France : RGPD, CNIL et IA

Quel droit s’applique à l’IA en France ?

Le règlement général sur la protection des données (RGPD) s’applique directement. La loi n° 78-17 « Informatique et Libertés » le complète, notamment pour les données de santé. Le contrôle relève de la Commission nationale de l’informatique et des libertés (CNIL). Pour les systèmes d’IA s’ajoute le règlement européen sur l’IA (AI Act).

Dans deux domaines, la France a ses propres règles, qui vont au-delà du RGPD :

Domaine	Règle	Pour qui
Données de santé	Quiconque les héberge pour le compte de tiers doit être certifié HDS	Hôpitaux, cabinets, établissements médico-sociaux, leurs prestataires
Données sensibles de l’État	Les services cloud doivent être protégés contre les accès depuis l’extérieur de l’UE, selon le référentiel SecNumCloud	Ministères, administrations et établissements de l’État

Certification HDS → · SecNumCloud →

Que recommande la CNIL pour l’usage de l’IA ?

En juillet 2024, la CNIL a publié des questions-réponses sur l’utilisation de l’IA générative dans les organisations. Les points essentiels :

• Partir d’un besoin : introduire l’IA pour une tâche précise, pas sans objectif.
• Choisir le mode d’exploitation selon les données : pour des données personnelles ou des documents confidentiels, la CNIL privilégie en règle générale un déploiement en interne, car il réduit le risque que des données parviennent à des tiers. Un service cloud est possible, mais exige un accord de traitement des données qui règle les responsabilités et les accès ; hors de l’UE, des garanties supplémentaires pour le transfert.
• Clarifier les rôles : savoir si le fournisseur est sous-traitant ou responsable conjoint du traitement relève du contrat. Quiconque connecte à l’IA ses propres documents contenant des données personnelles est lui-même responsable de ce traitement.
• Évaluer les risques en amont : associer tôt le délégué à la protection des données (DPO) et, si nécessaire, réaliser une analyse d’impact relative à la protection des données (AIPD).
• Règles et formation : définir les usages autorisés et interdits, par exemple dans une charte interne. Former les collaborateurs et toujours faire vérifier les réponses.
• Pas d’entraînement avec vos données : dans la mesure du possible, s’opposer à la réutilisation des saisies par le fournisseur.

Depuis avril 2024, la CNIL publie pour les concepteurs de systèmes d’IA une série de « fiches pratiques IA », avec des recommandations portant par exemple sur la base légale, l’information des personnes concernées et la sécurité.

Qu’est-ce qui s’applique au secteur public en France ?

Comme en Allemagne, les administrations ont besoin d’une mission prévue par la loi comme base légale (art. 6, paragraphe 1, point e) du RGPD). Pour les données particulièrement sensibles des administrations et des établissements de l’État, l’art. 31 de la loi SREN impose des services cloud protégés ; un décret du 14 avril 2026 le met en œuvre. L’art. 31 ne vise pas les collectivités ; pour elles s’appliquent le RGPD et les recommandations de la CNIL. SecNumCloud →

Comment cela fonctionne-t-il avec basebox ?

En France, basebox propose uniquement le serveur, exploité par la DSI de votre établissement. Une certification HDS est prévue ; d’ici là, ni le cloud ni l’exploitation du serveur par basebox ne sont proposés en France, car une exploitation à distance avec accès aux données de santé serait une activité soumise à la certification HDS (certification HDS). Cela correspond à la voie que la CNIL privilégie en règle générale pour les données personnelles et confidentielles : l’IA tourne sur du matériel dans votre établissement, sur demande sans Internet, avec le modèle d’IA, les documents, les apps, les droits et les journaux. Notre partenaire matériel FAST LTA livre le serveur en France.

Pour votre examen, l’accord de traitement des données, les mesures techniques et organisationnelles ainsi que des modèles de registre des activités de traitement et d’analyse d’impact sont disponibles au téléchargement sur /sicherheit. L’interface et le support sont disponibles en allemand et en anglais, pas en français.

Pas un conseil juridique : cet article résume des recommandations de la CNIL ; elles n’ont pas valeur de loi, mais montrent ce qu’attend l’autorité de contrôle. En octobre 2026, les compétences pour l’application du règlement européen sur l’IA en France n’étaient pas encore fixées par la loi. Recherches à jour au 11 octobre 2026.