RGPD et IA : le volet technique, fiche par fiche

Ce site traite le RGPD (règlement général sur la protection des données) du point de vue de celui qui construit : le développeur qui prépare un jeu d'entraînement, le DSI (directeur des systèmes d'information) qui branche une API (interface de programmation) de modèle de langage, le délégué à la protection des données qui doit documenter tout cela. Chaque page part d'une question concrète et s'appuie sur les textes : le RGPD lui-même, les fiches pratiques de la CNIL (Commission nationale de l'informatique et des libertés) sur le développement des systèmes d'IA, l'avis du CEPD (Comité européen de la protection des données) sur les modèles d'IA et la jurisprudence de la Cour de justice de l'Union européenne.

Nous expliquons les règles ; nous ne donnons pas d'avis juridique. Pour un projet précis, associez votre délégué à la protection des données ou un professionnel du droit.

Deux traitements à distinguer

La CNIL sépare la phase de développement (constituer la base, entraîner, tester) et la phase de déploiement (utiliser le système). Ce sont deux traitements distincts, chacun avec sa finalité, sa base légale, ses durées de conservation. Une entreprise qui appelle un modèle par API se trouve surtout dans la seconde ; dès qu'elle affine un modèle avec ses propres données, elle entre dans la première.

Le RGPD s'applique dès que la base d'apprentissage contient des données personnelles. Et selon la CNIL, le modèle lui-même en relève quand des données personnelles peuvent en être extraites par des moyens raisonnables.

Les pages du site

Avant de commencer

• Définir la finalité d'un système d'IA, y compris pour un modèle à usage général.
• Responsable de traitement ou sous-traitant ? La qualification du fournisseur, et le contrat de l'article 28.
• L'intérêt légitime comme base légale, avec les trois conditions et les mesures attendues.
• L'analyse d'impact (AIPD) d'un projet d'IA et les huit risques propres à l'IA listés par la CNIL.

Les données d'entraînement

• Le moissonnage du web : robots.txt, listes d'exclusion, données sensibles.
• La minimisation : nettoyage, généralisation, confidentialité différentielle.
• Les durées de conservation en développement et en maintenance.
• L'information des personnes quand les données ne viennent pas d'elles.

Le modèle et le système en service

• Un modèle contient-il des données personnelles ? La position du CEPD et de la CNIL.
• Les droits d'accès et d'effacement face à un modèle : réentraînement, filtres.
• Pseudonymiser avant d'envoyer à un modèle de langage.
• Journaliser un système d'IA sans créer un nouveau risque.
• La décision automatisée (article 22) et le droit à une explication.
• Les transferts vers les États-Unis et le Data Privacy Framework, état au 15/11/2026.

Où en est le droit au 15/11/2026

Le RGPD s'applique dans sa version actuelle. Le volet « données » de l'omnibus numérique, qui le modifierait (procédure 2025/0360(COD)), reste une proposition : le Conseil a adopté son mandat de négociation le 21/10/2026, et le Parlement européen n'a pas encore arrêté sa position. Le volet IA de cet omnibus, lui, est adopté ; il modifie l'AI Act et non le RGPD (voir l'omnibus numérique sur l'IA et l'articulation entre AI Act et RGPD).

Les fiches de la CNIL citées ici datent de 2024 et 2025 ; chaque page indique la date de la fiche qu'elle utilise.