IA & RGPD : la checklist en 10 points pour les PME
IA & RGPD : ce que les PME doivent respecter
Toute application d’IA qui traite des données personnelles est soumise au RGPD. Cette checklist aide à la mise en œuvre pratique.
La checklist en 10 points
1. Le registre des traitements est-il à jour ? Chaque application d’IA doit être documentée dans le registre — finalité, base légale, durée de conservation, destinataires.
2. La base légale est-elle clarifiée ? Art. 6 RGPD : consentement, contrat, intérêt légitime ou obligation légale — laquelle s’applique ?
3. Principe des données : local avant cloud Les données personnelles doivent de préférence être traitées sur des serveurs de l’UE. Transfert vers un pays tiers = CCT nécessaires.
4. Un concept de suppression est-il défini ? Les modèles d’IA peuvent « mémoriser » des données. Comment les données d’entraînement et les journaux d’inférence sont-ils supprimés ?
5. Une AIPD a-t-elle été réalisée ? Une analyse d’impact relative à la protection des données est obligatoire pour les traitements à haut risque (Art. 35).
6. Le droit d’accès est-il techniquement réalisable ? Les personnes concernées peuvent demander l’accès, la suppression et la portabilité — est-ce possible dans votre système ?
7. Un accord de traitement des données est-il conclu ? Un accord est requis avec chaque prestataire d’IA (même au sein de l’UE).
8. Les décisions automatisées sont-elles documentées ? Art. 22 RGPD : les décisions entièrement automatisées à effet juridique nécessitent une possibilité de contrôle humain.
9. Les formations à la littératie IA sont-elles vérifiables ? Depuis fév. 2026 : obligation de formation selon l’Art. 4 de l’EU AI Act. Doit être documentée.
10. Existe-t-il un plan de réponse aux incidents ? Une violation de données déclenche une obligation de notification en 72h. Le processus est-il défini et testé ?
Comment IIO respecte automatiquement la checklist
Les clients IIO obtiennent les 10 points sous forme de workflows automatisés — sans effort manuel.
Configurer votre offre de protection des données →
La checklist en 7 points pour une IA conforme au RGPD
1. Documenter la base légale Tout traitement par IA nécessite une base légale (Art. 6 RGPD). Pour les données des collaborateurs : consentement ou intérêt légitime avec une mise en balance.
2. Respecter la limitation des finalités L’IA ne peut utiliser les données que pour la finalité indiquée. Pas de « nous entraînons aussi notre modèle au passage » sans consentement explicite.
3. Minimisation des données Ne traiter que les données nécessaires à la fonction de l’IA. Les caractéristiques personnelles non nécessaires → ne pas les inclure.
4. Signaler les décisions automatisées (Art. 22) Les décisions entièrement automatisées à effet juridique sont interdites par principe — sauf consentement explicite ou exécution d’un contrat.
5. Mettre en œuvre techniquement les droits des personnes concernées Accès, suppression, portabilité : ces droits doivent aussi être techniquement réalisables pour les données traitées par l’IA — pas seulement par e-mail.
6. Analyse d’impact relative à la protection des données (AIPD) Pour les traitements à haut risque (par ex. le profilage des collaborateurs), une AIPD est obligatoire.
7. Accord de traitement des données Un accord est nécessaire pour chaque service d’IA d’un prestataire externe. Vérifiez : où les données sont-elles traitées ? Serveurs de l’UE ou pays tiers ?
L’IA locale comme solution RGPD
Les modèles de langage locaux (Ollama, llama.cpp) sur des serveurs de l’UE éliminent complètement le problème du pays tiers. Aucune donnée ne quitte l’entreprise. IIO AI Hub →
En savoir plus sur l’infrastructure IA conforme au RGPD →
Prochaine étape : Configurez votre offre ou contactez-nous.