IA et RGPD : où finissent vraiment vos données
Coller un compte rendu d'entretien dans une IA générative est un geste anodin en apparence. Juridiquement, c'est un traitement de données à caractère personnel, souvent assorti d'un transfert hors de l'Union européenne. Cet article décrit les obligations réellement déclenchées, et pourquoi l'exécution locale change la nature du problème.
Une requête à une IA est un traitement
Dès qu'une requête contient des données permettant d'identifier une personne, directement ou indirectement, elle constitue un traitement au sens du RGPD. Un nom de client, un numéro de dossier, un compte rendu d'entretien, un CV, un e-mail : tout cela entre dans le champ.
En conséquence, vous devez pouvoir identifier une base légale, informer les personnes concernées, inscrire le traitement dans votre registre, et garantir l'exercice de leurs droits. Ce dernier point est souvent le plus inconfortable : êtes-vous capable de répondre à une demande d'effacement portant sur ce qui a été envoyé à un service tiers l'an dernier ?
La question des transferts hors Union européenne
Le chapitre V du RGPD encadre les transferts vers des pays tiers. Utiliser une API dont les serveurs se situent hors de l'Union, ou dont l'exploitant est soumis à un droit étranger, constitue un tel transfert.
Ce terrain est instable depuis dix ans. La Cour de justice de l'Union européenne a invalidé le Safe Harbor en 2015, puis le Privacy Shield en 2020 dans l'arrêt dit Schrems II. Chaque invalidation a contraint des milliers d'organisations à revoir leurs contrats dans l'urgence. Construire une dépendance durable sur un cadre qui a déjà sauté deux fois est un pari.
L'exécution locale supprime la question. Il n'y a pas de transfert à encadrer si la donnée ne quitte pas vos locaux.
Sous-traitance et confidentialité réelle
Un fournisseur d'IA qui traite vos données pour votre compte est un sous-traitant au sens de l'article 28. Cela impose un contrat précis, une liste des sous-traitants ultérieurs, et une obligation d'information en cas de changement.
Deux points méritent une lecture attentive dans ces contrats. D'abord la durée de rétention des requêtes, souvent fixée à plusieurs semaines pour des raisons déclarées de sécurité. Ensuite l'usage des données pour l'amélioration des modèles, parfois désactivé par défaut sur les offres entreprise, parfois non.
Pour les professions soumises à un secret spécifique, avocats, professionnels de santé, secteur bancaire, le RGPD n'est d'ailleurs pas la seule contrainte. Le secret professionnel s'applique indépendamment, et il ne se délègue pas par contrat.
Quand une analyse d'impact devient nécessaire
L'article 35 impose une analyse d'impact relative à la protection des données lorsque le traitement est susceptible d'engendrer un risque élevé. Plusieurs situations fréquentes en IA déclenchent cette obligation.
- Traitement à grande échelle de données sensibles, notamment de santé.
- Évaluation ou notation systématique de personnes, y compris dans un contexte de recrutement.
- Croisement de jeux de données provenant de sources différentes.
- Usage de technologies nouvelles dont les effets sont mal documentés.
Ce que l'exécution sur site simplifie
Héberger l'IA dans vos murs ne vous exonère d'aucune obligation : vous restez responsable de traitement. Mais plusieurs sujets disparaissent purement et simplement.
Il n'y a plus de transfert hors Union européenne à justifier. Il n'y a plus de sous-traitant à auditer pour la partie inférence. La durée de rétention devient la vôtre. La réponse à une demande d'effacement redevient une opération que vous maîtrisez de bout en bout.
C'est le modèle de DIWY. Devana OS fait tourner Suite 366 et Devana entièrement sur la box, dans vos locaux. Les requêtes de vos équipes ne sortent pas du réseau, et la gestion des droits est appliquée au niveau de la plateforme.
À retenir
- Une requête contenant une donnée identifiante est un traitement, avec toutes les obligations associées.
- Le cadre des transferts vers les États-Unis a été invalidé deux fois par la CJUE. En dépendre est un risque assumé.
- Le secret professionnel s'ajoute au RGPD et ne se délègue pas par contrat.
- L'exécution sur site ne supprime pas votre responsabilité, mais elle supprime le transfert et la sous-traitance de l'inférence.
Questions fréquentes
Anonymiser les données avant de les envoyer suffit-il ?
Rarement. Une véritable anonymisation doit rendre la réidentification impossible, y compris par recoupement. Retirer les noms d'un document détaillé laisse le plus souvent assez d'éléments pour identifier les personnes. On parle alors de pseudonymisation, qui reste soumise au RGPD.
Une offre hébergée en Europe est-elle conforme ?
C'est un progrès, pas une garantie. Ce qui compte est le droit auquel est soumise l'entité qui exploite le service, pas seulement la localisation du centre de données. Une filiale européenne d'un groupe soumis à une législation extraterritoriale reste exposée.
L'AI Act remplace-t-il le RGPD ?
Non, les deux textes se cumulent. Le RGPD encadre les données personnelles, l'AI Act encadre les systèmes d'IA selon leur niveau de risque. Une même application peut relever des deux.
Faut-il quand même tenir un registre avec une IA locale ?
Oui. Vous restez responsable de traitement. L'IA locale simplifie la chaîne de sous-traitance et supprime les transferts, mais l'obligation documentaire demeure.
Votre IA, dans vos murs.
DIWY est disponible dès maintenant, livrée en 72h, préconfigurée avec vos applications.
Commander une DIWY