Pourquoi la CNIL s'est saisie de ce sujet
Depuis l'émergence des systèmes d'IA générative, de nombreux acteurs ont interrogé la CNIL sur un point précis : le RGPD s'applique-t-il au développement de l'IA et si oui, comment ? L'idée répandue selon laquelle le RGPD serait un frein à l'innovation en intelligence artificielle est, selon la CNIL, inexacte. En revanche, les bases de données d'entraînement contiennent fréquemment des données personnelles — et leur utilisation fait courir des risques aux personnes concernées.
En mai 2023, la CNIL a publié son plan d'action sur l'IA et engagé un travail de clarification du cadre juridique. Quatre séries de recommandations ont depuis été publiées, chacune traitant d'un aspect spécifique du cycle de vie des systèmes d'IA.
📌 Pour démarrer : la CNIL propose une page de synthèse "IA : les grands principes pour se mettre en conformité" qui constitue un point d'entrée utile avant de plonger dans les recommandations détaillées.
Premier principe : le RGPD s'applique dans la plupart des cas
La question de départ est simple : un modèle d'IA entraîné sur des données personnelles est-il soumis au RGPD ? La réponse de la CNIL, confirmée par l'avis 28/2024 du Comité européen de la protection des données (CEPD), est claire : dans la plupart des cas, oui. Les modèles d'IA ont en effet des capacités de mémorisation qui peuvent conduire à une divulgation des données d'entraînement.
Pour déterminer si un modèle est ou non soumis au RGPD, la CNIL recommande de réaliser une analyse du statut du modèle : tester s'il est possible d'en extraire des données personnelles par des moyens raisonnablement susceptibles d'être utilisés (notamment des tests d'attaques en réidentification). Cette analyse est formalisée dans la quatrième recommandation (délibération 2025-047).
💡 À retenir : un modèle d'IA ne peut être considéré comme anonyme — et donc exempté du RGPD — que si une analyse démontre qu'il est impossible d'en extraire des données personnelles par des moyens raisonnables. Cette analyse doit être documentée.
Définir la finalité et choisir la base légale
Comme pour tout traitement de données personnelles, le développement d'un système d'IA doit reposer sur une finalité déterminée, explicite et légitime. C'est cette finalité qui conditionne les données que l'on peut utiliser pour l'entraînement et celles que l'on doit écarter. La CNIL insiste sur ce point : la finalité doit être définie dès la conception du projet et non ajustée a posteriori.
Le choix de la base légale est l'étape suivante. La CNIL précise dans sa troisième recommandation que le développement d'un système d'IA ne nécessite pas systématiquement le consentement des personnes concernées. L'intérêt légitime peut constituer une base légale valide, sous réserve qu'une mise en balance rigoureuse soit réalisée entre les intérêts du responsable de traitement et les droits des personnes. Le consentement reste en revanche obligatoire dans certains cas, notamment lorsque les données traitées sont sensibles.
CNIL · Recommandations sur le développement des systèmes d'IA, 2024-2025
Définir les finalités et choisir une base légale adaptée constitue le socle de toute démarche de conformité RGPD dans un projet d'IA. C'est l'étape-clé pour garantir un traitement respectueux des personnes et juridiquement sécurisé.
Informer les personnes et garantir l'exercice de leurs droits
La deuxième recommandation de la CNIL porte sur la transparence. Les personnes dont les données ont été utilisées pour entraîner un modèle d'IA doivent en être informées — et les modalités d'information doivent être adaptées à la complexité technique des systèmes. La CNIL recommande de détailler, par exemple au moyen de schémas, la manière dont les données sont utilisées lors de l'apprentissage, le fonctionnement du système et la distinction entre base d'entraînement, modèle et sorties du modèle.
L'exercice des droits — accès, rectification, opposition, effacement — doit également être effectif. La CNIL a publié en décembre 2025 un outil spécifique pour la traçabilité des modèles d'IA en source ouverte, afin de faciliter l'exercice du droit d'opposition et du droit à l'effacement pour les personnes concernées.
Annoter les données avec rigueur
L'annotation des données d'entraînement est une étape souvent sous-estimée dans les projets d'IA. La CNIL lui consacre une fiche pratique spécifique dans sa quatrième recommandation. Cette phase est déterminante pour la qualité du modèle entraîné mais aussi pour la protection des droits des personnes : les annotateurs accèdent à des données parfois sensibles et des mesures spécifiques doivent encadrer leurs conditions d'intervention (habilitations, confidentialité, durée de conservation des données annotées).
Sécuriser les modèles dès la conception
La sécurité des systèmes d'IA est, selon la CNIL, un sujet trop souvent négligé par leurs concepteurs. La troisième et la quatrième recommandation traitent toutes deux de cette dimension. Les risques spécifiques à l'IA — extraction de données d'entraînement, manipulation des sorties, attaques adversariales — doivent être identifiés et traités dans le cadre du système de gestion de la sécurité, en complément des mesures classiques de sécurité informatique.
La CNIL a lancé à cet effet le projet partenarial PANAME (Privacy Auditing of AI Models) avec l'ANSSI, dont l'objectif est de développer une bibliothèque logicielle permettant d'évaluer si un modèle traite des données personnelles. Cet outil a vocation à fournir des solutions concrètes aux développeurs et utilisateurs d'IA.
RGPD et RIA : deux textes complémentaires
Les recommandations de la CNIL ont été élaborées en tenant compte du règlement européen sur l'intelligence artificielle (RIA / IA Act — règlement UE 2024/1689). La CNIL est explicite sur ce point : lorsque des données personnelles sont utilisées pour le développement d'un système d'IA, le RGPD et le RIA s'appliquent simultanément. Les recommandations de la CNIL ont donc été conçues pour compléter le RIA de manière cohérente sur le volet protection des données.
La CNIL participe par ailleurs aux travaux du Comité européen de la protection des données (CEPD) sur l'articulation entre RGPD et RIA, ainsi qu'aux travaux du Bureau de l'IA de la Commission européenne sur le code de bonnes pratiques pour les modèles d'IA à usage général.
💡 En pratique : une organisation qui déploie un système d'IA traitant des données personnelles doit mener une analyse de conformité au regard des deux textes. C'est précisément le rôle du DPO ou du responsable de la gouvernance numérique de coordonner cette double analyse.
Ce que cela signifie concrètement pour les organisations
Pour une organisation qui développe ou déploie un système d'IA, les recommandations de la CNIL se traduisent par un ensemble d'actions précises à intégrer dans le cycle de projet : définir la finalité et la base légale avant de constituer les données d'entraînement, documenter l'analyse du statut du modèle, mettre en place les modalités d'information des personnes concernées, vérifier que l'exercice des droits est effectif et intégrer les risques spécifiques à l'IA dans l'analyse de sécurité.
Ces étapes s'inscrivent naturellement dans une démarche de privacy by design — principe fondateur du RGPD (article 25) — qui s'applique ici dès les premières lignes de code. Une AIPD (analyse d'impact relative à la protection des données) sera par ailleurs requise dans de nombreux cas d'usage IA à risque élevé.
L'ensemble des recommandations de la CNIL est accessible sur cnil.fr, ainsi que sur la page de synthèse grands principes pour se mettre en conformité. Elles sont accompagnées de fiches pratiques et de listes de points à vérifier, directement utilisables par les équipes projet.
Vous travaillez sur un projet IA ?
Nous sommes disponibles pour vous accompagner dans l'analyse de conformité RGPD et RIA de vos projets d'intelligence artificielle.