. La détection et le mapping restent dans votre navigateur. Seul un texte anonymisé atteint le modèle. Soyons clairs : ONYRI n'est ni un DPO ni un substitut à votre conformité RGPD. C'est un contrôle technique de minimisation qui réduit le risque en amont, que vous ayez un DPO ou non.