Une PME de moins de 250 salariés doit-elle tenir un registre ?

Oui. Selon la CNIL, l'obligation concerne tous les organismes, quelle que soit leur taille. Les organismes de moins de 250 salariés ne doivent inscrire que certains traitements : les traitements non occasionnels, ceux qui présentent un risque, et ceux qui portent sur des données sensibles. En cas de doute, la CNIL recommande d'inscrire le traitement.

Quand faut-il une analyse d'impact pour un outil d'IA ?

Quand le traitement peut créer un risque élevé pour les personnes. La CNIL retient une liste de traitements qu'elle publie, et des critères : un traitement qui en remplit au moins deux parmi neuf est présumé soumis à l'obligation. Le profilage et les données sensibles en font partie.

Le fournisseur de l'outil est-il responsable à ma place ?

Non. L'entreprise qui décide d'utiliser l'outil pour traiter des données reste responsable de ce traitement. Un contrat avec le fournisseur, qui définit son rôle de sous-traitant, est nécessaire. Son contenu précis est à vérifier à la source officielle.

RGPD et IA en PME : registre et analyse d'impact

Le RGPD s'applique dès qu'une entreprise traite des données personnelles, qu'elle utilise l'IA ou non. Ce qui change avec l'IA, c'est le volume de données qui passe par un outil, et la difficulté à savoir où elles vont. Ce guide donne trois repères issus de la CNIL : le registre des traitements, l'analyse d'impact, et les sous-traitants.

Le registre des traitements

Le registre est une liste écrite de vos traitements de données personnelles. La CNIL indique qu'il est tenu par le responsable de traitement ou une personne désignée, et qu'il peut être tenu par le délégué à la protection des données s'il existe. Le format est libre, papier ou électronique. La CNIL propose un modèle simplifié.

Pour chaque traitement, le registre indique notamment :

la finalité, par exemple « relances de devis » ;
les catégories de personnes concernées et de données ;
les destinataires, dont les outils d'IA et leurs fournisseurs ;
les transferts éventuels hors de l'Union européenne ;
les délais d'effacement ;
une description générale des mesures de sécurité.

Les fichiers de recrutement doivent figurer dans le registre dès lors que des données personnelles y sont traitées régulièrement. Un outil d'IA utilisé pour un service doit y figurer, comme tout autre traitement de données personnelles régulier.

Les organismes de moins de 250 salariés

La CNIL précise que les organismes de moins de 250 salariés ne doivent inscrire que trois catégories de traitements : les traitements non occasionnels, ceux qui présentent un risque pour les droits et libertés, et ceux qui portent sur des données sensibles. Elle indique que cette dérogation reste limitée à des cas très particuliers. Un usage régulier d'un assistant d'IA sur des données clients ou salariés relève en général d'une de ces catégories. En cas de doute, inscrivez le traitement.

L'analyse d'impact

Une analyse d'impact relative à la protection des données (AIPD) est obligatoire quand un traitement peut créer un risque élevé pour les droits et libertés des personnes. La CNIL retient deux voies.

La liste de la CNIL : si le traitement figure dans la liste des types d'opérations pour lesquelles l'analyse est requise, elle est obligatoire.
Les critères : un traitement qui remplit au moins deux des neuf critères est présumé soumis à l'obligation. Parmi eux : l'évaluation ou le profilage, la surveillance systématique, les données sensibles, les données à grande échelle, le croisement de données, les personnes vulnérables, et l'usage d'une technologie innovante.

Il n'y a pas d'analyse à faire quand le traitement ne présente pas de risque élevé, ou figure sur la liste d'exonération de la CNIL. Cette liste n'est pas exhaustive. La CNIL indique aussi que pour un système d'IA à usage général, une analyse est dans la majorité des cas nécessaire quand il traite des données personnelles. Les listes datent de 2018 et 2019, et la CNIL les réexamine : vérifiez la version en vigueur sur cnil.fr avant de conclure.

Les sous-traitants

Un fournisseur d'outil d'IA qui traite des données pour le compte de l'entreprise est un sous-traitant. La CNIL indique que les sous-traitants tiennent un registre de leurs propres activités, et que la relation doit être encadrée. Avant de signer, demandez au fournisseur :

où les données sont hébergées et traitées ;
si elles servent à entraîner un modèle ;
qui peut y accéder chez le fournisseur ;
comment elles sont supprimées en fin de contrat.

Le contenu exact du contrat de sous-traitance n'est pas décrit dans les pages de la CNIL lues pour ce guide : voir la source officielle avant de le rédiger ou de le valider.

Les droits des personnes

La CNIL rappelle que les personnes gardent leurs droits sur les données traitées par un système d'IA, y compris sur les sorties produites. Le candidat peut obtenir une copie de ses données sur simple demande. La réponse à une demande doit être donnée dans un délai d'un mois, sauf exceptions, selon la CNIL. L'entreprise doit donc savoir où se trouvent les données, et pouvoir les retrouver.

Ce qu'il faut faire

Listez les outils d'IA utilisés, service par service, dans le registre des usages décrit dans la page gouvernance.
Pour chaque outil qui traite des données personnelles, ouvrez une fiche dans le registre des traitements.
Repérez les traitements qui relèvent d'un risque élevé, et faites l'analyse d'impact avant la mise en service.
Obtenez de chaque fournisseur les réponses écrites aux questions ci-dessus.
Relisez le registre à chaque revue annuelle.

Pour les données à ne jamais saisir, la page données à ne pas saisir donne une liste de départ. Pour les branchements sur les logiciels, voir la page logiciels de gestion.