Tout traitement de données personnelles par un système d'IA doit reposer sur une base légale au sens de l'article 6 du RGPD. Cette obligation est antérieure à l'AI Act mais reste cumulative — l'IA n'exempte de rien.

Six bases légales possibles :

• (a) Consentement de la personne — libre, éclairé, spécifique, univoque, retirable
• (b) Exécution d'un contrat auquel la personne est partie
• (c) Obligation légale du responsable de traitement
• (d) Sauvegarde des intérêts vitaux de la personne (cas rares)
• (e) Mission d'intérêt public (acteurs publics principalement)
• (f) Intérêt légitime du responsable ou d'un tiers (sauf si les intérêts/droits/libertés de la personne prévalent)

Pour les usages d'IA en entreprise, deux bases dominent en pratique :

L'exécution du contrat de travail (article 6(b)). Pour traiter les données des salariés via un outil RH IA, l'employeur peut s'appuyer sur l'exécution du contrat de travail. Mais attention : la jurisprudence CNIL et CEPD est restrictive — la base contractuelle ne couvre que les traitements strictement nécessaires à l'exécution du contrat. Un tri automatisé de CV pour une fonction donnée peut s'y appuyer ; un système de surveillance comportementale continue, non.

L'intérêt légitime (article 6(f)). Base souvent invoquée pour les outils d'aide à la productivité, l'analyse de données clients, le marketing personnalisé. Suppose un test de mise en balance tracé entre l'intérêt légitime et les droits/libertés des personnes. Pour les usages d'IA susceptibles d'avoir un impact significatif sur les personnes, l'intérêt légitime est de plus en plus fragile.

Le consentement (article 6(a)) reste rarement applicable pour les outils IA en entreprise : il n'est pas considéré comme libre dans le cadre du lien de subordination employeur/salarié (jurisprudence constante). Pour les clients et prospects, il est utilisé mais nécessite une UX claire et la possibilité réelle de refus.

Le choix de la base légale est structurant : il conditionne les droits de la personne (par exemple le droit à l'opposition n'existe pas pour le consentement, qui se retire ; il existe pour l'intérêt légitime). Le DPO doit valider ce choix lors de la conception du traitement.

L'article 9 du RGPD énumère des catégories de données sensibles dont le traitement est interdit par principe, sauf exceptions limitatives :

• Origine raciale ou ethnique
• Opinions politiques
• Convictions religieuses ou philosophiques
• Appartenance syndicale
• Données génétiques, biométriques (pour identification), de santé
• Données relatives à la vie sexuelle ou à l'orientation sexuelle

Les exceptions principales : consentement explicite, obligation légale, intérêt vital, organisation à but non lucratif (membres seulement), données rendues publiques par la personne, exercice d'un droit en justice, intérêt public substantiel, médecine du travail / soins, santé publique, recherche scientifique.

Pour les usages d'IA en entreprise, plusieurs pièges apparaissent :

Piège 1 — données sensibles déduites. Un système d'IA peut déduire des données sensibles à partir d'autres données. Exemple classique : un système de scoring de CV qui à partir du nom, prénom, lieu de naissance, photo, université, peut déduire l'origine ethnique présumée. Cette déduction est elle-même un traitement de données sensibles soumis à l'article 9. La déduction n'exempte pas de l'interdiction.

Piège 2 — données collectées dans les prompts. Si un collaborateur RH copie dans ChatGPT le CV d'un candidat avec sa photo, son nom à consonance étrangère, mention de l'engagement syndical… il transmet des données sensibles vers les serveurs OpenAI sans base légale exception article 9. Manquement RGPD caractérisé.

Piège 3 — entraînement sur données sensibles. Les modèles GPAI ont été entraînés sur des corpus web qui contiennent inévitablement des données sensibles. Les fournisseurs (OpenAI, Anthropic, Google) doivent justifier cette collecte au regard du RGPD européen — c'est l'un des contentieux RGPD majeurs en cours, avec plusieurs plaintes pendantes (max schrems et NOYB notamment).

Piège 4 — biométrie « pour identification ». Un système qui reconnaît une personne à partir d'une image (reconnaissance faciale, vocale, empreinte) traite des données biométriques au sens de l'article 9. Quasi-systématiquement interdit en entreprise sauf cas très spécifiques (sécurité site sensible avec consentement explicite).

L'AI Act ajoute des restrictions complémentaires : la catégorisation biométrique permettant de déduire race, opinions politiques, syndicalisme, religion, vie sexuelle est interdite au titre de l'article 5 (cf. chapitre précédent). Cumul des deux régimes.

L'article 22 du RGPD est l'article-clé pour les usages d'IA décisionnels. Son principe : « La personne concernée a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l'affectant de manière significative de façon similaire. »

Cette disposition introduit une quasi-interdiction des décisions purement automatisées qui affectent la personne. Les exceptions sont strictes :

• Décision nécessaire à la conclusion ou exécution d'un contrat
• Décision autorisée par le droit national ou européen avec garanties
• Décision fondée sur le consentement explicite de la personne

Et même dans ces cas, des garanties supplémentaires sont obligatoires : droit à l'intervention humaine, droit d'exprimer son point de vue, droit de contester la décision.

Pour les usages IA en entreprise, deux situations méritent attention :

Recrutement automatisé. Si un système IA élimine seul des candidatures sans intervention humaine, c'est une décision purement automatisée affectant les personnes (effet juridique : non-embauche). Soumis à l'article 22. La solution : intercaler une validation humaine effective dans le processus. Un humain doit examiner les décisions avant qu'elles soient communiquées, et avoir le pouvoir réel de modifier la décision (pas une validation symbolique).

Décisions de gestion automatisées. Allocation automatique de primes, attribution automatique de promotions, surveillance de productivité menant à sanction… Tous ces usages relèvent de l'article 22 si l'humain n'intervient pas substantiellement.

La jurisprudence CJUE récente (arrêt Schufa du 7 décembre 2023, affaire C-634/21) a précisé que même une simple évaluation par scoring peut constituer une « décision » au sens de l'article 22, dès lors qu'elle influence significativement la décision finale d'un tiers — même si la décision finale est techniquement prise par un humain. Cette interprétation extensive est cruciale pour les outils de scoring crédit, assurance, recrutement.

L'AI Act renforce ces protections : article 86, droit à l'explication des décisions individuelles automatisées prises par des systèmes haut risque. La personne peut demander une explication claire et significative du rôle du système IA dans la décision la concernant.

Pour respecter l'article 22, l'organisation type qui marche : (1) le système IA produit une recommandation, (2) un humain examine la recommandation en consultant les éléments du dossier, (3) l'humain prend la décision finale avec son pouvoir réel de la modifier, (4) traçabilité de cette intervention humaine. Cette structure est compatible RGPD et compatible AI Act.

L'article 25 du RGPD impose une protection des données dès la conception (privacy by design) et par défaut (privacy by default). Concrètement, lors du choix d'un outil IA ou de son intégration dans un processus, l'entreprise doit :

• Minimiser les données collectées et traitées (principe de minimisation, article 5(1)(c))
• Limiter la durée de conservation au strict nécessaire (article 5(1)(e))
• Choisir des paramétrages par défaut qui protègent la vie privée (ex : non-entraînement du modèle par défaut, journaux activités désactivés par défaut)
• Anonymiser ou pseudonymiser dès que possible
• Documenter les choix de conception

Pour les outils d'IA générative, cela signifie privilégier :

• Versions Enterprise ou Pro avec opt-out par défaut de l'entraînement
• Hébergement en UE (ChatGPT Enterprise sur Azure EU, Claude on AWS EU, Mistral en France)
• Anonymisation des prompts en amont par data loss prevention (DLP) ou outils dédiés
• Suppression automatique de l'historique après usage
• Cloisonnement des accès par profil et besoin

L'article 32 impose ensuite des mesures techniques et organisationnelles appropriées pour garantir la sécurité du traitement. Pour les outils IA :

• Chiffrement en transit (TLS 1.3) et au repos
• Authentification forte (SSO entreprise + MFA)
• Gestion des accès selon le principe du moindre privilège
• Journalisation des accès et opérations sensibles
• Tests réguliers de sécurité (pentests, audits)
• Procédures de réaction aux incidents (article 33 — notification à la CNIL dans les 72h en cas de violation)

Les versions Enterprise des principaux outils IA documentent ces mesures via des certifications (SOC 2 Type II, ISO 27001, ISO 27018 pour les données personnelles). Vérifier ces certifications avant l'achat.

Pour les usages plus avancés (RAG sur documentation interne, fine-tuning sur données métier), s'ajoutent des considérations supplémentaires : isolement des index par client/tenant, suppression effective des données d'entraînement à la demande, contrôle des dérives potentielles du modèle.

L'Analyse d'Impact sur la Protection des Données (AIPD), en anglais Data Protection Impact Assessment (DPIA), est encadrée par l'article 35 du RGPD. Elle est obligatoire avant la mise en œuvre d'un traitement « susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques ».

La CNIL a publié une liste des traitements nécessitant une AIPD systématique :

• Traitements à grande échelle de données sensibles ou de condamnations
• Surveillance systématique à grande échelle (vidéosurveillance, surveillance Internet)
• Décisions automatisées produisant des effets juridiques
• Traitements d'évaluation ou de notation (scoring, profilage)
• Traitements innovants (IA en particulier — explicitement mentionné par la CNIL)
• Traitements concernant des données de salariés
• Traitements à grande échelle de données concernant des enfants

Pour de nombreux usages d'IA en entreprise, l'AIPD est donc obligatoire. La CNIL considère que l'IA générative, par sa nature innovante et son potentiel d'impact, nécessite presque systématiquement une AIPD pour les usages structurants.

Contenu de l'AIPD (article 35(7)) :

• Description systématique du traitement envisagé et de ses finalités
• Évaluation de la nécessité et de la proportionnalité au regard des finalités
• Évaluation des risques pour les droits et libertés des personnes
• Mesures envisagées pour faire face aux risques (techniques, organisationnelles, juridiques)

L'AIPD doit être réalisée AVANT le déploiement, sous la responsabilité du DPO. Elle est mise à jour quand le traitement évolue significativement. Elle est conservée à disposition de la CNIL en cas de contrôle. Elle est partagée avec les représentants du personnel (CSE) si elle concerne le traitement de données salariés.

L'AI Act introduit un dispositif voisin mais distinct : l'analyse d'impact sur les droits fondamentaux (FRIA — Fundamental Rights Impact Assessment), prévue à l'article 27. Elle s'impose aux déployeurs de systèmes haut risque et couvre un périmètre plus large que la seule protection des données.

En pratique, ces deux analyses (AIPD et FRIA) seront articulées ou fusionnées dans la plupart des entreprises pour les systèmes IA traitant des données personnelles. Le DPO sera le coordinateur naturel.

Le chapitre V du RGPD (articles 44 à 50) encadre strictement les transferts de données personnelles vers des pays tiers. Or les principaux fournisseurs d'IA générative (OpenAI, Anthropic, Google, Microsoft) sont américains, et leurs services impliquent par défaut un transfert vers les États-Unis.

Trois bases possibles pour un transfert légal :

1. Décision d'adéquation de la Commission européenne. Le EU-US Data Privacy Framework (DPF), adopté en juillet 2023, permet les transferts vers des entreprises américaines certifiées DPF. OpenAI, Anthropic, Google Cloud, Microsoft sont certifiés DPF. Cette base est solide mais juridiquement contestée : NOYB (Max Schrems) a déposé des plaintes, et la CJUE pourrait à terme invalider le DPF comme elle avait invalidé Privacy Shield (Schrems II, 2020). Le risque d'invalidation existe mais n'est pas imminent.

2. Clauses contractuelles types (SCC). Modèles de contrats validés par la Commission européenne. Doivent être complétés par des « mesures supplémentaires » selon la recommandation EDPB de novembre 2020 — chiffrement, pseudonymisation, audit indépendant.

3. Règles d'entreprise contraignantes (BCR). Réservé aux grands groupes internationaux qui ont obtenu validation de leur DPO et de la CNIL. Long et coûteux à mettre en place.

Pour les outils IA, en pratique :

• ChatGPT Enterprise (hébergement Azure US ou Azure EU selon options) : OpenAI certifié DPF + contrat DPA solide
• Claude Enterprise (Anthropic / AWS) : certifié DPF + DPA
• Microsoft Copilot Enterprise : multi-pays selon offre, traitement EU possible
• Mistral AI : entreprise française, données hébergées en France/UE — pas de transfert hors UE, configuration la plus sûre du point de vue RGPD
• Google Gemini Enterprise : selon abonnement, possibilité d'hébergement régionalisé EU

La solution la plus sécurisée du point de vue RGPD est de privilégier les fournisseurs européens (Mistral notamment, mais aussi des éditeurs spécialisés européens) ou les versions Enterprise hébergées en UE des fournisseurs américains. Le surcoût est modéré et la sécurité juridique nettement meilleure.

L'analyse de transfert (Transfer Impact Assessment ou TIA) est une bonne pratique de plus en plus exigée par la CNIL et les autorités européennes. Elle évalue les risques spécifiques du transfert, en tenant compte du pays de destination, des données concernées, des mesures contractuelles et techniques.

Pour les versions gratuites d'IA (ChatGPT free, Claude free, Gemini free) : transferts vers les États-Unis sans contrat DPA, conservation par défaut des prompts pour entraînement, aucune garantie contractuelle pour l'entreprise. Inadaptées pour un usage professionnel sur données personnelles ou confidentielles.