La CNIL a publié en 2024 puis complété en février 2025 ses recommandations sur l’IA générative et le RGPD. Le texte s’adresse aux professionnels qui déploient ces outils, avec un vocabulaire juridique qui décourage la lecture directe. Traduit en questions, il tient en cinq points qu’un dirigeant sans service informatique dédié peut poser lui-même, avant d’adopter un outil.
Sur quelle base légale l’outil traite-t-il vos données
Toute utilisation de données personnelles a besoin d’une justification légale, l’exécution d’un contrat, un intérêt légitime, ou le consentement. La CNIL demande de déterminer ce régime avant le déploiement, pas après coup. Un éditeur sérieux peut répondre à cette question en une phrase. L’absence de réponse est déjà une réponse.
Quelles données entrent réellement dans l’outil
La CNIL recommande de favoriser l’anonymisation et de limiter ce qui transite. Concrètement : un commercial qui colle une liste de clients avec leurs coordonnées dans un outil grand public fait exactement ce que la recommandation vise à éviter, que l’outil soit performant ou non.
L’éditeur empêche-t-il le modèle de recracher des données confidentielles
C’est un point technique précis de la recommandation de 2025 : « développer des solutions empêchant la divulgation de données confidentielles par le modèle ». Un modèle entraîné, y compris involontairement, sur des données envoyées par les utilisateurs peut les restituer à quelqu’un d’autre. Un éditeur sérieux a une politique écrite là-dessus, disponible sans avoir à la demander trois fois.
Une analyse d’impact est-elle nécessaire
Pour un usage à risque, traitement de données sensibles, décision automatisée qui affecte une personne, la CNIL demande une analyse d’impactLa liste écrite des données personnelles que l’entreprise traite, et pourquoi. Obligatoire, même sans DPO. formelle. Pour un usage courant, écrire ou reformuler du texte sans donnée sensible, ce n’est généralement pas nécessaire. La distinction se pose au cas par cas, pas par principe.
La protection des données a-t-elle été pensée dès le choix de l’outil
Le dernier point de la recommandation, « tenir compte de la protection des données dès les choix de conception », renverse l’ordre le plus courant : adopter un outil puis se demander s’il pose problème. La bonne séquence part de la question avant l’achat, pas après.
Ces cinq questions ne remplacent aucune règle de gouvernance interne. Elles donnent un socle minimal, directement tiré d’une source publique et neutre, pour ne pas improviser une réponse le jour où quelqu’un la pose.