Registre des activités de traitement pour l'IA : ce qu'il doit contenir

L’IA doit-elle figurer dans le registre des activités de traitement ?

Oui, dès que l’IA traite des données personnelles. L’art. 30, paragraphe 1, du RGPD oblige chaque responsable du traitement à documenter toutes ses activités de traitement. Une plateforme d’IA n’est pas une finalité en soi, mais un outil : on inscrit ce pour quoi vous l’utilisez. L’exemption pour les organisations de moins de 250 salariés (art. 30, paragraphe 5) s’applique rarement à l’IA utilisée au quotidien, car l’usage n’est pas seulement occasionnel et porte souvent sur des données de santé ou des données sociales.

Quelles mentions l’art. 30, paragraphe 1, exige-t-il ?

Mention obligatoire	Art. 30, par. 1	Pour l’IA, typiquement
Nom et coordonnées du responsable du traitement et du délégué à la protection des données	point a	comme dans le reste de votre registre
Finalités	point b	concrètes : projets de lettres médicales, réponses aux demandes des administrés, synthèses de dossiers
Catégories de personnes concernées et de données	point c	patients, citoyens, collaborateurs ; données d’identification, données de santé, contenu des demandes, données de connexion et journaux
Destinataires	point d	fournisseur d’IA en tant que sous-traitant, ses sous-traitants ultérieurs, centre de données, fournisseur du modèle
Transferts vers des pays tiers	point e	si un fournisseur hors UE intervient, avec la garantie (décision d’adéquation, clauses contractuelles types)
Délais d’effacement	point f	conversations, documents téléversés, journaux, sauvegardes
Mesures techniques et organisationnelles	point g	description générale, renvoi aux mesures techniques et organisationnelles du fournisseur

Une entrée ou plusieurs ?

Les autorités de contrôle recommandent de structurer le registre par finalité. Pour l’IA, cela signifie une entrée par domaine d’usage, avec sa propre base légale et ses propres types de données. Une entrée globale « plateforme d’IA » masque le fait qu’un assistant pour les lettres médicales traite des données de santé, alors qu’un assistant pour la rédaction d’appels d’offres ne touche presque pas de données personnelles.

Une structure en deux parties a fait ses preuves :

• Entrée de base pour la plateforme : connexion, droits, journaux, exploitation. Les personnes concernées sont les collaborateurs, la finalité est l’exploitation sécurisée.
• Une entrée par application : finalité, types de données, base légale et délai d’effacement de cette application, avec un renvoi à l’entrée de base pour la technique et les destinataires.

Exemple : entrée pour un assistant de lettres médicales

• Finalité : projets de lettres de sortie à partir des comptes rendus et des notes d’évolution, vérifiés et validés par le médecin
• Base légale : art. 9, paragraphe 2, point h, du RGPD, avec le contrat de soins et le droit du Land (État fédéré allemand)
• Personnes concernées et données : patients (données de santé, données d’identification), collaborateurs (identifiant, moment de l’utilisation)
• Destinataires : fournisseur de la plateforme d’IA en tant que sous-traitant, ses sous-traitants ultérieurs selon la liste
• Pays tiers : aucun transfert (ou : nommer le fournisseur et la garantie)
• Effacement : projet après sa reprise dans le dossier patient, journaux après le délai paramétré
• Mesures : accès réservé au groupe autorisé, journalisation, chiffrement des transmissions, renvoi aux mesures techniques et organisationnelles

Quelles lacunes les contrôleurs relèvent-ils souvent ?

• Le fournisseur du modèle manque parmi les destinataires, parce que seule la plateforme est inscrite.
• Des délais d’effacement uniquement pour les conversations, pas pour les journaux ni les sauvegardes.
• Aucune indication sur l’intervention d’un fournisseur établi aux États-Unis.
• La recherche web ou d’autres services complémentaires ne sont pas recensés.
• Aucun lien avec l’AIPD, alors que des données de santé sont traitées (AIPD pour l’IA).

Comment cela fonctionne-t-il avec basebox ?

Pour votre registre, un modèle en PDF avec les informations sur basebox est disponible, ainsi que la liste des sous-traitants ultérieurs et les mesures techniques et organisationnelles, le tout sur /sicherheit. La liste indique quels prestataires interviennent dans chaque mode d’exploitation ; la recherche web via Staan.ai ne s’y ajoute que si vous l’activez. Vous fixez vous-même les délais de conservation des journaux : par défaut, le journal d’audit est conservé 6 mois, réglable de 3 à 36 mois. Pour en savoir plus : journalisation et conservation.

Pas un conseil juridique : l’exemple montre une structure possible, pas une solution type pour votre établissement. Les bases légales et les délais dépendent du Land, de l’organisme gestionnaire et de l’usage. État de la recherche : 11 octobre 2026.