Aller au contenu
audit-ia-rgpd.frPré-audits IA et données personnelles

Pré-audit · Les personnes concernées et vos obligations

Pré-audit : les personnes concernées et vos obligations RGPD

Registre, information, droits, décisions automatisées, analyse d’impact, incidents : les obligations du RGPD que l’IA rend plus visibles.

Le RGPD s’applique tel quel quand vous utilisez l’IA, et la CNIL publie des recommandations pour l’y appliquer : ce sont les mêmes obligations, sur de nouveaux usages. Ce pré-audit les passe en revue, du registre à la gestion d’un incident. Il prépare les questions à poser à votre délégué à la protection des données ou à votre juriste.

11 questions. Ce site applique ce qu’il recommande : vos réponses ne sont ni transmises, ni conservées, ni analysées. Le fichier final reste sur votre appareil, sauf si vous choisissez de l’envoyer.

Avant de commencer

11 questions, une par écran. Répondez d’après ce que vous savez aujourd’hui : « je ne sais pas » est une réponse utile, qui deviendra une question pour votre juriste ou votre délégué.

Rien n’est conservé, ni sur le serveur ni dans votre navigateur : en fermant la page, vos réponses disparaissent. Téléchargez la synthèse pour la garder.

Le nom de votre organisation, ou un simple repère. Il n’apparaît que dans votre fichier.
  1. Question 1 sur 11

    Avez-vous une liste écrite de ce que l’organisation fait des données personnelles, avec les usages réguliers de l’IA (registre des activités de traitement) ?

    Pourquoi on vous demande ça. Le registre recense ce que l’organisation fait des données personnelles (article 30). Un usage régulier de l’IA sur des données personnelles y a sa place.

    Pour comprendre : Le registre des activités de traitement (CNIL) ; Cartographier ses données personnelles (Formation gratuite)

  2. Question 2 sur 11

    Pour chaque usage, savez-vous ce qui le rend permis : un contrat, une obligation de la loi, un intérêt légitime, un consentement… (base légale) ?

    Pourquoi on vous demande ça. Tout traitement de données personnelles repose sur une base légale. Le choix n’est pas libre : il dépend de l’usage, et un professionnel peut vous aider à le trancher.

    Pour comprendre : Les principes du RGPD et les droits des personnes (Formation gratuite) ; Le RGPD, règlement (UE) 2016/679, texte officiel en français (EUR-Lex)

  3. Question 3 sur 11

    Les personnes concernées sont-elles prévenues, dans vos documents et sur votre site, que des outils d’IA traitent leurs données (mentions d’information) ?

    Pourquoi on vous demande ça. L’information doit être claire, accessible, et dire qui traite les données, pourquoi, et à quels destinataires elles vont.

    Pour comprendre : Les principes du RGPD et les droits des personnes (Formation gratuite) ; IA et données personnelles : information et droits (Diagnostic IA)

  4. Question 4 sur 11

    Un outil prend-il seul, sans qu’une personne intervienne, une décision qui compte pour quelqu’un (décision automatisée) ?

    Pourquoi on vous demande ça. Le RGPD encadre les décisions fondées exclusivement sur un traitement automatisé (article 22). Une personne doit pouvoir obtenir une intervention humaine.

    Pour comprendre : Les principes du RGPD et les droits des personnes (Formation gratuite) ; Le RGPD, règlement (UE) 2016/679, texte officiel en français (EUR-Lex)

  5. Question 5 sur 11

    Avez-vous vérifié si un usage de l’IA demande une étude préalable des risques pour les personnes (analyse d’impact, AIPD) ?

    Pourquoi on vous demande ça. L’AIPD est obligatoire pour certains traitements à risque élevé, notamment s’ils remplissent au moins deux des neuf critères européens.

    Pour comprendre : Ce qu’il faut savoir sur l’analyse d’impact (AIPD) (CNIL) ; Gestion des risques liés à l’IA : par où commencer (Agence IA Toulouse)

  6. Question 6 sur 11

    Une personne qui demande l’accès à ses données, ou leur effacement, obtiendrait-elle une réponse complète, y compris pour ce qui est passé par un outil d’IA ?

    Pourquoi on vous demande ça. Les droits d’accès, de rectification, d’effacement et d’opposition s’exercent aussi sur les données confiées à vos outils.

    Pour comprendre : Les principes du RGPD et les droits des personnes (Formation gratuite)

  7. Question 7 sur 11

    Les accès aux outils d’IA qui contiennent des données personnelles sont-ils limités aux personnes qui en ont besoin ?

    Pourquoi on vous demande ça. La sécurité des données fait partie des obligations du RGPD (article 32). Moins de personnes ont accès, plus le risque baisse.

    Pour comprendre : La gestion des accès en équipe (Formation gratuite) ; Mots de passe et authentification : la double authentification (Formation gratuite)

  8. Question 8 sur 11

    Savez-vous quoi faire si des données personnelles partent au mauvais endroit à cause d’un outil d’IA (violation de données) ?

    Pourquoi on vous demande ça. Une violation de données peut devoir être notifiée à la CNIL dans des délais courts, et parfois aux personnes concernées (articles 33 et 34).

    Pour comprendre : Les obligations minimales du RGPD, en pratique (Formation gratuite) ; Le RGPD, règlement (UE) 2016/679, texte officiel en français (EUR-Lex)

  9. Question 9 sur 11

    Les salariés ont-ils été informés de l’usage d’outils d’IA qui traitent leurs données ou changent leur travail, et le CSE associé s’il existe ?

    Pourquoi on vous demande ça. Les salariés sont des personnes concernées comme les autres. Un outil qui change l’organisation du travail se prépare aussi avec les représentants du personnel.

    Pour comprendre : Gestion des risques liés à l’IA : par où commencer (Agence IA Toulouse) ; En parler avec son équipe (Formation gratuite)

  10. Question 10 sur 11

    Avez-vous une personne chargée des questions de données personnelles (délégué à la protection des données) ?

    Pourquoi on vous demande ça. Certaines organisations doivent désigner un délégué. Pour les autres, une personne référente évite que les questions restent sans réponse.

    Pour comprendre : Gestion des risques liés à l’IA : par où commencer (Agence IA Toulouse) ; Le site de la CNIL (CNIL)

  11. Question 11 sur 11

    Votre liste des usages de l’IA est-elle revue à chaque nouvel outil, et au moins une fois par an ?

    Pourquoi on vous demande ça. Les outils changent, leurs conditions aussi. Une revue régulière garde le registre, l’information et les réglages à jour.

    Pour comprendre : Gestion des risques liés à l’IA : par où commencer (Agence IA Toulouse)

Les onze points en bref

Les points que ce pré-audit vous aide à repérer, avant d’en parler à votre juriste ou à votre délégué :

  1. Le registre existe et inclut les usages de l’IA.
  2. La base légale de chaque usage est identifiée.
  3. Les mentions d’information décrivent l’usage de l’IA.
  4. Aucune décision importante n’est prise sans intervention humaine.
  5. Le besoin d’une analyse d’impact a été vérifié.
  6. Les droits des personnes peuvent s’exercer, outils d’IA compris.
  7. Les accès sont limités aux personnes qui en ont besoin.
  8. Une procédure existe en cas de violation de données.
  9. Les salariés sont informés de l’usage des outils d’IA.
  10. Une personne est chargée des données personnelles.
  11. La liste des usages est revue régulièrement.

Les sources officielles

Les textes officiels et les fiches de la CNIL font foi ; ce pré-audit n’en est qu’une porte d’entrée.

Adresses relevées le 10 novembre 2026.

Et après ?

Prochain pas : transmettre la synthèse à la personne chargée des données personnelles. Puis, le pré-audit suivant :

Pré-audit : les données personnelles que vous confiez aux outils d’IA