Conformité RGPD et automatisations IA : le guide complet

Une automatisation IA qui traite des données personnelles est soumise au RGPD, quel que soit l'outil utilisé. Pour être conforme, il faut une base légale et une finalité pour chaque traitement, encadrer les sous-traitants, limiter les données envoyées à l'IA, garder un humain pour les décisions importantes et réaliser une analyse d'impact (AIPD) quand le risque est élevé. La checklist en 8 points de ce guide permet de vérifier chaque étape avant la mise en production.

Connecter un CRM à un outil d'IA pour qualifier des demandes, résumer des échanges clients ou trier des candidatures : ces automatisations font gagner un temps précieux. Elles manipulent aussi, presque toujours, des données personnelles. Et c'est souvent après coup que les entreprises réalisent que l'outil a été branché avant que la question de la conformité ne soit posée.

Chez idéveloppement, ce sont des questions que nous posons dès le cadrage d'un projet d'automatisation, parce qu'il est bien plus simple de les traiter en amont qu'une fois le système en production.

Pourquoi les automatisations IA sont-elles concernées par le RGPD ?

Le RGPD s'applique dès qu'une donnée personnelle est traitée, quel que soit l'outil utilisé. C'est le cas dans un CRM sur mesure, un ERP sur mesure ou un espace client, mais aussi dans un modèle d'IA prédictive entraîné sur des historiques de commandes clients. Votre entreprise, en tant que responsable de traitement, répond de l'usage des données.

Ce que l'automatisation change, c'est la visibilité. Un scénario Make ou n8n copie des données d'un outil à l'autre, un appel d'API les envoie vers un modèle d'IA hébergé ailleurs, un journal d'exécution en conserve une trace que personne ne surveille. En quelques clics, une donnée client peut transiter par quatre ou cinq prestataires sans que personne n'en ait dressé la carte.

Quels sont les enjeux légaux d'une automatisation de données personnelles ?

Une base légale et une finalité pour chaque traitement

Chaque automatisation correspond à un traitement qui doit reposer sur une base légale et poursuivre une finalité précise. Le principe de minimisation s'applique ensuite : l'outil ne reçoit que les données strictement nécessaires.

L'intérêt légitime est souvent mobilisé en IA, car recueillir un consentement est parfois impossible en pratique. Il n'est toutefois pas un passe-droit : la CNIL détaille dans ses recommandations les conditions à réunir et les garanties à prévoir.

Sous-traitants et transferts hors Union européenne

Un outil d'automatisation ou une API d'IA qui traite vos données agit en général comme sous-traitant. Cela suppose un contrat conforme à l'article 28 du RGPD, une vérification du lieu d'hébergement et, si les données quittent l'Union européenne, un mécanisme de transfert valide. Un point est souvent négligé : certains fournisseurs réutilisent les données reçues pour entraîner leurs propres modèles. Vérifiez cette clause, et désactivez l'option lorsqu'elle existe.

Décisions automatisées et analyse d'impact (AIPD)

L'article 22 du RGPD encadre les décisions prises exclusivement par un traitement automatisé lorsqu'elles ont des effets juridiques ou significatifs sur une personne, comme un refus de crédit ou un tri de candidatures. Dans ces cas, une intervention humaine réelle doit rester possible. Quand le traitement présente un risque élevé pour les personnes (profilage, grande échelle, données sensibles), une AIPD doit être menée avant le déploiement.

AI Act et RGPD : deux textes qui se cumulent

L'AI Act s'ajoute au RGPD sans le remplacer. Son calendrier a récemment évolué : l'omnibus numérique sur l'IA, entré en vigueur en juillet 2026, a repoussé à décembre 2027 les obligations applicables aux systèmes à haut risque de l'annexe III. Ce report ne suspend en rien le RGPD, qui s'applique pleinement aujourd'hui. Les sanctions peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial.

Checklist de conformité RGPD avant de déployer une automatisation IA

1. Cartographiez vos automatisations qui touchent des données personnelles et inscrivez-les au registre des traitements.
2. Définissez la finalité et la base légale de chacune, par écrit.
3. Minimisez : n'envoyez à l'outil d'IA que les champs nécessaires, en pseudonymisant lorsque c'est possible.
4. Encadrez vos sous-traitants : contrat article 28, lieu d'hébergement, règles de transfert, absence de réutilisation des données pour l'entraînement.
5. Informez les personnes et prévoyez l'exercice de leurs droits : vous devez pouvoir retrouver et supprimer une donnée dans tous les maillons de la chaîne.
6. Réalisez une AIPD si le traitement implique du profilage, de la grande échelle ou des données sensibles.
7. Gardez un humain dans la boucle pour toute décision à effet significatif sur une personne.
8. Sécurisez et journalisez : contrôle des accès, durées de conservation (y compris pour les logs), procédure de notification des violations de données à la CNIL sous 72 heures. Une automatisation robuste, avec gestion des erreurs et monitoring, facilite d'ailleurs ce suivi.

Par où commencer ?

Inutile de tout auditer d'un coup. Choisissez l'automatisation qui manipule le plus de données personnelles, déroulez la checklist, corrigez ce qui doit l'être, puis appliquez la même méthode aux suivantes. Chez idéveloppement, nous conseillons cette approche progressive, qui produit des résultats rapidement et évite les chantiers de mise en conformité interminables. Elle est d'autant plus efficace quand vos applications métier sur mesure intègrent ces règles dès leur conception.

Pour structurer vos échanges avec votre DPO ou votre juriste, la CNIL propose une liste de vérification issue de ses recommandations sur les systèmes d'IA.

Cet article est informatif et ne remplace pas un avis juridique adapté à votre situation.

Vous avez des automatisations en production, ou un projet en préparation, et vous souhaitez vérifier qu'elles tiennent la route côté données personnelles ? idéveloppement conçoit des automatisations et des applications métier en intégrant ces contraintes dès la conception. Parlons-en.