IA et RGPD : ce que les organisations doivent savoir

Quand le RGPD s’applique-t-il à l’IA ?

Dès qu’une IA traite des données personnelles : dans la saisie, dans les documents téléversés, dans la réponse ou déjà lors de la connexion. C’est presque toujours le cas pour des projets de courrier, des décisions administratives, des comptes rendus ou des e-mails. Seuls les usages sans aucun lien avec des personnes, par exemple l’analyse de cartes géologiques, n’entrent pas dans son champ. La conférence allemande des autorités de protection des données (DSK) conseille de le vérifier avec soin et sur tout le cycle de vie des données, car le caractère personnel peut aussi découler du contexte.

Quelles sont vos obligations en tant que responsable du traitement ?

Obligation	Base	Ce que cela signifie pour l’IA
Définir la finalité	Art. 5, par. 1, point b	Fixer les usages à l’avance ; pour les organismes publics, dans le cadre de leurs missions
Base légale	Art. 6, pour les données de santé art. 9	pour chaque étape du traitement, y compris la transmission au fournisseur
Informer	Art. 13, 14	Les personnes concernées apprennent que l’IA est utilisée et comment
Contrat avec le fournisseur	Art. 28	Accord de traitement des données avec instructions, sous-traitants ultérieurs, suppression
Registre	Art. 30	Inscrire l’usage de l’IA comme activité de traitement à part entière
Sécurité	Art. 25, 32	Droits, journaux, chiffrement, paramètres par défaut protecteurs de la vie privée
Analyse d’impact	Art. 35	« souvent » nécessaire pour l’IA (DSK), en règle générale pour les données de santé
Violations de données	Art. 33, 34	Notification à l’autorité de contrôle dans les 72 heures

Associez tôt votre délégué à la protection des données (DPO). De même le CSE ou les représentants du personnel : l’introduction d’une IA relève souvent de leurs droits de participation.

Le fournisseur d’IA est-il sous-traitant ?

Le plus souvent, oui. Si vous utilisez l’IA d’un fournisseur pour vos propres finalités, celui-ci agit pour votre compte et vous concluez un contrat selon l’art. 28, paragraphe 3, du RGPD. Il en va autrement si le fournisseur utilise vos saisies à ses propres fins, par exemple pour entraîner ses modèles. Pour cette partie, il devient lui-même responsable du traitement (art. 28, paragraphe 10) et a besoin de sa propre base légale. La DSK juge donc préférables les applications qui n’utilisent pas les entrées et les sorties pour l’entraînement. Ce à quoi veiller dans le contrat : accord de traitement des données avec les fournisseurs d’IA.

Qu’en est-il des données de santé, des données sociales et des données de citoyens ?

Les données de santé font partie des catégories particulières de l’art. 9 du RGPD. Leur traitement est interdit, sauf si une exception s’applique ; dans le secteur de la santé, il s’agit le plus souvent de l’art. 9, paragraphe 2, point h, avec le contrat de soins et une obligation de secret. S’y ajoutent des lois spécifiques allemandes : le § 203 StGB (Code pénal allemand) pour les professions soumises au secret, le § 393 SGB V (Code de la sécurité sociale allemand, livre V) pour les services cloud dans la santé, le secret social et le § 80 SGB X pour les données sociales. En France, l’hébergement de données de santé pour le compte d’un tiers exige en outre la certification HDS.

Une IA peut-elle prendre des décisions concernant des personnes ?

Pas seule, en principe. Selon l’art. 22 du RGPD, les décisions produisant des effets juridiques ne peuvent pas être fondées exclusivement sur un traitement automatisé. La DSK exige que la personne qui décide dispose d’une réelle marge d’appréciation ; une participation purement formelle ne suffit pas. Son exemple : une IA qui évalue des candidatures et envoie elle-même les invitations enfreint l’art. 22. Pour les administrations allemandes, le § 35a VwVfG (loi allemande sur la procédure administrative) régit l’acte administratif entièrement automatisé, exclu lorsqu’il y a un pouvoir d’appréciation.

Qu’en est-il des transferts vers les États-Unis ?

Si le modèle d’IA tourne chez un fournisseur américain ou si un tel fournisseur y a un accès technique, il s’agit d’un transfert vers un pays tiers (chapitre V du RGPD). Pour les entreprises certifiées, la décision d’adéquation relative au cadre de protection des données UE-États-Unis du 10 juillet 2023 s’applique ; le Tribunal de l’Union européenne a rejeté un recours contre celle-ci en septembre 2025, mais le litige peut se poursuivre. Indépendamment de cela, le CLOUD Act américain s’applique aux entreprises américaines, y compris dans des centres de données européens. Le rôle que cela joue dans votre analyse de risques est expliqué dans CLOUD Act américain et IA.

Et le règlement sur l’IA ?

Il s’applique en plus. Pour la plupart des assistants dans l’administration et à l’hôpital, les obligations restent limitées : culture de l’IA des collaborateurs (art. 4) et transparence (art. 50). Les exigences sont plus strictes pour les systèmes à haut risque. Avec le règlement modificatif (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, leurs obligations s’appliquent aux systèmes de l’annexe III seulement à partir du 2 décembre 2027, aux produits de l’annexe I à partir du 2 août 2028. Vue d’ensemble : culture de l’IA selon l’art. 4.

Liste de contrôle avant le lancement

• Finalité : fixer les usages par écrit.
• Lieu : où tournent la plateforme et le modèle d’IA, qui y a accès ?
• Entraînement : exclu par contrat ?
• Contrat : accord de traitement des données, liste des sous-traitants ultérieurs, si nécessaire accord selon le § 203 StGB.
• Documentation : registre, AIPD, information des personnes concernées.
• Règles : note de service ou accord d’entreprise, comptes professionnels, formation.

Comment cela fonctionne-t-il avec basebox ?

basebox agit en tant que sous-traitant : l’accord de traitement des données selon l’art. 28 RGPD fait partie de chaque contrat, les mesures techniques et organisationnelles et la liste des sous-traitants ultérieurs peuvent être téléchargées sur /sicherheit. Vos données n’entraînent aucun modèle. Le modèle d’IA dans basebox tourne sur votre matériel avec le serveur, et en Allemagne avec le cloud. En France, basebox propose uniquement le serveur dans votre établissement, tant qu’elle n’a pas la certification HDS. Pour le registre et l’AIPD, il existe des modèles dans lesquels les informations sur basebox sont déjà renseignées. Ce sont des personnes qui décident : basebox fait des propositions.

Pas un conseil juridique : cette vue d’ensemble ne remplace pas l’examen au cas par cas par votre délégué à la protection des données. Les lignes directrices des autorités de contrôle et le règlement sur l’IA évoluent en permanence. État des recherches : 11 octobre 2026.