Outil d’IA : quand l’AIPD est-elle obligatoire ?
Assistant généraliste, chatbot, tri de CV, transcription de réunions, scoring : quand l’analyse d’impact du RGPD est obligatoire, comment la mener simplement et ce qu’ajoute l’AI Act.
À jour au 17 septembre 2026 — AI Act & PME
Pas pour chaque outil d’IA. L’analyse d’impact relative à la protection des données (AIPD) est obligatoire lorsqu’un traitement de données personnelles est susceptible d’engendrer un risque élevé pour les personnes. Pour une PME, c’est en principe le cas dès qu’un outil trie des candidats, note des salariés ou surveille leur activité en continu, ou profile des clients au point de pouvoir les exclure d’un contrat. Pour un assistant de rédaction utilisé sans données sensibles, elle n’est pas systématique, mais le choix de s’en passer doit être réfléchi et écrit. Entre les deux, on tranche au cas par cas, avec deux listes de la CNIL et neuf critères européens. L’AIPD s’impose dès aujourd’hui ; l’analyse d’impact sur les droits fondamentaux de l’AI Act ne concernera, à partir du 2 décembre 2027, qu’un nombre limité d’entreprises privées.
Check-list gratuite. Faites le point en 15 minutes sur les 10 points AI Act et RGPD à vérifier dans votre PME. Ouvrir la check-list →
L’AIPD en bref
L’article 35 du RGPD impose au responsable du traitement (en principe votre entreprise, pas l’éditeur de l’outil) d’analyser, « avant le traitement », l’impact des opérations envisagées lorsqu’elles sont susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes, « en particulier par le recours à de nouvelles technologies ». Elle contient au moins une description du traitement, une évaluation de sa nécessité et de sa proportionnalité, une évaluation des risques et les mesures prévues (paragraphe 7).
Omettre une AIPD requise expose à une amende pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 83, paragraphe 4). Voir Sanctions de l’AI Act : ce que risque vraiment une PME.
Le document est gratuit. Vous n’avez pas à le rédiger. Le modèle de politique d’usage de l’IA reprend les neuf clauses d’une politique d’usage, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.
Essayer le modèle — remplir et voir le document →
ou recevoir le modèle complet, gratuitement
Gratuit. Une adresse email suffit pour le recevoir.
Obligatoire ou non : trois vérifications
1. Les cas cités par le RGPD
L’article 35, paragraphe 3, exige une AIPD « en particulier » pour :
l’évaluation systématique et approfondie de personnes, automatisée, y compris le profilage, qui fonde des décisions produisant des effets juridiques ou les affectant de manière significative ;
le traitement à grande échelle de données sensibles (santé, données biométriques servant à identifier une personne, opinions politiques…) ou relatives aux condamnations pénales ;
la surveillance systématique à grande échelle d’une zone accessible au public.
2. Les deux listes de la CNIL
La liste des traitements pour lesquels une AIPD est requise (délibération n° 2018-327 du 11 octobre 2018) compte quatorze types d’opérations, dont quatre concernent directement les outils d’IA d’une PME :
les traitements « établissant des profils de personnes physiques à des fins de gestion des ressources humaines », par exemple un recrutement facilité par un « algorithme de sélection » ou la détection des départs de salariés « sur la base de corrélations » ;
ceux qui visent à « surveiller de manière constante l’activité des employés », comme la vidéosurveillance d’employés manipulant de l’argent ;
le profilage pouvant aboutir à exclure une personne d’un contrat ou à le suspendre, comme un score d’octroi de crédit ou la lutte contre la fraude aux moyens de paiement ;
le profilage faisant appel à des données de sources externes, comme celles de courtiers en données.
Cette liste « a un caractère non-exhaustif ». Une seconde liste (délibération n° 2019-118 du 12 septembre 2019) dispense au contraire d’AIPD la gestion courante du personnel dans les organismes de moins de 250 personnes, « à l’exception du recours au profilage ». Elle y range la visioconférence et les outils collaboratifs utilisés « sans recours au profilage ni à la biométrie », sans rien dire des fonctions d’IA : ne l’invoquez pas sans vérification pour une transcription automatique. Pour les évaluations, voir Évaluer ses salariés avec l’IA : ce qui est permis.
3. Les neuf critères européens
Hors listes, les lignes directrices WP248 rév. 01 du groupe de travail « Article 29 » (G29), du 4 octobre 2017, reprises par le Comité européen de la protection des données (CEPD) le 25 mai 2018, retiennent neuf critères :
évaluation ou notation, y compris le profilage et la prédiction ;
décision automatisée avec effet juridique ou effet similaire significatif ;
surveillance systématique ;
données sensibles ou à caractère hautement personnel ;
données traitées à grande échelle ;
croisement ou combinaison d’ensembles de données ;
personnes vulnérables, parmi lesquelles le G29 cite expressément les employés ;
utilisation innovante ou application de nouvelles solutions technologiques ou organisationnelles ;
traitement qui empêche d’exercer un droit ou de bénéficier d’un service ou d’un contrat.
La règle : « Dans la plupart des cas, le responsable du traitement peut considérer qu’un traitement satisfaisant à deux critères nécessite une AIPD. » Un seul critère peut suffire si le risque paraît élevé. Si vous concluez à l’absence de risque élevé malgré ces critères, documentez ce choix, avec l’avis du délégué à la protection des données (DPO) s’il existe. Et « en cas de doute », le G29 recommande d’en effectuer une.
L’IA, un « usage innovant » ? Pas automatiquement
Dans sa fiche « IA : Réaliser une analyse d’impact si nécessaire » du 8 avril 2024, consacrée au développement mais utile aux utilisateurs, la CNIL écrit que l’utilisation de systèmes d’IA « ne relève pas systématiquement de l’usage innovant ». Les techniques éprouvées depuis des années n’en relèvent pas ; les techniques récentes comme l’apprentissage profond, dont les risques sont « encore mal compris ou maitrisés », en relèvent, avec pour exemple l’IA générative. Trois autres repères :
Haut risque au sens de l’AI Act. Pour ces systèmes, la CNIL considère, dans ce passage consacré au développement, qu’une AIPD « sera présumée nécessaire lorsque leur développement ou leur déploiement implique un traitement de données personnelles ».
Profilage ou décision automatisée de la liste CNIL. Lorsqu’un système d’IA sert à l’un des traitements de la liste de la CNIL, « une AIPD est toujours requise ».
L’AIPD de l’éditeur ne suffit pas. Le fournisseur peut proposer un modèle, mais l’utilisateur, responsable du traitement, « reste tenu de réaliser une AIPD » lorsqu’elle est requise, le cas échéant à partir de ce modèle. Le G29 le disait déjà pour les produits technologiques en général.
Selon l’outil
| Outil | AIPD (RGPD) | Pourquoi | AI Act |
|---|---|---|---|
| Assistant généraliste (ChatGPT, Copilot…) sans données sensibles | Pas systématique ; décision à documenter | Usage innovant pour l’IA générative ; si des données de salariés y circulent (personnes vulnérables), deux critères peuvent être réunis : justifiez par écrit l’absence de risque élevé ou, dans le doute, faites l’AIPD | En principe pas de haut risque ; mesures de maîtrise de l’IA pour le personnel (article 4) |
| Chatbot client sur le site | Au cas par cas ; probable avec des données de santé ou financières, des mineurs ou de gros volumes | Usage innovant s’il repose sur l’IA générative, auquel peuvent s’ajouter données sensibles, personnes vulnérables ou grande échelle | Le visiteur doit savoir qu’il échange avec une IA (article 50, depuis le 2 août 2026) ; en principe pas de haut risque |
| Transcription et résumé de réunions | Probable | Salariés (personnes vulnérables) et, en principe, usage innovant ; enregistrement systématique proche de la surveillance constante visée par la CNIL ; identification des locuteurs par leur voix : données biométriques | En principe pas de haut risque ; déduire les émotions des salariés à partir de leur voix ou de leur visage est interdit depuis le 2 février 2025 (article 5), sauf raisons médicales ou de sécurité ; outil servant à évaluer les salariés : haut risque (annexe III, point 4, b) |
| Tri ou présélection de CV | Oui | Liste CNIL : profils RH, « algorithme de sélection » ; la dispense des moins de 250 personnes exclut le profilage | En principe haut risque (annexe III, point 4, a) ; obligations du déployeur à partir du 2 décembre 2027 |
| Scoring ou suivi de la performance des salariés | Oui | Liste CNIL : profils RH ; le cas échéant, surveillance constante de l’activité | En principe haut risque (annexe III, point 4, b), à partir du 2 décembre 2027 |
| Vidéoprotection avec analyse automatique | Probable ; requise si elle filme en continu des salariés (exemples de la liste CNIL) | Surveillance systématique et usage innovant (exemple du G29) ; grande échelle dans un lieu ouvert au public : article 35, paragraphe 3, c ; dans un lieu ouvert au public, la CNIL estime en outre que, faute de droit d’opposition effectif, beaucoup d’usages de caméras « augmentées » exigent un texte les autorisant, hors statistiques anonymes (position du 19 juillet 2022) | Déduire les émotions des salariés : interdit (article 5) ; identification biométrique à distance : haut risque (annexe III, point 1, a), et interdite en principe par l’article 9 du RGPD sauf exception ; simple détection d’intrusion : en principe hors annexe III, à vérifier |
| Scoring de clients ou de prospects | Selon l’effet : en principe non pour un profilage limité, à partir de vos seules données ; oui avec des données externes ou un risque d’exclusion d’un contrat | Évaluation ou notation ; liste CNIL (crédit, fraude, données de courtiers) ; le G29 cite un profilage limité sur un site marchand parmi les cas sans AIPD | En principe hors annexe III ; solvabilité de particuliers : haut risque (annexe III, point 5, b) et analyse d’impact sur les droits fondamentaux, à partir du 2 décembre 2027 |
Un SIRH ou un CRM qui ajoute de l’IA se classe selon la fonction activée : voir Votre logiciel RH ou CRM ajoute l’IA : que vérifier ?
Faire une AIPD simple en 6 étapes
La méthode est libre. La CNIL propose sa méthode, détaillée dans trois guides (méthode, modèles, bases de connaissances), et l’outil PIA, un logiciel open source qui la déroule pas à pas, sur un poste Windows, macOS ou Linux ou sur un serveur. Le CEPD a aussi publié le 14 avril 2026 un modèle européen d’AIPD facultatif (version 1.0, adoptée le 10 mars 2026 en vue d’une consultation publique close le 9 juin 2026) ; la version finalisée annoncée à l’issue de cette consultation n’était pas publiée sur le site du CEPD au 17 septembre 2026. Les étapes ci-dessous suivent l’article 35 : elles structurent le travail, sans garantir que le traitement sera jugé conforme.
Décrire le traitement. Outil et fonction utilisée, finalité, données (y compris ce que les utilisateurs saisissent), personnes concernées, destinataires, durées, hébergement et transferts hors de l’Union. Partez de votre inventaire : Registre des systèmes d’IA : modèle et mode d’emploi. Le contrat avec l’éditeur sous-traitant doit prévoir qu’il vous aide pour l’AIPD, compte tenu des informations dont il dispose (article 28, paragraphe 3, point f).
Vérifier la nécessité et la proportionnalité. Base légale, finalité précise, données limitées au nécessaire, durées, information des personnes, exercice de leurs droits. Si l’outil prépare des décisions qui affectent significativement les personnes, vérifiez qu’un humain décide réellement (article 22).
Évaluer les risques pour les personnes, pas pour l’entreprise. La CNIL raisonne sur des atteintes à la confidentialité, à l’intégrité ou à la disponibilité des données, estimées en gravité et en vraisemblance, auxquelles s’ajoutent des risques propres à l’IA : discrimination causée par un biais, contenu erroné sur une personne réelle, décision prise par excès de confiance dans le résultat, données extraites du système.
Choisir les mesures et les inscrire dans un plan d’action suivi : paramétrage (pas de réutilisation des données pour l’entraînement, conservation courte), droits d’accès, relecture humaine, traçabilité, contrat avec l’éditeur, formation. L’article 4 de l’AI Act prévoit déjà que les déployeurs « prennent des mesures pour favoriser le développement de la maîtrise de l’IA par leur personnel ».
Recueillir les avis. Celui du DPO, si vous en avez désigné un (article 35, paragraphe 2). Celui des personnes concernées ou de leurs représentants, « le cas échéant » (paragraphe 9) : le G29 cite un questionnaire aux représentants du personnel et demande de justifier toute décision de s’en passer. Cela ne dispense pas d’informer ou de consulter le CSE selon le Code du travail.
Décider, dater, réexaminer. La direction valide le risque résiduel par écrit. S’il reste élevé malgré les mesures, consultez la CNIL avant de lancer l’outil (article 36) : si elle estime que le traitement enfreindrait le RGPD, elle rend un avis écrit dans un délai de huit semaines, prolongeable de six. Réexaminez l’AIPD au moins quand le risque change (article 35, paragraphe 11) : nouvelle fonction activée par l’éditeur, nouvelles données, nouvel usage.
L’outil tourne déjà ? Si elle est requise, l’AIPD aurait dû précéder sa mise en service : réalisez-la sans attendre, en suspendant au besoin les fonctions les plus risquées.
Ce qu’ajoute l’AI Act
La notice d’utilisation au service de l’AIPD. Le déployeur d’un système à haut risque utilise, « le cas échéant », les informations fournies au titre de l’article 13 (la notice d’utilisation, qui précise notamment la destination, le niveau d’exactitude et les limites du système) pour réaliser son AIPD (article 26, paragraphe 9). Pour l’annexe III, cette règle s’appliquera à partir du 2 décembre 2027 (article 113, troisième alinéa, point c, i) ; l’AIPD, elle, s’impose déjà. Demandez cette documentation à l’éditeur dès maintenant.
L’analyse d’impact sur les droits fondamentaux (article 27). Avant de déployer un système à haut risque de l’annexe III, hors infrastructures critiques, doivent la réaliser :
les organismes de droit public ;
les entités privées fournissant des services publics, dans des domaines que le considérant 96 illustre par l’éducation, les soins de santé, les services sociaux, le logement et l’administration de la justice ;
tout déployeur d’un système destiné à évaluer la solvabilité ou la note de crédit de personnes physiques (hors détection de fraudes financières), ou à évaluer les risques et fixer les tarifs en assurance-vie et assurance maladie (annexe III, point 5, b et c).
Une PME privée sans mission de service public, qui n’utilise aucun système des points 5, b et c, n’y est donc en principe pas soumise, même pour un outil de tri de CV classé à haut risque. L’analyse décrit notamment les personnes touchées, les risques de préjudice, le contrôle humain et les mesures prévues ; ses résultats sont notifiés à l’autorité de surveillance du marché. Depuis le règlement (UE) 2026/1744, lorsque son AIPD remplit déjà certaines de ces obligations, le déployeur peut, dans cette analyse, renvoyer aux sections pertinentes de l’AIPD ou en reprendre les parties utiles (paragraphe 4) ; le modèle de questionnaire que le Bureau de l’IA doit élaborer, prévu dès 2024, offrira le cas échéant cette possibilité (paragraphe 5). Calendrier : à partir du 2 décembre 2027 pour l’annexe III ; pour un système mis sur le marché ou mis en service avant cette date, le règlement ne s’applique qu’en cas d’importantes modifications de sa conception (article 111, paragraphe 2). Voir Conformité AI Act pour les PME : ce qu’il faut faire.
À surveiller. La proposition d’« omnibus numérique » présentée par la Commission le 19 novembre 2025 prévoit de simplifier les analyses d’impact du RGPD. Selon la fiche du Parlement européen mise à jour le 1er août 2026, ni le Conseil ni le Parlement européen n’avaient encore arrêté leur position. D’ici une éventuelle adoption, l’article 35 et les listes de la CNIL s’appliquent tels quels.
Idées reçues
« Tout outil d’IA exige une AIPD. » Non. Elle vise les traitements susceptibles d’engendrer un risque élevé, et l’IA ne remplit pas automatiquement le critère de l’usage innovant.
« L’éditeur a fait son AIPD, nous sommes couverts. » Non. Son analyse peut nourrir la vôtre, mais c’est votre usage qu’il faut évaluer.
« Moins de 250 salariés, pas d’AIPD. » Non. La dispense de la CNIL vise la gestion courante du personnel et exclut le profilage ; la liste des AIPD requises ne prévoit aucun seuil d’effectif.
« Une fois faite, il faut l’envoyer à la CNIL. » Non. Conservez-la pour la produire si la CNIL la demande. Seul un risque résiduel élevé impose de la consulter avant le traitement.
Le modèle de politique d’usage — gratuit
Les neuf clauses d’une politique d’usage de l’IA, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.
Gratuit. Une adresse email suffit pour le recevoir.
Le kit de conformité — 199 €
Le registre des systèmes d’IA et le journal des usages sensibles du kit vous donnent un point de départ pour repérer les outils qui justifient une analyse d’impact ; le kit ne remplace pas l’AIPD elle-même.
Vous renseignez votre raison sociale et la liste de vos outils. Vous choisissez vous-même la catégorie de risque de chaque usage — interdit, haut risque, risque limité, risque minimal, ou « Je ne sais pas encore — à faire vérifier » — à l’aide d’un rappel des règles. Le kit met ensuite en forme votre politique d’usage de l’IA, dont les neuf clauses sont complétées avec les informations que vous avez saisies, votre registre des systèmes d’IA, votre journal des usages sensibles et votre note d’information au personnel.
Pas encore prêt ? Faites l’auto-diagnostic en 3 minutes ou commencez par la check-list AI Act gratuite : 10 points à vérifier en 15 minutes.
La newsletter. Un numéro tous les quinze jours : une question de conformité IA traitée avec les textes applicables et leurs dates, chaque affirmation sourcée. Gratuite, sans publicité. Lire le premier numéro — « Le premier risque de l’IA en entreprise n’est pas européen ».
À lire ensuite
Sources
Règlement (UE) 2016/679 (RGPD), texte publié par la CNIL : considérants 89 à 91, article 9, article 22, articles 28, 35 et 36 et article 83 (consultés le 17 septembre 2026)
Groupe de travail « Article 29 » — Lignes directrices concernant l’analyse d’impact relative à la protection des données (AIPD), WP248 rév. 01 (4 avril 2017, modifiées le 4 octobre 2017), pages 9 à 18, et CEPD, Endorsement 1/2018 (25 mai 2018, en anglais)
CNIL, délibération n° 2018-327 du 11 octobre 2018 (JORF du 6 novembre 2018) et liste des types d’opérations de traitement pour lesquelles une AIPD est requise (PDF)
CNIL, délibération n° 2019-118 du 12 septembre 2019 (JORF du 22 octobre 2019) et liste des types d’opérations de traitement pour lesquelles une AIPD n’est pas requise (PDF)
CNIL — Ce qu’il faut savoir sur l’analyse d’impact relative à la protection des données (AIPD) (consulté le 17 septembre 2026)
CNIL — IA : Réaliser une analyse d’impact si nécessaire (8 avril 2024)
CNIL — Outil PIA : téléchargez et installez le logiciel de la CNIL (7 avril 2026) et guides AIPD
CNIL — AIPD : le CEPD lance une consultation publique sur un modèle européen (16 avril 2026) et communiqué du CEPD (14 avril 2026, en anglais) et page de la consultation et modèle, version 1.0 du 10 mars 2026 (en anglais)
CNIL — Déploiement de caméras « augmentées » dans les espaces publics : la CNIL publie sa position (19 juillet 2022)
Règlement (UE) 2024/1689 (AI Act), version consolidée au 27 juillet 2026 intégrant le règlement (UE) 2026/1744 : articles 4, 5, 13, 26, 27, 50 et 113, annexe III (consulté le 17 septembre 2026) ; considérant 96 du texte publié au Journal officiel du 12 juillet 2024
Parlement européen — Legislative Train, The Digital Omnibus Regulation Proposal (mise à jour du 1er août 2026, en anglais)
Rédigé par Adrien Bano, fondateur d’IA en Règle. Nous ne sommes pas avocats : cet article a été préparé avec l’aide d’outils d’IA et vérifié sur les textes officiels cités.
Cet article a un but d’information générale, établi d’après les textes en vigueur au 17 septembre 2026 ; il ne constitue pas un conseil juridique.
