Registre des traitements et IA générative : le guide du DPO

Faut-il inscrire l'IA générative au registre des traitements ?

Dès que des données personnelles y entrent, oui. Le registre recense les traitements que l'organisme met en œuvre, et coller dans ChatGPT, Copilot ou Le Chat le courrier d'un client, l'évaluation d'un salarié ou le dossier d'un usager en est un : les données sont transmises à un fournisseur, traitées par lui et conservées un temps. La CNIL le rappelle dans ses questions-réponses sur l'IA générative : c'est l'organisme utilisateur « qui engagera sa responsabilité légale » en cas de mauvaise utilisation par son personnel.

L'article 30, paragraphe 5, exempte les entreprises et organisations de moins de 250 salariés, mais l'exemption tombe si le traitement est susceptible de comporter un risque pour les droits des personnes, s'il n'est pas occasionnel, ou s'il porte sur des données sensibles ou relatives aux condamnations. La CNIL souligne que cette dérogation est « limitée à des cas très particuliers » et conseille, dans le doute, d'inscrire le traitement. Un outil utilisé chaque jour par les équipes n'est pas occasionnel : un cabinet de dix personnes doit donc, lui aussi, le documenter.

Le registre est tenu par le responsable du traitement, ou le sous-traitant pour ce qu'il traite pour ses clients ; le DPO peut en être chargé. Sa forme est libre, papier ou électronique, pourvu qu'elle soit écrite. La CNIL propose un modèle simplifié au format tableur pour les petites structures (PME, associations, petites collectivités).

Une fiche à part, ou une ligne dans les fiches existantes ?

Le RGPD raisonne par activité de traitement, c'est-à-dire par finalité. Deux approches se défendent :

• Une fiche dédiée (« Assistance à la rédaction et à l'analyse par IA générative ») quand l'IA sert de façon transversale, à toutes les équipes, avec un même outil autorisé. C'est plus lisible et plus simple à mettre à jour quand l'offre ou le fournisseur change.
• Une mise à jour des fiches existantes (gestion des dossiers clients, gestion du personnel, relation usagers) quand l'IA n'est qu'un moyen au service d'une finalité déjà inscrite. Il faut alors ajouter le fournisseur aux destinataires, les transferts éventuels et les mesures propres à l'IA dans chacune.

En pratique, beaucoup de DPO combinent les deux : une fiche transversale pour l'outil, et un renvoi depuis les fiches métier qui l'utilisent. L'important est qu'un contrôleur retrouve, pour chaque donnée envoyée à l'IA, qui l'envoie, pourquoi et sous quelles garanties.

Que mettre dans la fiche ? Le tableau de travail

L'article 30, paragraphe 1, fixe sept rubriques pour le responsable du traitement. Voici comment les remplir pour un usage d'IA générative, avec un exemple et la pièce qui le justifie. Les exemples sont illustratifs : adaptez-les à votre offre et à vos usages.

Trois colonnes que l'article 30 n'exige pas, mais qu'un DPO a intérêt à ajouter : la base légale du traitement, l'outil et l'offre autorisés (un compte personnel n'est pas une offre autorisée), et la décision sur l'AIPD, réalisée ou écartée, avec sa justification. Sur le choix de l'offre et du contrat, voir ChatGPT et RGPD : peut-on y mettre des données clients ? et Copilot Microsoft 365 et secret professionnel.

Sur les durées, ne recopiez pas une valeur générique : elles varient selon l'offre et changent souvent. Chez OpenAI, par exemple, une conversation supprimée est programmée pour être effacée sous 30 jours, sauf obligation de sécurité ou légale, et une discussion temporaire peut être conservée jusqu'à 30 jours pour la sécurité. Datez le relevé dans la fiche.

Que disent la CNIL et ses fiches sur l'IA ?

Une précision d'abord : les fiches pratiques IA de la CNIL portent pour l'essentiel sur le développement des systèmes d'IA (constitution des bases d'entraînement, base légale, annotation, sécurité du développement). Elles éclairent un organisme qui entraîne ou affine un modèle ; elles ne sont pas écrites pour celui qui utilise un assistant du marché.

Pour l'usage, la référence est le document de questions-réponses de la CNIL sur l'utilisation d'un système d'IA générative (18 juillet 2024). Ce qu'un DPO peut en tirer pour le registre et la politique interne :

• associer le DPO et, le cas échéant, réaliser une analyse d'impact ;
• vérifier la conformité du fournisseur au RGPD et, si l'infrastructure est externe, encadrer la relation par un contrat de sous-traitance ;
• privilégier les solutions « sur site » quand des données de clients ou de collaborateurs sont en jeu ;
• définir dans une charte les usages autorisés et interdits, et former les utilisateurs ;
• avec un service grand public, ne jamais partager de données personnelles.

Pour l'analyse d'impact, la fiche IA n° 5 de la CNIL reste utile, même rédigée pour le développement : elle précise que l'utilisateur d'un système d'IA, en tant que responsable de traitement, reste tenu de réaliser sa propre AIPD lorsqu'elle est nécessaire. Le modèle de charte qui traduit ces conseils : charte d'usage de l'IA en cabinet.

Minimisation et pseudonymisation : quelles mesures inscrire ?

Trois articles se répondent. L'article 5 exige des données limitées à ce qui est nécessaire. L'article 25 (protection des données dès la conception et par défaut) demande des mesures appropriées « telles que la pseudonymisation » pour mettre en œuvre ce principe. L'article 32 cite en premier, parmi les mesures de sécurité, « la pseudonymisation et le chiffrement des données à caractère personnel ». Pour résumer un contrat ou reformuler un courrier, l'IA n'a besoin d'aucun nom : les lui envoyer quand même est difficile à justifier.

La pseudonymisation n'est une mesure que si elle est faite avant l'envoi, et si la clé reste séparée. L'article 4, point 5, exige que les informations supplémentaires permettant de réidentifier soient conservées séparément et protégées ; le CEPD ajoute que les tables de correspondance sont elles-mêmes des données personnelles, à protéger contre tout accès non autorisé (lignes directrices 01/2025, point 93). Demander à l'IA de pseudonymiser elle-même ne remplit donc pas cette condition : voir peut-on demander à une IA d'anonymiser un document ?

Dans la rubrique « mesures » de la fiche, écrivez la règle et son contrôle : « Aucun document contenant des données personnelles n'est envoyé à l'IA sans pseudonymisation préalable sur le poste et relecture par l'utilisateur ; la table de correspondance reste chiffrée sur le poste. » Rappelez aussi que des données pseudonymisées restent des données personnelles (considérant 26) : la fiche reste nécessaire, mais le risque à documenter est bien plus faible. La différence entre les techniques : pseudonymisation ou caviardage.

Faut-il une analyse d'impact (AIPD) ?

L'article 35 l'impose quand un traitement, « en particulier par le recours à de nouvelles technologies », est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. Trois cas sont toujours concernés : l'évaluation systématique et approfondie d'aspects personnels fondée sur un traitement automatisé, y compris le profilage, qui produit des effets juridiques ; le traitement à grande échelle de données sensibles ou d'infractions ; la surveillance systématique à grande échelle d'une zone accessible au public.

Hors de ces cas, la CNIL applique les neuf critères des lignes directrices européennes : un traitement qui en remplit au moins deux est présumé soumis à l'AIPD. Pour l'IA, les plus fréquents sont les données sensibles ou à caractère hautement personnel, les personnes vulnérables, le croisement de données et l'usage innovant ; dans sa fiche IA n° 5, la CNIL range les systèmes d'IA générative entraînés sur de grandes quantités de données parmi les techniques encore nouvelles. La CNIL publie aussi, depuis 2018, une liste de quatorze types de traitements pour lesquels l'AIPD est obligatoire.

Ces orientations ne remplacent pas l'analyse au cas par cas. Si l'AIPD est menée, l'article 35, paragraphe 7, en fixe le contenu minimal : description du traitement et de ses finalités, évaluation de la nécessité et de la proportionnalité, évaluation des risques, mesures envisagées. La pseudonymisation préalable figure alors parmi les mesures, et le journal qui la prouve parmi les mécanismes de démonstration. Pour les secteurs concernés : RH, santé, secteur public.

Quelle trace garder de l'usage de l'IA ?

Le registre décrit ce qui est prévu ; encore faut-il pouvoir montrer que c'est appliqué. Les pièces que le DPO rassemble, en plus de la fiche :

• Le contrat avec le fournisseur (DPA, article 28), avec la liste des sous-traitants ultérieurs et les garanties de transfert.
• La configuration de l'offre : comptes professionnels, entraînement désactivé, durée de conservation, date du relevé.
• La charte d'usage et la preuve de la formation des équipes (l'article 39 confie au DPO la sensibilisation et la formation du personnel).
• La trace de la pseudonymisation : ce qui a été retiré, quand, par qui, et ce qui est parti. C'est là qu'un outil local peut aider, à condition que sa trace ne contienne elle-même aucune donnée.

Pour les directions juridiques et les DPO : logiciel d'anonymisation pour juristes d'entreprise et DPO.

Que contient le journal d'audit d'AnonymFiles ?

AnonymFiles tient trois traces distinctes, toutes sur l'ordinateur. Ce qu'elles contiennent exactement :

Le journal d'audit est chiffré entrée par entrée, en ajout seul, et chaque entrée est liée à la précédente par son empreinte SHA-256. L'écran Journal d'audit vérifie cette chaîne (« Journal intègre : N entrées ») et l'exporte en CSV, aux colonnes en français, ou en JSON, pour l'annexer à une AIPD ou le présenter lors d'un contrôle.

Ses limites, à écrire aussi dans votre documentation :

• il prouve qu'une pseudonymisation a été faite et validée, pas qu'elle était suffisante : la qualité dépend de la relecture ;
• la suppression des dernières entrées n'est visible qu'en comparant deux exports successifs du journal : exportez-le régulièrement ;
• il ne voit que ce qui passe par l'application : un collaborateur qui colle un document directement dans un chatbot n'y laisse aucune trace. C'est la charte et la formation qui couvrent ce cas.

Pour le fonctionnement réseau de l'application (sans compte, sans télémétrie, licence vérifiée hors ligne) : sécurité. Pour le prix par poste : tarifs.