IA et données personnelles : ce que dit la CNIL

La CNIL est claire : le RGPD s'applique pleinement à l'intelligence artificielle. La CNIL (Commission nationale de l'informatique et des libertés) est l'autorité française de protection des données. Pour elle, l'IA n'est pas une zone de non-droit. Les règles existantes la gouvernent déjà. La CNIL a publié des recommandations concrètes pour développer des systèmes d'IA conformes au RGPD. Un principe y revient sans cesse : la minimisation des données. En clair, ne fournir à un modèle que le minimum de données personnelles utiles. Cette lecture débouche sur un réflexe simple : anonymiser votre texte avant de l'envoyer à l'IA.

Le RGPD s'applique à l'IA, affirme la CNIL

Commençons par le socle. Le RGPD (Règlement général sur la protection des données) est le cadre juridique de référence. La CNIL l'applique et le fait respecter en France. Sa position sur l'IA est ferme. Le RGPD s'applique pleinement aux systèmes d'intelligence artificielle. L'IA n'échappe pas au droit des données.

La CNIL va plus loin. Elle qualifie de fausse une idée répandue. Non, le RGPD n'empêche pas l'innovation en IA en Europe. Pour la CNIL, innover et respecter les droits des personnes vont de pair. Le cadre existe déjà. Il faut l'appliquer, pas le contourner.

Les recommandations de la CNIL sur l'IA

La CNIL ne s'arrête pas aux principes. Elle a publié des recommandations concrètes sur le développement des systèmes d'IA. Ces travaux, finalisés et enrichis en 2025, s'accompagnent de fiches pratiques et de checklists. Le public visé : les professionnels qui conçoivent ou déploient de l'IA.

Ces recommandations couvrent plusieurs axes clairs.

• La finalité : un objectif déterminé qui encadre et limite les données utilisées.
• La base légale du traitement des données personnelles.
• La minimisation des données, réduites au strict nécessaire.
• La répartition des rôles : responsable de traitement, responsable conjoint, sous-traitant.
• La sécurité et la protection des données dès la conception (privacy by design).

La CNIL articule aussi ses recommandations avec le règlement européen sur l'IA (AI Act), adopté en 2024. Les deux textes se complètent. Le premier protège les données, le second encadre les systèmes.

La minimisation des données, principe clé

Un principe mérite une place à part : la minimisation des données. Il est au cœur du RGPD. La CNIL le rappelle avec constance. L'idée est simple. Un traitement ne doit utiliser que les données personnelles nécessaires à sa finalité. Ni plus, ni « au cas où ».

IA générative : ce que rappellent la CNIL et l'EDPB

Et l'IA générative, comme les grands modèles de langage ? La CNIL n'a pas publié d'interdiction. Elle traite le sujet dans son plan d'action sur l'IA. Son message reste le même : le RGPD s'applique.

Le Comité européen de la protection des données (EDPB, ou CEPD en français) a précisé un point clé. Dans un avis adopté en décembre 2024, il rappelle une chose. Le RGPD s'applique souvent aux modèles d'IA entraînés sur des données personnelles. Motif : ces modèles peuvent mémoriser ces données. La CNIL propose une méthode pour évaluer si un modèle est concerné.

La parade : anonymiser avant le prompt

Que retenir, côté utilisateur ? La minimisation trace la voie. Vous devez fournir à une IA le moins de données personnelles possible. C'est exactement l'effet d'une anonymisation en amont. Vous remplacez chaque donnée sensible par un jeton avant l'envoi. Le modèle raisonne sur la structure, pas sur vos vraies valeurs. Ce lien est notre lecture du principe, pas une consigne mot pour mot de la CNIL.

Quand vous devez inclure un cas réel, anonymisez d'abord. Remplacez chaque donnée personnelle par un jeton. L'IA raisonne sur votre situation sans jamais voir les vraies valeurs. Vous, vous restaurez ces valeurs ensuite, en local.

1. 1Repérez les données personnelles dans votre texte : noms, e-mails, identifiants, montants.
2. 2Remplacez-les par des jetons réversibles, côté navigateur.
3. 3Envoyez seulement le texte anonymisé au modèle.
4. 4Restaurez les vraies valeurs dans la réponse, en local.

C'est le rôle d'ONYRI Sanitize. Le moteur détecte les données sensibles — noms, e-mails, identifiants, montants — et les remplace par des jetons réversibles avant l'envoi. La détection et le mapping restent dans votre navigateur. Seul un texte anonymisé atteint le modèle. Vous appliquez ainsi, concrètement, la minimisation des données que la CNIL place au cœur du RGPD.