IA générative et CNIL : ce que les entreprises doivent faire en France

Dans beaucoup d'entreprises françaises, ChatGPT, Copilot ou Gemini se sont installés sans annonce officielle. Un commercial reformule une proposition, une juriste résume un contrat, un recruteur trie des CV. Le gain de temps est réel. Reste une question : que dit la CNIL quand ces outils reçoivent des données personnelles ?

La CNIL a déjà beaucoup écrit sur le sujet, et une partie de ses recommandations vise directement les organismes qui utilisent ces outils au quotidien. Voici ce qu'elle attend, et comment le traduire en actions concrètes.

Ce que la CNIL a publié sur l'IA

La CNIL a présenté un plan d'action sur l'intelligence artificielle en 2023, puis publié une série de fiches pratiques sur le développement des systèmes d'IA. En juillet 2025, elle a finalisé ces travaux avec de nouvelles recommandations, deux fiches supplémentaires (annotation des données et sécurité du développement) et une liste de points à vérifier.

Pour les entreprises qui se contentent d'utiliser l'IA, le texte le plus utile date du 18 juillet 2024. Ce jour-là, la CNIL a publié ses questions-réponses sur l'utilisation d'un système d'IA générative, ainsi que ses premières précisions sur le déploiement. Ils répondent à la question des DSI et des DPO : peut-on laisser les salariés utiliser ChatGPT, et à quelles conditions ?

Partir d'un besoin, pas d'un outil

Le premier conseil de la CNIL est simple : partir d'un besoin concret. Déployer un assistant IA « pour voir » n'est pas une démarche conforme. Il faut identifier les cas d'usage, mesurer les risques de chacun et choisir l'outil en conséquence.

Ce point rejoint le principe de finalité du RGPD. Une entreprise doit savoir pourquoi elle traite des données. Si un service RH veut utiliser l'IA pour rédiger des offres d'emploi, c'est un usage. S'il veut l'utiliser pour classer des candidats, c'en est un autre, beaucoup plus sensible, qui appelle une analyse spécifique.

Les salariés et les données personnelles

Sur l'usage par les salariés, la CNIL est claire. L'organisme reste en principe responsable des mauvais usages de ses équipes. Elle recommande donc de définir noir sur blanc les usages autorisés et interdits. Parmi les exemples cités : ne pas saisir de données personnelles dans l'outil et ne pas lui confier de décisions.

Elle va plus loin pour les services grand public. Les données personnelles, les données de l'entreprise et surtout celles couvertes par un secret ne devraient pas y être saisies. Elle conseille aussi d'accéder à ces services avec des adresses professionnelles dédiées, et non avec des comptes personnels.

• Ne saisir que les informations que l'on est autorisé à partager.

• Proposer des modèles de prompts validés pour éviter les données sensibles.

• Désactiver la réutilisation des données par le fournisseur et, si possible, l'historique.

• Relire et vérifier chaque réponse avant de la réutiliser.

Ces règles sont souvent contournées sans mauvaise intention. C'est le problème de l'IA fantôme, ces outils utilisés hors du cadre fixé par l'entreprise.

Choisir l'outil et le mode de déploiement

La CNIL invite à examiner la sécurité et la robustesse des solutions, et à demander leur documentation. Pour les données personnelles ou sensibles, elle privilégie les systèmes déployés en local. Si l'outil est hébergé dans le cloud, il faut un contrat de sous-traitance conforme à l'article 28 du RGPD et un encadrement des transferts hors de l'Union européenne.

Point souvent oublié : une entreprise qui connecte l'IA à sa propre base documentaire (RAG) ou qui l'affine avec des données personnelles devient responsable de ce traitement. Pour la partie sécurité, la CNIL renvoie aux recommandations de l'ANSSI sur les systèmes d'IA générative.

L'AIPD : quand faut-il la faire ?

L'analyse d'impact relative à la protection des données (AIPD) est obligatoire quand un traitement présente un risque élevé pour les personnes. La CNIL recommande d'associer le DPO dès le départ et de réaliser une AIPD lorsque c'est pertinent. Elle a aussi publié une fiche dédiée à l'analyse d'impact pour les systèmes d'IA.

L'AIPD s'impose rarement pour rédiger un courriel marketing. Elle devient très probable dès que l'IA touche des données de santé, des données RH, des données d'enfants ou sert à évaluer des personnes. Le règlement européen sur l'IA ajoute ses propres exigences pour les usages à haut risque. Notre checklist Règlement IA et RGPD article 32 permet de faire le point.

Gouvernance : charte, formation, contrôle

La CNIL recommande une gouvernance qui associe tôt le DPO, le RSSI, le responsable des systèmes d'information et les métiers. Trois chantiers reviennent dans ses textes :

1. Une charte ou une politique interne qui liste les usages permis et interdits, rédigée dans un langage compréhensible par tous.

2. Une formation des utilisateurs sur le fonctionnement des outils, leurs limites et les risques.

3. Des contrôles réguliers pour vérifier que les règles sont respectées.

Le troisième point est le plus difficile. Une charte et une formation ne suffisent pas à empêcher un copier-coller pressé un vendredi soir. Nous l'expliquons dans notre article sur les limites de la formation à la sécurité IA.

Passer à la pratique

Pour rendre ces recommandations opérationnelles, il faut un contrôle placé là où le risque apparaît : au moment où le salarié colle un texte ou dépose un fichier dans l'assistant IA. C'est le rôle d'une solution de DLP pour l'IA. Elle repère les données personnelles ou confidentielles avant l'envoi, puis les anonymise, prévient l'utilisateur ou bloque selon la règle choisie.

Ce contrôle produit aussi une trace. Lors d'un audit ou d'un contrôle de la CNIL, l'entreprise peut montrer que sa charte n'est pas restée sur le papier. L'anonymisation qui préserve le format permet en plus de garder des réponses utiles, sans exposer les vraies données.

À retenir

La CNIL ne demande pas d'interdire l'IA générative. Elle demande de l'utiliser avec méthode : un besoin identifié, des usages autorisés clairs, un outil choisi avec soin, une AIPD quand le risque l'exige, des salariés formés et des contrôles réels. Les entreprises qui documentent ces étapes seront prêtes le jour où la question leur sera posée.

Vous voulez voir comment ZeusLock applique ces règles directement dans le navigateur de vos équipes ? Demandez une démo.