Aller au contenu
audit-ia-rgpd.frPré-audits IA et données personnelles

Pré-audit · Vos fournisseurs d’outils d’IA

Pré-audit : vos fournisseurs d’outils d’IA et vos données

Contrat, réutilisation des données, lieu de traitement, conservation, sortie : les questions à poser à chaque fournisseur.

Quand vous utilisez un outil d’IA, une partie du travail sur vos données est faite par son fournisseur. Ce pré-audit liste ce qu’il faut savoir de lui. Les réponses viennent de vos contrats et de vos réglages ; leur lecture juridique revient à un professionnel du droit.

11 questions. Ce site applique ce qu’il recommande : vos réponses ne sont ni transmises, ni conservées, ni analysées. Le fichier final reste sur votre appareil, sauf si vous choisissez de l’envoyer.

Avant de commencer

11 questions, une par écran. Répondez d’après ce que vous savez aujourd’hui : « je ne sais pas » est une réponse utile, qui deviendra une question pour votre juriste ou votre délégué.

Rien n’est conservé, ni sur le serveur ni dans votre navigateur : en fermant la page, vos réponses disparaissent. Téléchargez la synthèse pour la garder.

Le nom de votre organisation, ou un simple repère. Il n’apparaît que dans votre fichier.
  1. Question 1 sur 11

    Les outils d’IA utilisés pour le travail sont-ils des comptes payés et gérés par l’organisation, plutôt que des comptes personnels (offre professionnelle) ?

    Pourquoi on vous demande ça. L’offre professionnelle s’accompagne d’un contrat qui engage le fournisseur. Un compte gratuit personnel n’engage, le plus souvent, que ses conditions générales.

    Pour comprendre : IA et données personnelles : que fait le fournisseur ? (Diagnostic IA)

  2. Question 2 sur 11

    Quelqu’un a-t-il lu le contrat et les conditions de chaque fournisseur, pour ce qui touche aux données ?

    Pourquoi on vous demande ça. Le contrat dit ce que le fournisseur fait de vos données, combien de temps il les garde, et où. Ce qu’on n’a pas lu, on ne le maîtrise pas.

    Pour comprendre : Les questions à poser à un éditeur sur le RGPD (Guide des outils)

  3. Question 3 sur 11

    Le contrat oblige-t-il le fournisseur à n’utiliser vos données que pour vous, et selon vos consignes (accord de sous-traitance) ?

    Pourquoi on vous demande ça. Quand un fournisseur traite des données personnelles pour vous, le RGPD demande un contrat qui fixe ses obligations (article 28).

    Pour comprendre : Les obligations minimales du RGPD, en pratique (Formation gratuite) ; Le RGPD, règlement (UE) 2016/679, texte officiel en français (EUR-Lex)

  4. Question 4 sur 11

    Le fournisseur s’interdit-il de réutiliser vos données pour entraîner ses modèles, ou avez-vous coupé ce réglage ?

    Pourquoi on vous demande ça. Une donnée réutilisée pour l’entraînement sort du cadre de votre usage. Le contrat ou un réglage doivent le dire clairement.

    Pour comprendre : IA et données personnelles : que fait le fournisseur ? (Diagnostic IA) ; Prévenir, sans affoler : quatre points d’attention et le geste qui protège (Agence IA Toulouse)

  5. Question 5 sur 11

    Savez-vous dans quels pays vos données sont traitées et conservées, et sur quelles garanties reposent les transferts hors de l’Union européenne ?

    Pourquoi on vous demande ça. Un transfert hors de l’Union européenne demande des garanties : une décision d’adéquation, des clauses contractuelles types, ou un autre mécanisme prévu par le RGPD.

    Pour comprendre : IA et données personnelles : où vont les données ? (Diagnostic IA) ; Le RGPD, règlement (UE) 2016/679, texte officiel en français (EUR-Lex)

  6. Question 6 sur 11

    Connaissez-vous la durée de conservation de vos données chez le fournisseur, y compris dans ses sauvegardes ?

    Pourquoi on vous demande ça. Une donnée effacée de l’écran peut rester conservée ailleurs. La durée doit être connue, et limitée.

    Pour comprendre : IA et données personnelles : combien de temps ? (Diagnostic IA)

  7. Question 7 sur 11

    Savez-vous si le fournisseur confie lui-même vos données à d’autres entreprises (sous-traitants ultérieurs) ?

    Pourquoi on vous demande ça. Les sous-traitants du fournisseur traitent aussi vos données. Le RGPD demande que vous ayez autorisé le recours à ces sous-traitants (article 28), et que vous soyez prévenu quand ils changent.

    Pour comprendre : Les obligations minimales du RGPD, en pratique (Formation gratuite)

  8. Question 8 sur 11

    Pourriez-vous récupérer vos données et changer d’outil sans tout perdre ?

    Pourquoi on vous demande ça. Garder la main, c’est pouvoir partir : récupérer ses données dans un format courant si le prix ou les conditions changent.

    Pour comprendre : Données et IA locale : garder la main (Agence IA Toulouse)

  9. Question 9 sur 11

    Les fonctions d’IA ajoutées à vos logiciels habituels (messagerie, bureautique, gestion) ont-elles été examinées comme un nouvel outil ?

    Pourquoi on vous demande ça. Une fonction d’IA activée par une mise à jour peut faire traiter vos données par un autre service. Elle mérite les mêmes questions qu’un nouvel outil.

    Pour comprendre : Ce que dit vraiment « avec IA » (Diagnostic IA)

  10. Question 10 sur 11

    Des comptes gratuits ou personnels servent-ils encore à des tâches professionnelles ?

    Pourquoi on vous demande ça. Sur un compte personnel, l’organisation ne contrôle ni les réglages, ni l’historique, ni ce qu’il devient au départ de la personne.

    Pour comprendre : Ce qu’il ne faut jamais confier à une IA (Guide des outils)

  11. Question 11 sur 11

    Pour les données les plus sensibles, avez-vous envisagé un outil installé chez vous ou hébergé en France ?

    Pourquoi on vous demande ça. Quand les données le justifient, une IA locale ou hébergée en France réduit les transferts. Elle a aussi ses contraintes : matériel, temps, mises à jour.

    Pour comprendre : Données et IA locale : garder la main (Agence IA Toulouse) ; IA locale ou IA en nuage : que choisir ? (Formation gratuite)

Les onze points en bref

Les points que ce pré-audit vous aide à repérer, avant d’en parler à votre juriste ou à votre délégué :

  1. Les outils utilisés relèvent d’offres professionnelles.
  2. Les clauses sur les données ont été lues.
  3. Un accord de sous-traitance encadre le fournisseur.
  4. Vos données ne servent pas à l’entraînement.
  5. Les pays de traitement et les garanties de transfert sont connus.
  6. La durée de conservation chez le fournisseur est connue.
  7. Les sous-traitants du fournisseur sont connus.
  8. Vous pouvez récupérer vos données et changer d’outil.
  9. Les fonctions d’IA de vos logiciels ont été examinées.
  10. Aucun compte personnel ne sert à des tâches professionnelles.
  11. L’option d’une IA locale ou hébergée en France a été examinée.

Les sources officielles

Les textes officiels et les fiches de la CNIL font foi ; ce pré-audit n’en est qu’une porte d’entrée.

Adresses relevées le 10 novembre 2026.

Et après ?

Prochain pas : transmettre la synthèse à la personne chargée des données personnelles. Puis, le pré-audit suivant :

Pré-audit : les personnes concernées et vos obligations RGPD