AIPD et intelligence artificielle : quand est-elle obligatoire ?

Un chatbot RH s'apprête à être déployé chez vous. Le mot AIPD revient dans vos échanges avec le DPO, sans que personne tranche. Voici comment évaluer l'obligation d'AIPD pour vos projets d'intelligence artificielle, grille CNIL à l'appui.

Non, l'AIPD n'est pas obligatoire du simple fait d'utiliser l'IA. Elle l'est dans un cas précis : votre traitement de données personnelles remplit au moins deux des neuf critères du Comité européen de la protection des données (CEPD), ou figure sur la liste établie par la CNIL. Le profilage et la décision automatisée en font quasiment toujours partie. Un chatbot RH ou un scoring de candidatures franchit donc souvent ce seuil, sans que l'IA elle-même soit la vraie raison.

La grille des 9 critères CEPD, et le seuil de 2

L'article 35 du RGPD impose une analyse d'impact relative à la protection des données (AIPD) quand un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques (cnil.fr). Les lignes directrices du CEPD (WP248 rev.01) posent neuf critères pour objectiver ce risque. Dès que votre traitement en remplit au moins deux, l'AIPD est présumée nécessaire. Deux suffisent.

Parmi ces critères : l'évaluation ou le scoring de personnes, la prise de décision automatisée avec effet juridique, la surveillance systématique. S'y ajoutent le traitement de données sensibles, un traitement à grande échelle, le croisement de données, ou l'usage de technologies dites innovantes. Sur ce dernier point, une nuance compte. Les techniques d'IA validées depuis plusieurs années, comme la régression ou les forêts aléatoires à risques connus, n'en relèvent pas. L'apprentissage profond et les modèles génératifs, dont les risques restent mal maîtrisés, en relèvent (cnil.fr). L'entraînement d'un modèle de langage sur un grand volume de données personnelles collectées par moissonnage peut lui aussi, selon la CNIL, être qualifié de traitement à grande échelle (cnil.fr).

Les traitements toujours soumis à l'AIPD

La CNIL a publié le 11 octobre 2018 une liste de 14 types d'opérations pour lesquelles l'AIPD est obligatoire, et une liste symétrique où elle ne l'est pas (cnil.fr). Tout traitement impliquant un profilage ou une décision automatisée y figure comme toujours soumis, quel que soit le nombre de critères CEPD remplis. C'est le cas concret le plus fréquent en entreprise : un algorithme qui trie des CV, priorise des leads ou score un risque de fraude.

Un chatbot ou un système d'IA à usage général déclenche-t-il l'AIPD ?

Pas automatiquement. Un chatbot interne qui répond à des questions RH génériques, sans traiter de données identifiantes, ne franchit pas nécessairement le seuil. La question change dès qu'il accède à des dossiers salariés ou influence une décision. Accepter une demande de congé, orienter une candidature : ce sont déjà des effets concrets. La CNIL considère que développer un modèle de fondation ou un système d'IA à usage général nécessite, dans la majorité des cas, une AIPD. Cela vaut dès lors qu'un traitement de données personnelles est impliqué, même hors classification « haut risque » de l'AI Act (cnil.fr). Chaque cas se juge sur son usage réel, pas sur l'étiquette « IA ».

AIPD et AI Act : une articulation encore en travaux

Pour les systèmes à haut risque au sens du règlement européen sur l'IA, la CNIL présume l'AIPD nécessaire dès lors que leur développement ou déploiement implique un traitement de données personnelles (cnil.fr). L'articulation précise entre la documentation technique exigée par l'AI Act et l'AIPD RGPD fait toutefois l'objet de travaux européens en cours. Elle n'est pas encore une méthodologie stabilisée. Le CEPD a lancé le 16 avril 2026 une consultation publique sur un modèle harmonisé d'AIPD (cnil.fr). C'est une consultation, pas un texte adopté.

Ce que l'AIPD n'est pas

Le registre des traitements liste tous vos traitements de données. L'AIPD, elle, analyse en profondeur le risque d'un traitement précis. Ce sont deux documents distincts, et l'un ne dispense pas de l'autre. L'AIPD doit être réalisée avant la mise en œuvre du traitement, puis actualisée à mesure que ses caractéristiques évoluent (cnil.fr). Ce n'est pas un document qu'on rédige une fois pour toutes. L'AIPD ne se confond pas non plus avec la désignation d'un délégué à la protection des données : les cas où un DPO est obligatoire obéissent à des critères distincts.

Questions fréquentes

Qu'est-ce qu'une AIPD et pourquoi est-elle obligatoire ?

C'est une analyse exigée par l'article 35 du RGPD pour tout traitement susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. Elle documente le traitement, évalue sa nécessité et ses risques, et liste les mesures pour les réduire.

Quand une IA nécessite-t-elle une AIPD ?

Dès que le traitement remplit au moins deux des neuf critères CEPD, ou figure sur la liste CNIL des traitements toujours soumis. Le profilage et la décision automatisée en font partie. Les modèles génératifs relèvent en général du critère « usage innovant ».

Qui doit réaliser l'AIPD : l'éditeur de l'IA ou l'entreprise qui l'utilise ?

L'entreprise qui déploie l'IA porte l'obligation d'AIPD sur l'usage qu'elle en fait, même si l'éditeur documente son modèle de son côté. La répartition précise des rôles entre éditeur et entreprise dépend de chaque situation : un article dédié de ce blog détaille qui est responsable du traitement face à un fournisseur d'IA.

Un chatbot IA en entreprise nécessite-t-il une AIPD ?

Pas systématiquement. Un chatbot purement informatif, sans données identifiantes, ne franchit pas toujours le seuil. Un chatbot qui accède à des dossiers individuels ou influence une décision RH, si.

AIPD et AI Act : faut-il faire les deux ?

Les deux obligations coexistent et peuvent parfois réutiliser une partie de la documentation. Leur articulation précise reste en travaux au niveau européen. Mieux vaut aujourd'hui les traiter comme deux démarches distinctes.

C'est une question qui revient régulièrement dans nos échanges avec des dirigeants qui déploient de l'IA. Mieux vaut la trancher avec la grille officielle qu'avec une intuition. L'AIPD n'est d'ailleurs qu'une étape dans le parcours complet de mise en conformité RGPD d'un projet IA. Pour la checklist RGPD complète qui va au-delà de la seule AIPD, direction notre checklist RGPD IA pour les dirigeants. Si le déploiement concerne un outil précis, notre article sur les certifications de conformité Claude détaille ce que l'éditeur documente de son côté. Claude peut aussi être mobilisé pour suivre ces évolutions réglementaires au fil de l'eau, comme le montre notre cas d'usage sur la veille réglementaire. Si l'AIPD reste un point précis à débloquer sur un projet déjà en cours, une session ponctuelle d'Assistance suffit souvent à trancher. Réservez un premier échange pour poser votre cas concret.