Aller au contenu
audit-ia-rgpd.frPré-audits IA et données personnelles

Pré-audit · Les données que vous confiez aux outils d’IA

Pré-audit : les données personnelles que vous confiez aux outils d’IA

Repérer quelles données personnelles passent par vos outils d’IA, pourquoi, et lesquelles n’ont rien à y faire.

Avant les contrats et les obligations, une question simple : qu’est-ce qui part dans vos outils d’IA ? Ce pré-audit vous aide à le voir, catégorie par catégorie. Il repère des risques ; il ne dit pas si vous êtes en règle.

12 questions. Ce site applique ce qu’il recommande : vos réponses ne sont ni transmises, ni conservées, ni analysées. Le fichier final reste sur votre appareil, sauf si vous choisissez de l’envoyer.

Avant de commencer

12 questions, une par écran. Répondez d’après ce que vous savez aujourd’hui : « je ne sais pas » est une réponse utile, qui deviendra une question pour votre juriste ou votre délégué.

Rien n’est conservé, ni sur le serveur ni dans votre navigateur : en fermant la page, vos réponses disparaissent. Téléchargez la synthèse pour la garder.

Le nom de votre organisation, ou un simple repère. Il n’apparaît que dans votre fichier.
  1. Question 1 sur 12

    Avez-vous la liste des usages de l’IA qui touchent des données personnelles, outil par outil (cartographie des données) ?

    Pourquoi on vous demande ça. On ne protège bien que ce qu’on connaît. Cette liste est le point de départ du registre, de l’information des personnes et, si besoin, d’une analyse d’impact.

    Pour comprendre : Cartographier ses données personnelles (Formation gratuite) ; Le kit gratuit à télécharger : charte d’usage, registre des usages… (Formation gratuite)

  2. Question 2 sur 12

    Savez-vous reconnaître une donnée personnelle indirecte : un numéro de dossier, une plaque d’immatriculation, une voix, un code de badge attribué à une personne ?

    Pourquoi on vous demande ça. Une donnée personnelle n’est pas seulement un nom. Tout ce qui permet de reconnaître une personne, directement ou en croisant des informations, en est une.

    Pour comprendre : Reconnaître une donnée personnelle (Formation gratuite)

  3. Question 3 sur 12

    Des informations notamment sur la santé, l’origine, les opinions politiques, religieuses ou philosophiques, l’appartenance syndicale, la vie ou l’orientation sexuelle, ou des données génétiques ou biométriques servant à identifier quelqu’un (données sensibles) peuvent-elles passer par un outil d’IA ?

    Pourquoi on vous demande ça. Ces catégories particulières sont, en principe, interdites de traitement, sauf exceptions prévues par le RGPD (article 9).

    Pour comprendre : Les données sensibles (Formation gratuite) ; Le RGPD, règlement (UE) 2016/679, texte officiel en français (EUR-Lex)

  4. Question 4 sur 12

    Des données concernant des enfants ou des personnes vulnérables peuvent-elles passer par un outil d’IA ?

    Pourquoi on vous demande ça. Le RGPD demande une protection particulière pour les enfants. Les personnes vulnérables appellent la même prudence.

    Pour comprendre : Les principes du RGPD et les droits des personnes (Formation gratuite) ; Le RGPD, règlement (UE) 2016/679, texte officiel en français (EUR-Lex)

  5. Question 5 sur 12

    Pour chaque usage, est-il écrit pourquoi ces données passent par l’outil (finalité) ?

    Pourquoi on vous demande ça. Le RGPD demande une finalité déterminée et explicite. « Pour voir ce que ça donne » n’en est pas une.

    Pour comprendre : IA et données personnelles : pour quoi faire ? (Diagnostic IA) ; Les principes du RGPD et les droits des personnes (Formation gratuite)

  6. Question 6 sur 12

    Ne donnez-vous à l’outil que les données dont il a vraiment besoin pour la tâche (minimisation) ?

    Pourquoi on vous demande ça. C’est le principe de minimisation : pour résumer un échange, le nom du client est rarement utile.

    Pour comprendre : Les principes du RGPD et les droits des personnes (Formation gratuite)

  7. Question 7 sur 12

    Avant de coller un texte, enlevez-vous ce qui permet de reconnaître la personne (pseudonymisation) ?

    Pourquoi on vous demande ça. Retirer le nom, l’adresse, le numéro et le détail trop parlant limite le risque. Mais un texte où l’on peut encore reconnaître la personne reste une donnée personnelle.

    Pour comprendre : Le RGPD en clair (Guide des outils) ; Prévenir, sans affoler : quatre points d’attention et le geste qui protège (Agence IA Toulouse)

  8. Question 8 sur 12

    Les essais et les démonstrations se font-ils sur des exemples fictifs ?

    Pourquoi on vous demande ça. Un exemple inventé permet de juger l’outil sans exposer personne. Les vrais documents viennent après, et seulement s’ils sont autorisés.

    Pour comprendre : La démarche, étape par étape (Agence IA Toulouse)

  9. Question 9 sur 12

    Des informations couvertes par un secret (professionnel, médical, des affaires) peuvent-elles passer par un outil d’IA ?

    Pourquoi on vous demande ça. Le secret s’applique quel que soit l’outil : ce qui est couvert ne se confie pas à un service qui n’offre pas les garanties nécessaires.

    Pour comprendre : IA et données personnelles : les bonnes questions (Diagnostic IA) ; Gestion des risques liés à l’IA : par où commencer (Agence IA Toulouse)

  10. Question 10 sur 12

    Une règle écrite, connue de l’équipe, dit-elle quelles données peuvent aller dans quel outil ?

    Pourquoi on vous demande ça. Une charte d’usage transforme ces principes en consignes simples : ce qui est permis, ce qui est interdit, qui relit.

    Pour comprendre : Un modèle de charte d’usage (Guide des outils) ; Ce qu’il ne faut jamais confier à une IA (Guide des outils)

  11. Question 11 sur 12

    Savez-vous effacer l’historique des conversations et les fichiers déposés dans vos outils d’IA ?

    Pourquoi on vous demande ça. Ce qui reste dans l’historique reste une donnée conservée. La durée de conservation doit être limitée à ce qui est nécessaire.

    Pour comprendre : IA et données personnelles : combien de temps ? (Diagnostic IA)

  12. Question 12 sur 12

    Quand une réunion ou un appel est enregistré ou transcrit par un outil d’IA, les participants sont-ils prévenus ?

    Pourquoi on vous demande ça. Une voix et des propos rapportés sont des données personnelles. Les participants doivent savoir que l’échange est enregistré ou transcrit, et par quel outil.

    Pour comprendre : Les principes du RGPD et les droits des personnes (Formation gratuite) ; Le RGPD, règlement (UE) 2016/679, texte officiel en français (EUR-Lex)

Les douze points en bref

Les points que ce pré-audit vous aide à repérer, avant d’en parler à votre juriste ou à votre délégué :

  1. Les usages de l’IA qui touchent des données personnelles sont listés.
  2. Les données personnelles indirectes sont reconnues.
  3. Aucune donnée sensible ne passe par un outil d’IA.
  4. Aucune donnée d’enfant ou de personne vulnérable ne passe par un outil d’IA.
  5. Chaque usage a une finalité écrite.
  6. Seules les données nécessaires sont confiées à l’outil.
  7. Les textes sont pseudonymisés avant d’être collés.
  8. Les essais se font sur des exemples fictifs.
  9. Les informations couvertes par un secret restent hors des outils d’IA.
  10. Une règle écrite dit quelles données vont dans quel outil.
  11. L’historique et les fichiers déposés sont maîtrisés.
  12. Les participants sont prévenus des enregistrements et transcriptions.

Les sources officielles

Les textes officiels et les fiches de la CNIL font foi ; ce pré-audit n’en est qu’une porte d’entrée.

Adresses relevées le 10 novembre 2026.

Et après ?

Prochain pas : transmettre la synthèse à la personne chargée des données personnelles. Puis, le pré-audit suivant :

Pré-audit : vos fournisseurs d’outils d’IA et vos données