AIPD et IA générative : quand l'analyse d'impact est obligatoire (et comment la mener)

La plupart des équipes qui lancent un projet d'IA générative connaissent le RGPD et la nLPD dans les grandes lignes. Un instrument précis leur échappe pourtant presque toujours : l'analyse d'impact relative à la protection des données, l'AIPD (ou DPIA en anglais). Ce n'est pas une formalité de plus. Dans certains cas, elle est obligatoire avant de mettre le traitement en service, et son absence est en soi un manquement. Voyons quand elle s'impose et comment la mener sans transformer le projet en chantier de six mois.

Ce guide complète nos garde-fous AI Act, RGPD et nLPD : là où ce dernier pose le cadre général, celui-ci se concentre sur un seul outil, l'AIPD.

L'AIPD, l'angle mort des projets d'IA générative

Une AIPD est une étude documentée qui décrit un traitement de données, en évalue les risques pour les personnes concernées, et définit les mesures pour les réduire. Le réflexe fautif consiste à la voir comme un document administratif à produire après coup. En réalité, elle est un outil de conception : la mener tôt oriente l'architecture (quelles données, où, avec quels accès) et évite de découvrir un blocage réglementaire une fois le pilote construit.

Quand l'AIPD est-elle obligatoire ?

Les critères du RGPD

Le RGPD impose une AIPD lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. Trois situations la rendent notamment obligatoire : l'évaluation ou la notation systématique de personnes, le traitement à grande échelle de données sensibles, et la surveillance systématique. Les autorités de contrôle publient en outre des listes de traitements qui l'exigent d'office.

Les cas d'IA générative concernés

Appliqué à l'IA générative, cela vise des usages fréquents en entreprise. Selon les recommandations de la CNIL, une AIPD est notamment requise pour un usage d'IA générative portant sur des données de ressources humaines, médicales ou judiciaires. Un assistant qui trie des candidatures, un outil qui résume des dossiers de santé, une aide à la décision sur des contentieux : tous entrent dans le périmètre.

Ce qui, à l'inverse, allège l'exigence

Beaucoup de premiers cas d'usage n'entrent pas dans ces catégories : un agent qui interroge de la documentation technique, un assistant sur des devis ou des gammes d'usinage, un outil qui ne traite pas de données personnelles sensibles. L'AIPD peut alors ne pas être obligatoire, ce qui ne dispense pas de tracer la décision de ne pas en faire.

Takeaway : l'AIPD devient obligatoire dès que l'IA générative touche des données RH, médicales, judiciaires ou une évaluation systématique de personnes. Le premier réflexe est de qualifier votre cas, pas de présumer.

Ce que doit contenir une AIPD

Quatre blocs structurent une analyse solide :

1. La description du traitement : finalité, données, flux, destinataires, durées, sous-traitants, localisation de l'hébergement.
2. La nécessité et la proportionnalité : la donnée traitée est-elle strictement utile à la finalité, ou une part est-elle collectée en excès.
3. L'analyse des risques pour les personnes : accès illégitime, détournement de finalité, biais, perte de confidentialité.
4. Les mesures qui réduisent ces risques : minimisation, contrôle des accès, hébergement maîtrisé, non-entraînement sur les données, journalisation.

Comment la mener sans bloquer le projet

L'AIPD n'est pas l'ennemie de la vitesse si elle est menée au bon moment. Trois principes l'y aident : la démarrer au cadrage et non à la fin, la limiter au périmètre réel du premier cas plutôt qu'à un programme entier, et l'appuyer sur une architecture qui réduit le risque à la source. Sur ce dernier point, un hébergement souverain, l'absence d'entraînement sur vos données et le travail sur copie des systèmes d'origine simplifient considérablement l'analyse : ce sont les choix que nous détaillons sur notre page sécurité et souveraineté. Une bonne architecture rend l'AIPD plus courte, parce qu'il y a moins de risques à traiter.

nLPD : l'équivalent suisse

Côté suisse, la nLPD prévoit une logique voisine avec l'analyse d'impact relative à la protection des données, requise lorsqu'un traitement présente un risque élevé pour la personnalité ou les droits fondamentaux. Une entreprise active des deux côtés de la frontière a intérêt à mener une analyse unique qui satisfait les deux cadres, plutôt que deux études séparées. Le sujet plus large de la conformité suisse est traité dans notre article sur la souveraineté IA et la FINMA.

Trois erreurs fréquentes

• La faire trop tard. Menée une fois le pilote construit, l'AIPD ne sert plus qu'à constater les problèmes au lieu de les éviter. Elle doit orienter les choix d'architecture, donc précéder la construction.
• La confondre avec une case à cocher. Copier un modèle générique sans décrire le traitement réel n'a aucune valeur devant une autorité de contrôle, et n'apporte rien à la sécurité du projet.
• Oublier le sous-traitant technique. L'hébergeur et l'intégrateur font partie du traitement. Leurs engagements (localisation des données, non-entraînement, gestion des accès) doivent figurer dans l'analyse, pas rester dans un contrat que personne ne relie à l'AIPD.

Corriger ces trois travers ne coûte rien et transforme l'AIPD d'une contrainte subie en un outil qui accélère la décision, parce qu'il lève les doutes au lieu de les repousser.

FAQ

Qui doit réaliser l'AIPD ? Le responsable de traitement, avec l'appui du délégué à la protection des données quand il existe. Un intégrateur sérieux fournit la matière technique (flux, hébergement, mesures) nécessaire à l'analyse.

Une AIPD faite une fois est-elle valable pour toujours ? Non. Elle se met à jour si le traitement évolue de façon significative : nouvelles données, nouvelle finalité, nouveau sous-traitant.

Est-il possible de lancer un pilote sans AIPD pour aller vite ? Pas si le cas entre dans les situations à risque élevé. Dans ce cas, l'AIPD précède la mise en service. Pour un cas hors périmètre, tracer la décision de ne pas en faire suffit.

Combien de temps prend une AIPD ? Cela dépend du périmètre. Menée tôt et cantonnée au premier cas d'usage, elle se boucle en quelques jours à quelques semaines, pas en plusieurs mois.

---

L'AIPD n'est pas un frein, c'est une carte des risques dressée avant de construire. Menée au bon moment, elle évite les mauvaises surprises et rend le projet défendable devant un auditeur. Pour cadrer un premier cas d'IA générative en intégrant la conformité dès le départ, notre audit de cas d'usage est le bon point de départ.