Ce guide n’est pas un conseil juridique. Il décrit le cadre et renvoie aux textes et à la CNIL. Klaryx n’est pas un cabinet juridique : le choix d’une base légale, d’un transfert ou d’une analyse d’impact se tranche avec le délégué à la protection des données ou le conseil de l’entreprise.
Le RGPD s’applique dès qu’une donnée personnelle entre dans un outil d’IA, qu’un salarié la colle dans un assistant ou qu’une automatisation la traite. Il faut alors une finalité précise, une base légale, le minimum de données, un contrat avec le fournisseur et une personne qui valide toute décision importante concernant quelqu’un.
Les conditions des éditeurs nommés plus bas sont celles de leurs documentations officielles, consultées le 7 octobre 2026. Ce qui n’y figure pas n’est pas affirmé.
Quand le RGPD s’applique à l’IA
Le RGPD s’applique dès qu’une information sur une personne identifiable entre dans un outil d’IA, que quelqu’un la colle dans un assistant ou qu’une automatisation la lise pour faire avancer un processus. Le texte ne vise pas l’IA en tant que telle. Il vise le traitement de données personnelles, quel que soit l’outil.
Une donnée personnelle, selon la CNIL, est toute information se rapportant à une personne identifiée ou identifiable : un nom, une adresse, une fiche salarié, un numéro client rattaché à une personne. Des coordonnées d’entreprise génériques n’en sont pas, en principe.
La CNIL distingue développer un système et l’utiliser. Ce guide parle de l’usage : une PME ou une ETI qui s’en sert dans un processus, ou qui fait construire une automatisation. Elle décide ce que l’outil a le droit de lire.
Coller un extrait de fichier clients dans un compte personnel est déjà un traitement, et souvent un usage hors cadre. Le guide sur le shadow AI décrit comment repérer ces usages. Le présent guide dit ce qu’il faut avoir écrit avant qu’une automatisation, elle, lise ces données pour le compte de l’entreprise.
Cinq questions à se poser avant de brancher l’IA sur des données personnelles
Avant de brancher une automatisation sur des données personnelles, cinq questions suffisent à écrire le cadre : pour quoi faire, sur quelle base, avec quelles données, pendant combien de temps, et qui est informé. Si une réponse manque, on ne branche pas. On la tranche d’abord, avec le métier et, quand il le faut, le conseil.
La CNIL rappelle que la finalité, fixée en amont, détermine les données pertinentes et la durée. Le règlement (UE) 2016/679 est le texte.
La finalité : pour quoi faire, précisément ?
« Aider l’équipe » n’est pas une finalité. « Préparer un brouillon de relance à partir du montant et de la date d’échéance, sans le commentaire libre » en est une. On l’écrit en une phrase. Si elle change, le périmètre de données se réécrit.
La base légale : laquelle des six bases du RGPD ?
La CNIL rappelle les six bases du règlement : consentement, obligation légale, contrat, mission d’intérêt public, intérêts vitaux, intérêt légitime. Le choix se fait avant la mise en œuvre. On le pose avec le conseil, pas dans l’outil.
La minimisation : de quelles données l’automatisation a-t-elle vraiment besoin ?
L’automatisation ne reçoit que les champs utiles à la finalité. Un export complet « au cas où » élargit le traitement sans nécessité. On retire les noms quand un identifiant interne suffit, on écarte les commentaires libres, on pseudonymise ce qui peut l’être. La charte d’utilisation de l’IA classe déjà les données selon ce qu’un système a le droit de lire. Chaque automatisation reprend ce classement sur son propre périmètre.
La conservation : combien de temps, y compris chez le fournisseur ?
La durée couvre le processus, les journaux et ce que le fournisseur garde. Plusieurs pages citées plus bas, consultées le 7 octobre 2026, décrivent un délai de 30 jours (journaux d’abus, suppression après effacement), avec des exceptions qui peuvent aller au-delà. On retient la formulation la plus prudente, et on l’écrit dans la fiche.
L’information des personnes : clients, salariés, candidats savent-ils ?
Clients, salariés et candidats doivent pouvoir savoir que leurs données sont traitées ainsi. Pour une décision entièrement automatisée, la CNIL précise qu’ils sont informés de son existence, de sa logique et de ses conséquences. Si l’information déjà donnée ne couvre pas ce traitement, on la met à jour avant de brancher.
Le fournisseur d’IA : sous-traitant, contrat et transferts
Dès qu’un fournisseur d’IA traite des données personnelles pour le compte de l’entreprise, la CNIL invite à clarifier son rôle et à encadrer le contrat, y compris un transfert hors de l’Union européenne. Les faits d’entraînement, de résidence et de conservation ci-dessous viennent des documentations officielles, consultées le 7 octobre 2026.
Le contrat, puis ce que les éditeurs écrivent
Dans ses questions-réponses sur l’IA générative, la CNIL indique de clarifier le rôle du fournisseur et, le cas échéant, de passer un contrat de sous-traitance qui fixe responsabilités et accès. Ce contrat est celui de l’article 28. Un transfert hors de l’Union européenne s’encadre en plus. On lit le règlement (UE) 2016/679 avec le conseil. Un compte grand public, sans ce contrat, n’est pas le véhicule pour des données personnelles.
Le tableau tient les faits des pages ouvertes le 7 octobre 2026. Ce n’est pas un avis sur la licéité d’un transfert. Trois points ne tiennent pas dans une cellule.
Anthropic publie deux durées. Le Privacy Center indique une suppression des entrées et sorties d’API sous 30 jours, avec des exceptions. La doc API dit que le contenu des conversations n’est pas conservé par défaut, sauf les modèles dits Covered (Fable et Mythos), qui exigent 30 jours. On retient les deux, et le Privacy Center pour dimensionner. La résidence API n’offre pas d’inférence limitée à l’UE : global ou us, stockage d’espace de travail us. Une résidence UE pour Claude passe par Bedrock, Google Cloud ou un endpoint régional, pas par cette API. La doc Anthropic applique les 30 jours des modèles Covered (Fable et Mythos) partout où ils sont proposés, y compris sur Bedrock et Google Cloud.
ChatGPT Business : une page dédiée permet de choisir, à la souscription, la région de stockage du contenu de l’espace. Le déploiement est progressif et pas encore ouvert à tous, et la page ne liste pas les régions. Ce choix ne couvre pas l’inférence. Les journaux d’abus et une copie temporaire de chaque requête et réponse restent aux États-Unis. La page résidence réserve l’inférence en Europe à Enterprise et Edu. Le complément Office est un autre déploiement, décrit dans Claude for Microsoft 365 en entreprise.
| Offre | Entraînement par défaut | Résidence documentée | Conservation documentée |
|---|---|---|---|
| API Anthropic, Claude Enterprise | Non, sauf retour explicite | Stockage aux États-Unis (serveurs). Inférence globale ou États-Unis (option des plans Enterprise facturés à l’usage). Pas d’option UE | Sous 30 jours, avec exceptions. Covered : 30 jours |
| Claude sur Amazon Bedrock | Non | Géographie choisie, dont l’UE | Par défaut, pas de stockage des entrées et sorties. Fable 5 et 5.1 : tout le trafic jusqu’à 30 jours chez AWS, non partagé avec Anthropic. Covered : 30 jours partout où ils sont proposés |
| Claude sur Google Cloud | Non sans permission ou instruction du client, selon Google, pour tous les modèles gérés | Endpoint multi-région eu : États membres de l’UE uniquement, hors Royaume-Uni et Suisse. Les endpoints globaux ne garantissent pas la résidence |
Non trouvée pour les modèles Claude standard. Covered (Fable, Mythos) : 30 jours, dans l’environnement Google Cloud |
| Claude dans Microsoft Foundry | Non précisé sur la page d’hébergement | Sur Azure : Global ou Data Zone États-Unis (doc Anthropic). Pas de Data Zone UE | Régie par le DPA et les conditions commerciales d’Anthropic, sans délai chiffré sur la page d’hébergement |
| API OpenAI | Non depuis le 1er mars 2023, sauf opt-in | Europe (EEE et Suisse) sur projet éligible sur approbation (MAM ou ZDR), eu.api.openai.com (annonce) |
Journaux d’abus : jusqu’à 30 jours par défaut, sauf obligation légale |
| ChatGPT Enterprise et Edu | Non, sauf opt-in | Stockage Europe pour les nouveaux espaces éligibles. Inférence GPU en Europe en option ; authentification, routage et analytics peuvent rester hors région | Conversations supprimées : retrait sous 30 jours |
| ChatGPT Business | Non, sauf opt-in | Choix de la région de stockage, déploiement progressif. Pas de résidence de l’inférence. Journaux d’abus et copie temporaire aux États-Unis | Retrait sous 30 jours après suppression, avec exceptions |
| Modèles vendus par Azure | Non sans permission. Non accessibles à OpenAI | Standard : géographie choisie. DataZone UE : États membres. Global : le traitement peut sortir de la géographie, le stockage au repos y reste | Pas de délai unique de 30 jours sur la page consultée |
Décisions automatisées : l’article 22 et la validation humaine
Une décision qui produit un effet juridique ou un effet comparable sur une personne ne peut pas, en principe, reposer seulement sur un traitement automatisé. La CNIL le rappelle. En pratique, une personne examine le cas et valide avant que la décision s’applique. Les exceptions se traitent avec le conseil.
La page de la CNIL sur le profilage et la décision entièrement automatisée vise l’article 22. L’exemple qu’elle donne est un refus de crédit décidé par un algorithme seul. Des exceptions existent, avec des garanties : on ne décide pas seul qu’elles s’appliquent. Dans le processus, l’automatisation prépare. Une personne valide avant un refus, une sanction ou une sélection. Répartir le flux entre code, IA et validation humaine place cette validation au bon endroit.
Écrire le périmètre de données d’une automatisation avant de la construire
Le périmètre de données s’écrit avant de construire. Il dit ce que l’automatisation lit, ce qu’elle ne lit pas, où les données transitent, combien de temps elles restent, qui y accède et ce qui est journalisé. Sans cette fiche, le branchement se décide dans l’outil, au moment où l’on est pressé. C’est là que les données en trop passent.
Sept lignes suffisent. On les remplit avec le métier, avant le devis de construction :
- Données lues : champs, documents, boîtes, applications.
- Données exclues : ce que le flux ne doit jamais recevoir.
- Données pseudonymisées : ce qui part sans le nom, quand c’est possible.
- Transit : outils, fournisseur, pays ou géographie documentée.
- Durée : dans le processus, dans les journaux, chez le fournisseur.
- Accès : qui, et avec quel compte, distinct d’un compte personnel.
- Journal : ce qui est tracé, et qui peut le lire.
Le classement vert, orange, rouge de la charte devient ce périmètre, automatisation par automatisation. Il rejoint la gouvernance des données : qui répond de la donnée, et qui peut la lire. En mission, on applique nos principes de sécurité et de données. Ils décrivent comment on travaille. Ils ne remplacent pas les obligations de l’entreprise qui lit ce guide.
Un processus touche des données personnelles ? En 30 minutes, on regarde ce que l’automatisation doit lire, ce qu’elle peut ignorer, et où une personne valide.
Parlons de votre transformation
Faut-il une analyse d’impact (AIPD) ?
Une analyse d’impact n’est pas systématique. Selon la CNIL, elle est obligatoire quand le traitement est susceptible d’engendrer un risque élevé, par exemple s’il remplit au moins deux des neuf critères du G29 repris par le CEPD. Le doute se tranche avec le délégué à la protection des données ou le conseil.
La page ce qu’il faut savoir sur l’AIPD liste les neuf critères, parmi lesquels l’évaluation de personnes, les données sensibles, la large échelle et l’usage innovant. Le CEPD a repris ces lignes directrices (WP248). La page sur le développement ajoute qu’une AIPD s’impose même sans deux critères si des risques importants existent, et qu’elle n’est pas requise avec deux critères si l’absence de risque élevé est établie. On ne coche pas la case à la place du conseil.
RGPD et AI Act : deux textes, deux questions
Le RGPD protège les données personnelles, quel que soit l’outil. Le règlement européen sur l’IA encadre les systèmes d’intelligence artificielle selon leur niveau de risque. Les deux peuvent s’appliquer en même temps à une automatisation qui lit des données personnelles. Ce guide ne développe pas le second texte.
La CNIL, dans la même série de questions-réponses, indique que le règlement sur l’IA classe les systèmes selon le risque, de l’interdiction à des exigences de transparence. Le texte est le règlement (UE) 2024/1689. Pour la direction, les arbitrages sont dans le guide gouvernance de l’IA. La charte traduit le cadre en consignes pour les équipes, y compris des mesures pour favoriser la maîtrise de l’IA par les équipes.
Intégrer le RGPD dès la conception d’une automatisation
Intégrer le RGPD dès la conception, c’est écrire le périmètre de données dans le cahier du processus, avant le premier branchement et avant le choix de l’outil. Finalité, données lues, données exclues, fournisseur, durée et validation humaine font partie du même document. On ne les ajoute pas une fois le flux construit.
On est le partenaire de transformation IA des PME et ETI. L’automatisation est le moyen. Quand le périmètre est écrit et qu’une personne doit valider avant une décision qui concerne quelqu’un, l’étape suivante est de faire construire l’automatisation dans le respect de ce périmètre de données.
Pour aller plus loin
Le RGPD se traduit par une finalité, une base légale, le minimum de données, un contrat, une durée et une validation humaine. Les documentations d’éditeurs disent où les données peuvent aller. Elles ne disent pas si le traitement est licite : cela reste au conseil.
Le premier échange de 30 minutes sert à regarder un processus réel : ce qui est lu, ce qui doit rester dehors, et qui valide.