AIPD et IA : le guide complet pour DPO, RSSI et DSI (2026)

Temps de lecture : 12 min · Mis à jour : juillet 2026.

Déployer un système d'intelligence artificielle sans analyse d'impact, c'est engager la responsabilité de l'entreprise à l'aveugle. Pourtant, la majorité des projets d'IA démarrent encore sans AIPD — souvent parce que personne ne sait précisément quand elle devient obligatoire, ni comment la mener sur un système qui apprend, généralise et parfois hallucine.

Ce guide répond aux deux questions. Il s'appuie sur les recommandations publiées par la CNIL en 2025 sur l'application du RGPD aux systèmes d'IA, sur l'article 35 du RGPD, et sur l'articulation avec l'analyse d'impact sur les droits fondamentaux (FRIA) de l'AI Act. Il s'adresse aux DPO, RSSI et DSI qui doivent sécuriser un déploiement d'IA sans bloquer l'innovation.

Qu'est-ce qu'une AIPD ?

L'analyse d'impact relative à la protection des données (AIPD, ou DPIA en anglais pour Data Protection Impact Assessment) est une démarche documentée qui cartographie un traitement de données personnelles, en évalue les risques pour les droits et libertés des personnes concernées, puis établit un plan d'action pour ramener ces risques à un niveau acceptable. Elle est encadrée par l'article 35 du RGPD.

Une AIPD contient au minimum quatre blocs : une description systématique du traitement et de ses finalités ; une évaluation de la nécessité et de la proportionnalité ; une appréciation des risques pour les personnes ; et les mesures envisagées pour traiter ces risques. Ce n'est pas une formalité : c'est l'outil qui prouve que l'entreprise a pris ses responsabilités avant de traiter les données — le cœur du principe d'accountability.

Quand une AIPD est-elle obligatoire pour un système d'IA ?

L'article 35 du RGPD impose une AIPD lorsqu'un traitement est « susceptible d'engendrer un risque élevé » pour les droits et libertés des personnes. Or les systèmes d'IA cumulent souvent plusieurs facteurs de risque élevé identifiés par le Comité européen de la protection des données (EDPB) : évaluation ou notation de personnes, décision automatisée avec effet significatif, surveillance systématique, données sensibles, traitement à grande échelle, croisement de jeux de données, personnes vulnérables, technologie innovante, et traitement empêchant d'exercer un droit ou de bénéficier d'un service.

La règle pratique de l'EDPB : dès que deux de ces neuf critères sont réunis, le traitement est présumé à risque élevé et l'AIPD devient obligatoire. Un modèle de scoring RH, un assistant entraîné sur des échanges clients, un outil de détection de fraude, un système de tri de CV : tous en cochent facilement trois ou quatre.

La CNIL va dans le même sens : elle recommande fortement une AIPD pour le développement d'un système d'IA, notamment quand deux critères sont réunis (personnes vulnérables, croisement de jeux de données, solution innovante). Et surtout : dès que des risques importants existent — mésusage, violation de données, ou discrimination — l'AIPD doit être réalisée même si ces critères ne sont pas atteints.

Pour un projet d'IA qui traite des données personnelles, la question n'est donc presque jamais « faut-il une AIPD ? » mais « comment la mener correctement ? ». En cas de doute : la réaliser.

Les spécificités d'une AIPD sur un système d'IA

Une AIPD IA n'est pas une AIPD classique dupliquée. Cinq spécificités doivent figurer explicitement dans le document.

• Distinction développement / déploiement. Le RGPD s'applique à l'entraînement (constitution des jeux de données) comme à l'utilisation. Les risques diffèrent : base légale et minimisation à l'entraînement ; qualité des sorties, biais et décisions en production.
• Base légale et minimisation face aux volumes massifs. L'AIPD doit justifier la base légale (intérêt légitime, consentement, mission d'intérêt public) et démontrer que le volume reste proportionné — la CNIL a publié des recommandations spécifiques, notamment sur l'intérêt légitime.
• Biais et discrimination. Le risque le plus spécifique à l'IA. L'AIPD doit décrire la détection/correction des biais, la représentativité des données et les tests d'équité. C'est l'un des risques qui rendent l'AIPD obligatoire selon la CNIL.
• Droits des personnes sur un modèle entraîné. Accès, rectification, effacement : comment les exercer quand la donnée est « absorbée » dans les poids ? L'AIPD documente les modalités concrètes.
• Sécurité spécifique des systèmes d'IA. Fuite via les prompts, extraction du modèle, empoisonnement, injection de prompt : les mesures doivent couvrir les menaces de sécurité propres aux IA, en cohérence avec l'ANSSI et le NIST AI RMF.

Comment réaliser une AIPD IA en 7 étapes

• Étape 1 — Décrire le système et le traitement. Finalité, catégories de données, personnes concernées, flux, sous-traitants, conservation, et la distinction entraînement / inférence. Documenter le modèle (interne, fournisseur, open-weight) et les transferts hors UE.
• Étape 2 — Vérifier nécessité et proportionnalité. L'IA est-elle nécessaire à la finalité ? Les données sont-elles minimisées ? Existe-t-il une alternative moins intrusive ? Cette étape justifie la base légale.
• Étape 3 — Identifier les risques. Pour chaque risque (accès illégitime, modification, disparition, mais aussi biais, mésusage, décision erronée), coter gravité et vraisemblance. Les biais et la discrimination se traitent ici.
• Étape 4 — Définir les mesures. Techniques (chiffrement, cloisonnement, filtrage des sorties, journalisation), organisationnelles (supervision humaine, contestation, formation) et de gouvernance (validation avant mise en production).
• Étape 5 — Statuer sur le risque résiduel. Si un risque élevé subsiste après mesures, consulter la CNIL avant de démarrer (consultation préalable, article 36 du RGPD).
• Étape 6 — Faire valider et documenter. L'avis du DPO est requis. La position des personnes concernées peut être recueillie. Document daté, versionné, conservé comme preuve d'accountability.
• Étape 7 — Réviser dans le temps. Réentraînement, nouvelle source, changement de finalité : l'AIPD est un document vivant, à réexaminer à chaque évolution significative.

AIPD et AI Act : ne pas confondre AIPD et FRIA

L'AI Act introduit une autre analyse d'impact : la FRIA (Fundamental Rights Impact Assessment), prévue à l'article 27. Les deux se ressemblent mais ne se recouvrent pas — voir le comparatif AIPD vs FRIA.

L'AIPD (RGPD) porte sur les risques liés au traitement de données personnelles. La FRIA (AI Act) couvre un spectre plus large de droits fondamentaux (non-discrimination, dignité, protection des enfants, accès à la justice) et intègre des dimensions techniques (robustesse, exactitude, cybersécurité). Elle vise certains déployeurs de systèmes à haut risque (organismes publics, acteurs privés fournissant des services publics, certains cas de l'annexe III comme la solvabilité ou la tarification en assurance).

Bonne nouvelle : l'article 27.4 de l'AI Act prévoit que la FRIA peut s'appuyer sur l'AIPD déjà réalisée au titre du RGPD. La CNIL confirme que la documentation exigée par le règlement IA peut nourrir l'AIPD, sous réserve de comporter tous les éléments de l'article 35. L'approche efficace : une cartographie commune (données, personnes, risques), puis faire diverger les volets là où ils diffèrent.

À noter : l'obligation de FRIA, initialement au 2 août 2026, a été reportée au 2 décembre 2027 (paquet « Digital Omnibus »). L'AIPD, elle, est déjà pleinement obligatoire au titre du RGPD — aucun report. Détail des échéances : ce qui reste obligatoire le 2 août 2026.

Pourquoi industrialiser ses AIPD IA

Le problème n'est pas de faire une AIPD. C'est d'en faire cinquante — une par cas d'usage — de façon homogène, traçable et à jour. Fait à la main dans un tableur, ce travail est lent, incohérent d'un projet à l'autre, et impossible à auditer. Cela s'inscrit dans un cadre de gouvernance de l'IA plus large.

C'est le rôle d'une plateforme comme SiyadAI : cartographier les usages IA (Shadow AI compris), générer les AIPD (et le volet FRIA quand il s'applique) à partir d'un référentiel commun, suivre les risques résiduels et produire à tout moment le dossier de preuve attendu par la CNIL. L'AIPD passe d'un frein à un accélérateur.

Conclusion

Pour tout projet d'IA traitant des données personnelles, l'AIPD est la règle, pas l'exception. Menée correctement — en distinguant développement et déploiement, en traitant explicitement les biais, en anticipant la FRIA — elle sécurise le déploiement au lieu de le ralentir. Reste à l'industrialiser.

Vous devez cadrer les AIPD de vos projets d'IA ? Lancez un Scan Shadow AI gratuit, ou réservez une démonstration de 15 minutes.

Sources et références

• CNIL — Recommandations sur l'application du RGPD aux systèmes d'IA
• EDPB — Lignes directrices sur l'analyse d'impact (AIPD), critères de risque élevé
• Commission européenne — AI Act, article 27 (FRIA)
• ANSSI — Sécurité des systèmes d'IA générative ; NIST — AI Risk Management Framework

Cet article a une vocation informative et ne constitue pas un conseil juridique.