Ressource gratuite · Kit Word + Excel

Kit RGPD du commanditaire de projet IA

La méthode pour lancer un projet IA sans faire capoter la conformité : savoir en dix minutes s’il est faisable au regard du RGPD, ce qu’il faut faire, dans quel ordre et avec qui. Les cinq questions que le DPO vous posera, les six familles de projets, le fournisseur, l’analyse d’impact, les personnes. Sans le discours de la peur.

📄 Word, 41 pages📊 Classeur Excel, 5 outils🇫🇷 À jour CNIL et CEPD 2026🆓 Gratuit

Télécharger le kitVoir les cinq questions

La scène se répète dans toutes les grandes organisations. Un directeur métier a trouvé le bon cas d’usage, l’éditeur a fait la démonstration, le budget est là. Puis quelqu’un dit « il faudra voir avec le DPO », et le projet entre dans un tunnel de trois mois dont il sort parfois réduit à un pilote de vingt personnes, parfois pas du tout. Ce n’est presque jamais parce que le RGPD l’interdit. C’est parce que personne, autour de la table, ne sait répondre aux cinq questions de base : y a-t-il des données personnelles, qui est responsable de quoi, quel est le mode de déploiement, qui sont les personnes concernées, et l’IA aide-t-elle, propose-t-elle ou décide-t-elle.

Ce kit sert à y répondre avant la première réunion avec le DPO, et à arriver avec le dossier qu’il attend plutôt qu’avec une question vague. Il traite le RGPD comme un parcours en sept arrêts qui suit le cycle du projet lui-même, pas comme un obstacle à franchir en fin de course. Il est centré sur les décisions que le commanditaire prend réellement, finalité, données, fournisseur, mode de déploiement, règles d’usage, parce que ce sont elles qui font ou défont la conformité, bien avant la rédaction d’un document juridique.

1. Le RGPD n’a pas de calendrier : il s’applique déjà à vos projets IA

Contrairement au règlement IA, le RGPD n’entre pas en application par paliers. Il s’applique à tout projet qui traite des données personnelles, et un projet IA en traite presque toujours : un assistant qui lit les courriels et les documents, un collaborateur qui colle un échange client dans un prompt, un chatbot qui répond à des usagers, un outil qui classe des candidatures. Ce qui a changé en 2025 et 2026, c’est que les autorités ont précisé la doctrine, et que le commanditaire dispose désormais de références à opposer à ceux qui lui disent que « tout est interdit » comme à ceux qui lui disent que « rien ne s’applique ».

Date	Texte ou position	Ce que cela change pour un commanditaire
Juillet 2024	CNIL, questions-réponses sur l’utilisation d’un système d’IA générative	Comment choisir un outil, quel mode de déploiement privilégier, quelles règles internes fixer, comment former, quand faire une analyse d’impact. Le texte de référence du déployeur.
17 décembre 2024	CEPD, avis 28/2024 sur les modèles d’IA	Un modèle entraîné sur des données personnelles n’est pas anonyme par défaut ; un déployeur doit vérifier que le modèle qu’il utilise n’a pas été développé illicitement.
7 février 2025	CNIL, treize fiches pratiques sur le développement des systèmes d’IA, complétées	Ce que vous pouvez exiger d’un fournisseur, et ce qui s’applique à vous si vous entraînez ou affinez un modèle avec vos données.
3 avril 2026	CNIL, contrôles prioritaires 2026	Le recrutement, outils de tri automatisé compris, est la première thématique, en préparation du rôle de la CNIL au titre du règlement IA ; la CNIL se dote aussi d’outils techniques (projet PANAME avec l’ANSSI et l’Inria) pour vérifier ce que les modèles font des données.
8 juillet 2026	CEPD, lignes directrices 02/2026 (anonymisation) et 03/2026 (moissonnage pour l’IA générative), consultation jusqu’au 30 octobre 2026	Un standard d’anonymat exigeant : le risque de réidentification doit être « négligeable ». Les données pseudonymisées restent personnelles.
Juillet 2026	CNIL et CIANum, note sur l’IA agentique	Un agent qui agit et mémorise crée des traitements nouveaux : compartimenter la mémoire, isoler l’exécution, prévoir un arrêt d’urgence, garder une validation humaine.
Fin 2026 (attendu)	Commission européenne et CEPD, lignes directrices sur l’articulation RGPD et règlement IA	Comment combiner l’analyse d’impact RGPD et l’analyse d’impact sur les droits fondamentaux dans un seul document.

Le kit détaille qui est responsable de quoi (l’organisation, le commanditaire, le DPO, le juridique, le RSSI, le fournisseur, les représentants du personnel), ce qui n’a pas bougé, qui contrôle et quelles sanctions, et ce qui continue de s’appliquer à côté du RGPD : le règlement IA, le droit du travail, le secret des affaires, la sécurité, le droit sectoriel.

2. Les cinq questions qui situent votre projet en dix minutes

Ce sont les questions que le DPO vous posera. Y répondre d’abord, même sommairement, détermine tout ce qui suit : la famille du projet, ce qu’il faut obtenir du fournisseur, si une analyse d’impact est due, et ce que vous devez aux personnes. L’onglet « Qualificateur » du classeur Excel les pose sous forme de listes déroulantes et calcule le résultat.

Question	La réponse la plus fréquente	Ce qui en découle
1. Le projet traite-t-il des données personnelles ?	Oui. Un nom dans un courriel, une signature au bas d’un contrat, une voix dans une réunion suffisent. Des données pseudonymisées restent personnelles ; l’anonymat se démontre, au standard du CEPD.	Le RGPD s’applique ; une ligne au registre.
2. Qui est responsable, qui est sous-traitant ?	Vous êtes responsable du traitement ; le fournisseur est sous-traitant pour le service, et responsable pour lui-même s’il réutilise vos données pour ses modèles : c’est ce qu’il faut exclure.	Contrat article 28, option d’entraînement désactivée.
3. Quel mode de déploiement ?	SaaS d’entreprise dans le cas général ; API, sur site, RAG, affinage, agent selon le projet ; compte personnel grand public à proscrire pour toute donnée de l’organisation.	Le niveau de sécurité, les transferts, la rétention.
4. Qui sont les personnes, quelles données ?	Salariés et clients le plus souvent ; vigilance sur les données sensibles (article 9), les mineurs et les personnes vulnérables.	Information, droits, et parfois exclusion pure et simple de l’outil.
5. L’IA aide, propose ou décide ?	Elle aide dans la plupart des cas. Dès qu’elle propose un score ou une recommandation que personne ne contredit, elle décide au sens de l’article 22 (arrêt SCHUFA de la Cour de justice, 7 décembre 2023).	Intervention humaine réelle, explication, contestation, analyse d’impact obligatoire.

3. Les six familles de projets IA et leur niveau d’exigence

Tous les projets IA ne demandent pas le même effort. Le kit les classe en six familles selon ce que l’outil fait des données et ce qu’il fait aux personnes, avec pour chacune la base légale typique, le verdict sur l’analyse d’impact, les points de vigilance et les sources de référence. Un projet qui combine deux familles relève du niveau le plus élevé, et un pilote relève de la même famille qu’un déploiement : le RGPD ne connaît pas la phase pilote.

Famille	Exemples	Niveau	Le sujet qui compte
A. Assistant généraliste d’entreprise	Microsoft 365 Copilot, ChatGPT Enterprise, Claude, Gemini, Mistral	Standard	Le contrat et les paramètres du fournisseur, les règles d’usage, l’information des salariés et la consultation du CSE.
B. RAG sur documents internes	Assistant RH ou support qui répond à partir des procédures et des tickets	Standard à élevé	La revue des droits d’accès et du sur-partage avant l’ouverture : l’assistant rend trouvable tout ce qui est accessible.
C. Entraînement ou affinage sur vos données	Modèle spécialisé sur vos échanges clients, vos dossiers	Élevé	Les treize fiches CNIL sur le développement s’appliquent à vous ; beaucoup de projets d’affinage deviennent des projets de RAG.
D. Agent qui agit	Agent qui lit la messagerie, remplit le CRM, déclenche des commandes	Élevé	Un traitement par action et par mémoire : six exigences de cadrage issues de la note CNIL/CIANum de juillet 2026.
E. IA de décision sur des personnes	Tri de candidatures, scoring, tarification, priorisation de dossiers	Très élevé	L’article 22, l’analyse d’impact, et le haut risque du règlement IA à partir du 2 décembre 2027.
F. Solution métier embarquant de l’IA	Fonction d’IA activée dans le SIRH, le CRM, la visioconférence	Variable	Une fonction d’IA n’est pas une mise à jour, c’est un projet : fiche projet et mise à jour du registre.

4. Le fournisseur : douze questions, les clauses à obtenir, et le cas Copilot

Dans la quasi-totalité des projets, vous n’entraînez rien : vous achetez un service, et le fournisseur devient la clé de voûte de votre conformité. Le kit en fait une méthode : qualifier le fournisseur (sous-traitant pour le service, responsable pour ses propres finalités, fournisseur du modèle au sens du règlement IA), poser les douze questions de diligence qu’un déployeur doit avoir vérifiées avant de signer (réutilisation pour l’entraînement, localisation, conservation des prompts et des journaux, accès en clair, filtres de contenu, licéité de l’entraînement du modèle, régurgitation, assistance aux droits, notification des violations, certifications, documentation du règlement IA, fin de contrat), et obtenir les clauses qui ne figurent pas dans l’accord standard. Il fait aussi le point sur les transferts vers les États-Unis après l’arrêt Latombe du 3 septembre 2025, et consacre un encart à Microsoft 365 Copilot à partir des analyses d’impact publiques de l’État néerlandais et de SURF : deux risques restés « orange » en 2026, et les quatre conditions d’un déploiement conforme.

5. L’analyse d’impact sans douleur

L’analyse d’impact relative à la protection des données est l’outil que les commanditaires redoutent le plus et celui qui, bien mené, leur fait gagner le plus de temps : c’est le document qui répond une fois pour toutes à la question « est-ce que ce projet est raisonnable ? ». Elle est obligatoire dès que deux des neuf critères européens sont remplis, et un assistant d’IA générative déployé à grande échelle en remplit presque toujours au moins deux : technologie nouvelle, grande échelle, salariés en situation de subordination. Plutôt que de démontrer qu’elle n’est pas due, le kit propose de la faire en version proportionnée, en cinq étapes, avec le logiciel PIA de la CNIL ou l’onglet « AIPD express » du classeur, prérempli pour un assistant SaaS, et il traduit les huit risques propres à l’IA listés par la CNIL en langage de projet, avec la mesure qui répond à chacun.

Étape	Ce qu’on fait	Ce qui en sort
1. Décrire	Finalité, personnes, données, flux, acteurs, durées, mode de déploiement	La fiche projet, développée : la moitié de l’analyse
2. Justifier	Base légale, minimisation, conservation, information, droits, contrat, transferts ; la mise en balance de l’intérêt légitime	La preuve que le projet est nécessaire et proportionné
3. Apprécier les risques	Accès illégitime, modification non désirée, disparition ; gravité et vraisemblance ; les huit risques propres à l’IA	Une carte des risques avant mesures
4. Décider des mesures	Techniques et organisationnelles, avec un responsable et une date	Le plan de mesures et les risques résiduels
5. Faire valider	Avis du DPO, consultation du CSE, décision du responsable, CNIL si un risque élevé subsiste	Un document signé, rangé dans le dossier de preuves

6. Les personnes : salariés, clients, candidats

Le RGPD est écrit du point de vue des personnes. Chaque projet doit pouvoir répondre à quatre questions qu’une personne est en droit de poser : est-ce que je sais que mes données passent dans cet outil, est-ce que je peux m’y opposer ou obtenir qu’on les corrige, est-ce qu’une machine décide quelque chose à mon sujet, et que fait-on de mes données les plus sensibles. Le kit traite les quatre, avec une attention particulière aux salariés : pas de consentement (il n’est pas libre), une information dédiée qui n’est pas la charte, la consultation du CSE avant tout déploiement, un pilote qui équipe un service entier, s’installe dans la durée ou touche les conditions de travail étant déjà un déploiement (TJ Nanterre, 14 février 2025) et seul un test réellement volontaire, limité dans le temps et le périmètre, pouvant la précéder (TJ Paris, 10 février 2026), et une règle ferme sur les journaux d’usage des assistants, qui ne sont pas un outil de surveillance. Trois modèles de mentions d’information sont fournis : la note aux salariés, le paragraphe pour la politique de confidentialité, le message d’accueil d’un chatbot.

7. Ce que contient le kit

Le document Word compte 41 pages, en huit parties et sept annexes : le mode d’emploi ; pourquoi le commanditaire est en première ligne (qui est responsable de quoi, ce qui a changé en 2025-2026, qui contrôle et quelles sanctions, ce qui s’applique à côté) ; les cinq questions ; les six familles de projets ; le fournisseur (qualification, douze questions de diligence, clauses, transferts, le cas Copilot) ; l’analyse d’impact (neuf critères, cinq étapes, huit risques propres à l’IA, lien avec le règlement IA, registre) ; les personnes (informer, salariés et dialogue social, droits, décision automatisée, données sensibles) ; les règles d’usage, la sécurité et les agents (la charte et ce qu’on ne saisit jamais, huit sujets de sécurité, six exigences pour un agent, la formation) ; le calendrier et la feuille de route (ce qui bouge d’ici 2027, les sept arrêts, les trente premiers jours, les indicateurs). Les annexes fournissent la fiche projet d’une page pour le DPO, le questionnaire fournisseur en vingt-cinq questions, trois modèles de mentions d’information, la checklist en trente points, les questions fréquentes, le glossaire et les sources datées.

Le classeur Excel reprend les outils en cinq onglets : le qualificateur de projet, qui calcule la famille, le niveau d’exigence, le verdict sur l’analyse d’impact et les documents à produire ; le registre des traitements IA prérempli avec six lignes types ; le questionnaire fournisseur noté avec son feu tricolore ; l’analyse d’impact express préremplie pour un assistant d’IA générative, avec la correspondance vers l’analyse d’impact sur les droits fondamentaux du règlement IA ; et le plan d’actions avec le récapitulatif par étape, les points en retard et le calendrier réglementaire à compte à rebours.

Le kit, partie par partie : ce que chaque partie contient et à quoi elle sert. Les modèles à remplir sont dans le document Word et le classeur Excel.

Partie 1. Pourquoi le commanditaire est en première ligne

1.1 Qui est responsable de quoi

Le RGPD connaît le responsable du traitement, l’organisation, mais c’est le commanditaire qui fixe la finalité, choisit l’outil et décide quelles données y seront versées : il crée le traitement. Le DPO (article 39) informe, conseille et contrôle ; il n’est pas responsable à votre place. Il n’a pas vocation à dire non : plus il est saisi tôt, plus il a de solutions à proposer.

1.3 Qui contrôle, et quelles sanctions

Les sanctions de l’article 83 vont jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. Pour un commanditaire, le risque le plus concret est ailleurs : l’arrêt du projet par le DPO ou le CSE faute de dossier, ou l’injonction de suspendre un outil que des milliers de collaborateurs utilisent déjà.

Partie 2. Les cinq questions à se poser avant d’ouvrir le dossier

Question 3. Quel mode de déploiement ?

Le kit compare sept modes de déploiement. Le service grand public sur compte personnel est à interdire pour toute donnée de l’organisation ; le service d’entreprise (SaaS) est le cas général ; avec une API, les règles de minimisation, de journalisation et de sécurité sont les vôtres ; le déploiement sur site ou en cloud privé est le mode recommandé par la CNIL pour les données sensibles ou confidentielles. Le RAG, l’affinage et l’agent ont chacun leurs exigences.

Partie 3. Les six familles de projets IA et leur niveau d’exigence

3.1 Famille A : l’assistant généraliste d’entreprise

La base légale usuelle est l’intérêt légitime de l’employeur, avec une mise en balance documentée. L’analyse d’impact est recommandée pour un déploiement à grande échelle, obligatoire si l’assistant lit les courriels et documents de tous. Un déploiement de cette famille sans charte, sans information et sans consultation est le cas de contentieux le plus courant.

3.2 Famille B : le RAG sur vos documents

Le modèle ne retient rien, mais l’assistant lit tout ce que l’utilisateur a le droit de lire, y compris un fichier de paie posé dans un dossier mal protégé. Après la revue des droits d’accès viennent la finalité (un assistant RH ne doit pas servir à évaluer les salariés), la minimisation de l’index, sa purge quand le document source est supprimé, et la journalisation.

3.3 Famille C : entraîner ou affiner un modèle sur vos données

Les treize fiches pratiques de la CNIL sur le développement s’appliquent à vous. L’intérêt légitime est possible pour le développement (fiche 8), à condition de passer le test en trois étapes : intérêt légitime, nécessité, mise en balance avec des garanties. Selon l’avis 28/2024 du CEPD, un modèle n’est anonyme que si le risque d’en extraire des données personnelles est négligeable, ce qui se démontre par des tests.

3.5 Famille E : l’IA qui décide, ou qui pèse sur une décision

Trois régimes se superposent : le RGPD et son article 22, le règlement IA qui classe ces usages à haut risque avec des obligations à partir du 2 décembre 2027, et le droit du travail ou le droit sectoriel. La question décisive est celle de l’intervention humaine : si la réponse est « un opérateur qui valide quarante dossiers à l’heure », l’intervention n’est pas effective et le projet relève de l’article 22.

Partie 4. Le fournisseur : le choisir, le qualifier, le contractualiser

4.3 Les clauses à obtenir

Au-delà des huit engagements de l’article 28, sept clauses se négocient : l’exclusion de toute utilisation de vos données pour entraîner, affiner ou évaluer les modèles du fournisseur ; la localisation dans l’Union, y compris pour le support et les sauvegardes ; la conservation réglable ; la transparence des filtres et des revues humaines ; une notification des violations sous 24 à 48 heures en pratique ; la documentation du modèle ; la réversibilité.

4.4 Les transferts hors Union européenne

Le cadre de protection des données UE-États-Unis adopté en juillet 2023 reste valide : le Tribunal de l’Union européenne a rejeté le 3 septembre 2025 le recours de Philippe Latombe. Les clauses contractuelles types sont la solution de repli à prévoir au contrat. La localisation en Europe ne règle pas tout : une société soumise au droit américain reste soumise au CLOUD Act quel que soit le lieu de stockage.

4.5 Le cas Microsoft 365 Copilot

SURF a conclu en 2026 que deux risques restaient « orange » : un filtre de contenu aux critères non documentés et la conservation jusqu’à dix-huit mois de données de diagnostic pseudonymisées. Copilot est déployable de façon conforme à quatre conditions : une analyse d’impact qui accepte explicitement ces risques résiduels, une revue du sur-partage dans SharePoint et OneDrive, des politiques de conservation réglées dans Purview, une charte avec information des salariés et consultation du CSE.

Partie 5. L’analyse d’impact sans douleur

5.1 Quand elle est obligatoire

La CNIL retient qu’un traitement qui remplit deux des neuf critères européens est présumé devoir faire l’objet d’une analyse : évaluation ou notation, décision automatisée, surveillance systématique, données sensibles, grande échelle, croisement de données, personnes vulnérables (dont les salariés), usage innovant, exclusion d’un droit ou d’un contrat. L’apprentissage profond et l’IA générative relèvent de l’usage innovant, à la différence de la régression ou des forêts aléatoires.

5.3 Les huit risques propres à l’IA

La fiche 5 de la CNIL énumère huit risques, que le kit traduit en langage de projet avec une mesure type : mésusage des données d’apprentissage, discrimination par les biais, contenus fictifs ou erronés, décision automatisée sans explicabilité, attaques spécifiques comme l’injection d’instructions, extraction de données confidentielles, risques éthiques systémiques, perte de contrôle des personnes sur leurs données en ligne.

Partie 6. Les personnes : salariés, clients, candidats

6.1 Informer

Trois actes, couverts par les modèles de l’annexe C : compléter la politique de confidentialité d’un paragraphe sur l’IA, informer les salariés par une note dédiée qui n’est pas la charte, et signaler qu’un interlocuteur est une IA (article 50 du règlement IA). La souplesse de la fiche 9 de la CNIL, une information générale publiée, concerne le fournisseur du modèle : pour vos clients et vos salariés, l’information doit être individuelle.

6.3 Les droits des personnes

Les droits s’exercent sur les données traitées par l’outil dans un délai d’un mois, prolongeable de deux mois : il faut savoir où sont les données d’une personne (index du RAG, conversations conservées, fichiers chargés) et comment les effacer chez le fournisseur. Pour les modèles, la fiche 10 de la CNIL demande des solutions « réalistes et proportionnées » : le réentraînement quand il est possible, à défaut des filtres de sortie.

6.4 La décision automatisée

L’article 22 admet trois exceptions (contrat, autorisation légale, consentement explicite) et impose des garanties : intervention humaine, expression du point de vue, contestation. L’intervention doit être réelle, par une personne compétente qui a le temps, l’information et le pouvoir de ne pas suivre la machine, et la logique doit être explicable : les critères, les données utilisées et le poids de l’outil dans la décision.

6.5 Les données sensibles, les mineurs, le secteur de la santé

Un assistant généraliste ne doit pas recevoir de données de l’article 9. Quand elles sont l’objet même du projet : base légale de l’article 9, analyse d’impact, hébergeur certifié pour les données de santé et, dans le soin, le guide de la HAS et de la CNIL de février 2026. Pour les mineurs, en dessous de quinze ans, le consentement est donné conjointement par le mineur et le titulaire de l’autorité parentale (article 45 de la loi Informatique et Libertés), et tout profilage est à proscrire.

Partie 7. Les règles d’usage, la sécurité et les agents

7.1 La charte et ce qu’on ne saisit jamais

Jamais dans un assistant, sauf cadre validé par le DPO et le RSSI : données de santé, d’opinions, d’appartenance syndicale ou religieuse, d’orientation sexuelle, de condamnations ; données bancaires, identifiants, mots de passe, clés ; dossiers individuels de salariés ou de candidats ; listes entières de clients ; documents classifiés, secrets de fabrication, informations sous accord de confidentialité. Dans un outil grand public sur compte personnel : aucune donnée de l’organisation.

7.2 La sécurité

Huit sujets à obtenir de la DSI et du RSSI : la revue des droits d’accès et du sur-partage, des comptes nominatifs avec authentification forte, la journalisation, une conservation au plus court, la protection contre l’injection d’instructions, le cloisonnement des agents, les garanties du fournisseur, et une procédure de violation de données, avec notification à la CNIL sous 72 heures en cas de risque (article 33).

7.3 Les agents

Six exigences de cadrage issues de la note CNIL et CIANum de juillet 2026 : une finalité et un périmètre d’action écrits par agent, un accès minimal par compte de service, une mémoire compartimentée et purgeable, un environnement isolé avec arrêt d’urgence, une validation humaine avant toute action à conséquence, une traçabilité et une évaluation indépendante avant la mise en production.

Partie 8. Le calendrier et la feuille de route

8.2 Le parcours d’un projet en sept arrêts

Cadrer (une semaine), choisir le mode et le fournisseur (deux à quatre semaines), contractualiser (deux à six semaines), analyser l’impact (deux à quatre semaines), préparer les personnes (trois à six semaines, en parallèle), déployer, faire vivre. Chaque arrêt a un livrable et un responsable ; les durées valent pour un projet de la famille A ou B, les familles C, D et E demandent plus.

8.4 Les indicateurs de pilotage

Huit indicateurs avec leur cible, dont : 100 % des projets en production dotés d’une fiche validée par le DPO, un avis du DPO en moins de 15 jours ouvrés, 100 % des AIPD réalisées avant mise en production, plus de 80 % d’utilisateurs formés, des incidents qualifiés en moins de 24 heures.

Annexes. Des modèles directement réutilisables

Annexe A. Fiche projet IA pour le DPO

Une page à remettre au DPO avant la première réunion, en neuf rubriques : ce que fait le projet, données personnelles, rôles, ce que l’IA fait aux personnes, base légale, conservation et sécurité, information et droits, analyse d’impact, calendrier, puis l’avis du DPO. C’est le document que l’on signe et que l’on range dans le dossier de preuves.

Annexe B. Questionnaire fournisseur

Vingt-cinq questions sur le contrat, la localisation, la conservation, l’accès aux données, le modèle, la sécurité et les droits. L’onglet « 3 Questionnaire fournisseur » du classeur note chaque réponse (conforme, à améliorer, bloquant) et calcule un feu tricolore ; une réponse négative à une question marquée d’un astérisque doit faire écarter le fournisseur.

8. Questions fréquentes

Le DPO bloque mon projet IA. Que faire ?

Dans neuf cas sur dix, le DPO ne bloque pas, il attend des réponses. Remplissez la fiche projet d’une page du kit, remplissez le questionnaire fournisseur, et revenez vers lui avec les deux. S’il subsiste un désaccord de droit, c’est à la direction juridique ou à la direction générale d’arbitrer sur la base de l’analyse d’impact : le DPO conseille, il ne décide pas.

Nous utilisons Copilot, ChatGPT ou Claude en version entreprise. Le fournisseur n’est-il pas responsable de la conformité ?

De la sienne, oui : la sécurité du service, la licéité de l’entraînement de ses modèles, le respect du contrat. De la vôtre, non : c’est vous qui décidez pourquoi et avec quelles données l’outil est utilisé, qui informez vos salariés et vos clients, qui répondez aux demandes de droits et qui faites l’analyse d’impact. Un outil conforme ne rend pas son usage conforme.

Un pilote de quelques semaines a-t-il besoin de tout ça ?

Il a besoin de la fiche projet, d’une information des participants et de règles d’usage claires. L’analyse d’impact peut être proportionnée, mais un pilote avec de vrais utilisateurs et de vraies données est un traitement. Côté CSE, la règle est la même que pour un déploiement : un pilote qui équipe un service entier, s’installe dans la durée ou touche les conditions de travail est déjà un déploiement et doit être précédé de la consultation (TJ Nanterre, 14 février 2025) ; seul un test réellement volontaire, limité dans le temps et le périmètre, peut la précéder (TJ Paris, 10 février 2026).

Faut-il le consentement des salariés ?

Non, et il vaut mieux ne pas le demander : du fait du lien de subordination, un consentement de salarié est présumé non libre. L’employeur s’appuie sur l’intérêt légitime ou l’exécution du contrat de travail, informe, consulte le CSE et organise le droit d’opposition.

L’analyse d’impact est-elle obligatoire pour un simple assistant de rédaction ?

Pour un déploiement à grande échelle auprès des salariés, elle est très probablement due : technologie nouvelle, grande échelle, personnes en situation de subordination, contenus de communications. Elle est courte pour un assistant bien encadré et devient le document de référence pour tous les projets suivants de la même famille.

Par quoi commencer si nous n’avons rien fait ?

Inventorier les usages réels d’IA, souvent sur des comptes personnels ; remplir une fiche projet pour les trois usages les plus répandus ; prendre rendez-vous avec le DPO avec ces trois fiches. Puis dérouler les sept arrêts du kit pour chacun, en commençant par celui qui concerne le plus de personnes.

9. Aller plus loin

Ce kit est le pendant « données » du kit IA Act du commanditaire, qui traite la littératie IA, la transparence, le haut risque et le dialogue social ; les deux se lisent ensemble, et l’analyse d’impact de ce kit est conçue pour accueillir en 2027 l’analyse d’impact sur les droits fondamentaux du règlement IA. Le modèle de charte IA fixe les règles d’usage que la partie 7 suppose, et le kit Gouvernance des systèmes d’IA fournit le registre des systèmes et agents. Les organisations qui veulent qualifier vite leurs projets en cours confient le cadrage à un atelier d’une demi-journée avec le DPO, le métier et la DSI, qui sort avec les fiches projet et les verdicts d’analyse d’impact : c’est l’objet de la mission Gouverner vos agents et de la formation IA en entreprise, dont le socle comprend les règles sur les données.

À lire aussi : Kit Sécurité et données du commanditaire de projet IA, Kit IA Act du commanditaire : la feuille de route 2026-2027, Gouvernance des systèmes d’IA : le kit 2026, Charte IA en entreprise : le modèle 2026 à télécharger et Feuille de route d’adoption de l’IA en 12 mois : le kit 2026.

Toute la série des kits gratuits. Pour piloter l’adoption : modèle de charte IA, kit Ambassadeurs IA, kit du manager face à l’IA, kit Feuille de route d’adoption, grille de maturité IA, kit Mesure et ROI de l’IA et kit Gouvernance des IA. Pour le commanditaire de projet IA : kit IA Act, kit Sécurité et données, kit IA et dialogue social, kit IA frugale, kit Souveraineté IA et kit IA responsable. Par métier : kit IA RH, kit IA marketing, kit IA finance, kit IA juristes, kit IA du commercial, kit IA du chef de projet, kit IA de l’innovateur et kit IA du communicant.

10. Sources

Les positions citées sur cette page et dans le kit s’appuient sur les sources suivantes, datées. Les textes publiés au Journal officiel de l’Union européenne font foi.

• Union européenne, Règlement (UE) 2016/679 du 27 avril 2016 (RGPD) ; règlement (UE) 2024/1689 sur l’intelligence artificielle, modifié par le règlement (UE) 2026/1744.
• CNIL, IA : comment se mettre en conformité ?, les fiches pratiques IA (complétées le 7 février 2025) et la liste de vérification de juillet 2025.
• CNIL, Les questions-réponses de la CNIL sur l’utilisation d’un système d’IA générative, 18 juillet 2024 ; L’analyse d’impact relative à la protection des données et le logiciel PIA.
• CNIL et Conseil de l’IA et du numérique, IA agentique et protection des données personnelles : équation à inconnues multiples pour les utilisateurs, juillet 2026 ; contrôles prioritaires 2026 de la CNIL, annoncés le 3 avril 2026 (analyse du 10 juin 2026 : IT Social).
• Comité européen de la protection des données, avis 28/2024 du 17 décembre 2024 sur les modèles d’IA (analyse : CMS) ; AI Privacy Risks & Mitigations: Large Language Models, avril 2025 ; lignes directrices 02/2026 sur l’anonymisation et 03/2026 sur le moissonnage, adoptées le 8 juillet 2026 (analyse : Pearl Cohen).
• IAPP, A sneak peek into upcoming guidelines on GDPR, AI Act interplay, 18 juin 2026, et European General Court dismisses Latombe challenge, septembre 2025.
• SURF, Privacy risks Microsoft 365 Copilot remain orange despite improvements, 2026 ; Microsoft, Build Your Own M365 Copilot DPIA templates.
• Cour de justice de l’Union européenne, arrêt du 7 décembre 2023, SCHUFA Holding (C-634/21) ; Y. Bouaïcha, Consultation du CSE et outils d’intelligence artificielle : ce que les juges ont décidé en 2025-2026, Village de la Justice.