En bref. L’article 35 du RGPD impose une analyse d’impact relative à la protection des données avant tout traitement de données personnelles susceptible d’engendrer un risque élevé pour les droits et libertés des personnes.

Définition : Une analyse d’impact relative à la protection des données (AIPD, en anglais « data protection impact assessment » ou DPIA) examine les risques liés au traitement de données personnelles, c’est-à-dire des informations concernant des personnes identifiées ou identifiables, ainsi que les mesures permettant de maîtriser ces risques. L’article 35 du règlement général sur la protection des données (RGPD) l’impose avant tout traitement susceptible d’engendrer un risque élevé pour les droits et libertés des personnes.

Points clés

L’article 35 du RGPD impose cette analyse au responsable du traitement : la personne ou l’organisme qui détermine les finalités et les moyens du traitement.
La fiche de la CNIL sur l’AIPD pour l’IA du 7 juin 2024 pose une présomption d’obligation de réaliser une AIPD lorsque le traitement remplit au moins deux critères de risque, tout en maintenant une appréciation du risque élevé au cas par cas.
Les recommandations de la CNIL sur le développement de systèmes d’IA du 5 janvier 2026 distinguent l’analyse pendant le développement du modèle de celle du déploiement, lorsque le système est mis en service.

Quand une AIPD est-elle obligatoire ?

Selon l’article 35(1), l’appréciation du risque élevé tient compte de la nature, de la portée, du contexte et des finalités du traitement, en particulier lorsqu’il utilise de nouvelles technologies. L’article 35(3) impose expressément une analyse dans les cas suivants :

Une évaluation systématique et approfondie d’aspects personnels fondée sur un traitement automatisé, y compris le profilage, lorsque les décisions produisent des effets juridiques ou des effets d’une importance comparable sur les personnes.
Un traitement à grande échelle de catégories particulières de données personnelles, telles que les données de santé, ou de données relatives aux condamnations pénales et aux infractions.
Une surveillance systématique à grande échelle d’une zone accessible au public.

L’article 35(4) impose également aux autorités de contrôle de publier des listes de traitements soumis à une analyse. Pour déterminer si une AIPD est nécessaire, il faut donc examiner la liste de l’autorité compétente ainsi que le critère général de risque élevé.

Comment la CNIL applique-t-elle ces critères à l’IA ?

La fiche de la CNIL sur l’AIPD pour l’IA relève les données sensibles ou hautement personnelles, la collecte à grande échelle, les données concernant des personnes vulnérables, le croisement de jeux de données et les usages innovants. Le cumul de deux critères crée une présomption d’obligation de réaliser une analyse ; un risque élevé peut l’imposer même en deçà de ce seuil. À l’inverse, le responsable du traitement peut établir avec suffisamment de certitude qu’un traitement remplissant plusieurs critères n’expose les personnes à aucun risque élevé.

À titre d’exemple concret, la CNIL qualifie de traitement à grande échelle la collecte sur internet d’un volume considérable de données personnelles accessibles au public pour entraîner le modèle de langage d’un agent conversationnel. Elle explique également que des techniques d’IA éprouvées, dont les risques sont connus, peuvent ne pas relever du critère d’usage innovant.

Que doit contenir l’analyse ?

L’article 35(7) précise le contenu minimal. Le plan suivant en résume la structure :

Article 35(7) du RGPD
(a) Opérations de traitement et finalités
(b) Nécessité et proportionnalité
(c) Risques pour les droits et libertés des personnes
(d) Mesures pour maîtriser les risques et démontrer la conformité

La description comprend, le cas échéant, l’intérêt légitime poursuivi par le responsable du traitement. L’article 35(2) impose de demander conseil au délégué à la protection des données lorsqu’il en est désigné un. L’article 35(11) impose un réexamen si nécessaire, au moins lorsque le risque présenté par le traitement évolue.

Pour l’IA, les recommandations de la CNIL sur le développement recensent notamment les risques d’extraction de données personnelles depuis un système et de production de contenus faux concernant des personnes réelles. L’analyse doit prévoir des mesures pour réduire les risques et les maintenir à un niveau acceptable.

Qui évalue le déploiement et que faire si un risque élevé subsiste ?

Les recommandations de la CNIL sur le développement préconisent une analyse sur l’ensemble du cycle de vie lorsque l’usage opérationnel est connu. Lorsque le développeur et le déployeur sont distincts, l’analyse du déploiement relève du déployeur. Pour un système à usage général, qui permet différentes applications, l’analyse du développeur couvre le développement et devrait être transmise aux utilisateurs pour leur propre analyse.

L’article 36(1) du RGPD, lu conjointement avec le considérant 94, impose de consulter l’autorité de contrôle avant le traitement lorsque le responsable du traitement ne peut pas atténuer suffisamment le risque élevé identifié.

Termes associés

Questions fréquentes

L’utilisation de l’IA impose-t-elle automatiquement une AIPD ?

L’obligation concerne les traitements susceptibles d’engendrer un risque élevé. La fiche de la CNIL sur l’AIPD pour l’IA explique que l’utilisation de l’IA ne remplit pas systématiquement le critère d’usage innovant ; les autres critères de risque restent à examiner.

Pouvez-vous vous appuyer sur l’analyse d’un fournisseur ?

Les recommandations de la CNIL sur le développement permettent d’utiliser l’analyse du fournisseur pour étayer votre propre analyse. En tant que responsable du traitement pour le déploiement, vous restez responsable de l’évaluation de cette phase et des risques liés aux traitements correspondants.

Une seule AIPD peut-elle couvrir plusieurs traitements ?

L’article 35(1) autorise une analyse unique pour des traitements similaires présentant des risques élevés similaires.

Sources

Vérifiez comment une page se lit pour les moteurs de réponse. Ouvrir l’analyseur de score GEO

Analyse d’impact relative à la protection des données