RGPD et IA Generative : Guide de Conformite CNIL en 2026

La convergence entre RGPD IA générative conformité CNIL 2026 cristallise les tensions les plus vives du droit numérique européen contemporain. L'IA générative — qu'il s'agisse de ChatGPT (OpenAI), Claude (Anthropic), Gemini (Google) ou des modèles open source comme Mistral Large — traite des données dans des conditions radicalement nouvelles : entraînement sur des corpus massifs potentiellement issus de scraping web, génération de contenu pouvant révéler des données personnelles, impossibilité technique d'effacer une information d'un modèle entraîné. Ces caractéristiques heurtent frontalement plusieurs principes fondamentaux du RGPD : finalité limitée, minimisation des données, droit d'accès et droit à l'effacement. La CNIL a publié ses premières recommandations sur l'IA générative en 2023-2024, l'EDPB a adopté son Opinion 28/2024 sur le scraping des données d'entraînement, et des DPA des principaux fournisseurs LLM ont été diffusés. Ce guide fait le point exhaustif sur l'état du droit applicable en 2026 pour les entreprises françaises utilisant l'IA générative dans leurs processus métier.

Les prises de position CNIL sur ChatGPT et l'IA générative

La CNIL a été l'une des premières autorités européennes à s'emparer du sujet de l'IA générative et du RGPD. Son action s'est déployée sur plusieurs fronts depuis 2023 :

Mars-juin 2023 — Enquête sur ChatGPT : suite à la plainte de l'association NOYB, la CNIL (avec d'autres DPA européens) a ouvert une enquête sur OpenAI et l'utilisation de données personnelles par ChatGPT. En juin 2023, ChatGPT a été temporairement suspendu en Italie par le Garante (GPDP) avant d'être réactivé après des engagements d'OpenAI sur la transparence et les droits des utilisateurs européens.

Recommandations CNIL 2023 sur les LLM : la CNIL a publié des fiches pratiques sur l'utilisation de l'IA en entreprise, incluant des recommandations sur la base légale applicable, la nécessité de DPIA et les mesures de sécurité à mettre en place pour les LLM traitant des données personnelles. Les recommandations actualisées sont disponibles sur cnil.fr.

2024 — Bac à sable IA CNIL : la CNIL a lancé son programme de bac à sable réglementaire IA, permettant à des entreprises de développer des systèmes IA dans un cadre supervisé avec un accompagnement RGPD personnalisé. Une vingtaine de projets pilotes ont été accompagnés, principalement dans les secteurs santé, RH et marketing.

Quelle base légale pour traiter des données personnelles via un LLM ?

La question de la base légale (art. 6 RGPD) est la première à résoudre avant tout déploiement d'un LLM en entreprise. Selon le cas d'usage, différentes bases légales peuvent s'appliquer :

Intérêt légitime (art. 6(1)(f)) : c'est la base légale la plus couramment utilisée pour les usages professionnels internes de l'IA générative (assistant de rédaction, synthèse de contrats, analyse de données métier). Elle nécessite un test de mise en balance documenté démontrant que les intérêts légitimes de l'entreprise l'emportent sur les droits et libertés des personnes concernées. Attention : ce test doit être refait pour chaque nouveau cas d'usage.

Exécution contractuelle (art. 6(1)(b)) : applicable lorsque le traitement LLM est nécessaire à l'exécution d'un contrat avec la personne concernée (ex : personnalisation d'un service, support client via chatbot). Limite importante : le caractère "nécessaire" est strictement interprété — utiliser un LLM alors qu'un traitement plus simple suffirait n'est pas couvert par cette base.

Consentement (art. 6(1)(a)) : théoriquement possible, mais très difficile à maintenir en pratique pour les LLM. Le consentement doit être libre, spécifique, éclairé et révocable. La révocabilité pose le problème du droit à l'effacement dans les modèles entraînés (voir section suivante). Pour les chatbots B2C traitant des données sensibles, le consentement reste la base à privilégier malgré ses contraintes.

Obligation légale (art. 6(1)(c)) : applicable si un texte légal impose le recours à l'IA (ex : traitement automatique de certaines demandes administratives prévu par la loi). Rare pour l'IA générative en contexte enterprise.

La DPIA obligatoire pour les déploiements LLM à risque élevé

L'article 35 du RGPD impose une DPIA (Data Protection Impact Assessment / Analyse d'Impact relative à la Protection des Données — AIPD) avant tout traitement susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. En 2026, les déploiements LLM suivants sont présumés nécessiter une DPIA :

• LLM traitant des données personnelles à grande échelle (chatbots B2C, assistants RH pour l'ensemble des salariés)
• LLM traitant des catégories spéciales de données (santé, opinions politiques, orientation sexuelle, données biométriques)
• LLM utilisés pour une prise de décision automatisée avec effets juridiques ou significatifs (scoring, tri, sélection)
• LLM déployés dans des secteurs sensibles : santé, services financiers, éducation, ressources humaines

La DPIA doit documenter : la description du traitement (architecture LLM, flux de données, sous-traitants), les risques identifiés (fuite de données personnelles, hallucination générant des informations fausses sur des personnes, biais discriminatoires), les mesures de mitigation (pseudonymisation des prompts, filtrage post-génération, supervision humaine, DPA avec le fournisseur LLM) et la conclusion sur l'acceptabilité du risque résiduel.

L'Opinion EDPB 28/2024 sur le scraping des données d'entraînement

L'EDPB Opinion 28/2024, publiée en juillet 2024, constitue la position européenne de référence sur la légalité du scraping de données personnelles pour entraîner des modèles IA. Les conclusions principales :

Le scraping de données personnelles disponibles publiquement sur internet (réseaux sociaux, forums, sites web) n'est pas légal par défaut pour l'entraînement de LLM. La "disponibilité publique" d'une donnée ne constitue pas une base légale suffisante. Les fournisseurs de LLM doivent démontrer qu'ils disposaient d'une base légale valide (consentement des auteurs, licence compatible, intérêt légitime passant le test de mise en balance) pour chaque catégorie de données incluse dans leurs corpus d'entraînement.

Cette Opinion a des conséquences directes pour les entreprises européennes déployant des LLM : lors du choix d'un fournisseur LLM, la capacité à démontrer la conformité RGPD du corpus d'entraînement devient un critère de sélection et une clause contractuelle à négocier dans le DPA. L'EDPB maintient ses positions actualisées sur edpb.europa.eu.

Le droit à l'oubli face aux LLM : une tension technique fondamentale

L'article 17 du RGPD consacre le droit à l'effacement ("droit à l'oubli"). Son application aux LLM pose un problème technique fondamental : il est actuellement techniquement impossible d'effacer une information spécifique d'un modèle de langage une fois qu'il a été entraîné. Le modèle ne stocke pas les données d'entraînement — il encode leurs patterns dans des milliards de paramètres (poids). "Effacer" une donnée spécifique d'un modèle déjà entraîné nécessiterait soit de réentraîner l'ensemble du modèle (coût prohibitif), soit d'utiliser des techniques d'"unlearning" machine learning dont la fiabilité n'est pas garantie.

La CNIL et l'EDPB ont reconnu cette limitation technique. Les mesures compensatoires acceptées en pratique :

• Minimisation ex ante : concevoir le processus d'entraînement pour exclure dès l'origine les données personnelles identifiables (pseudonymisation, anonymisation avant ingestion)
• Filtrage post-génération : systèmes de filtrage empêchant le LLM de régurgiter des données personnelles identifiables dans ses réponses
• Restriction d'accès : limiter l'accès au modèle aux personnes habilitées si l'effacement complet est impossible
• Rétention limitée : ne pas utiliser les conversations passant par le LLM pour affiner le modèle sans base légale et consentement
• Durée limitée de déploiement : retirer un modèle en production et le remplacer par un modèle réentraîné avec corpus épuré à intervalles réguliers

Les DPA des fournisseurs LLM : OpenAI, Microsoft Azure, Google Vertex AI

La négociation et la vérification du Data Processing Agreement (DPA) avec les fournisseurs LLM est une étape obligatoire du déploiement conforme RGPD. En 2026, les principaux fournisseurs proposent des niveaux de garanties très différents selon l'offre souscrite :

OpenAI Enterprise : le seul niveau offrant un DPA RGPD complet. Garanties : pas d'utilisation des données client pour entraîner les modèles, données traitées sur des serveurs US (avec garanties standard contractuelles — SCCs pour le transfert UE→US), engagement de confidentialité des employés OpenAI, SOC 2 Type II. L'offre ChatGPT Team et ChatGPT Plus (grand public) n'offrent pas les mêmes garanties — les données peuvent être utilisées pour améliorer les modèles par défaut.

Microsoft Azure OpenAI Service : intégré dans l'écosystème Azure avec localisation possible en régions EU (France Central, Netherlands). DPA Azure RGPD standard applicable, avec option de traitement confidentiel (Azure Confidential Computing). Microsoft s'engage à ne pas utiliser les données Azure OpenAI pour entraîner les modèles GPT. Recommandé pour les organisations déjà dans l'écosystème Microsoft avec des exigences de souveraineté européenne.

Google Vertex AI (Gemini) : disponible en régions européennes (europe-west1, europe-west3). DPA Google Cloud applicable, engagement de non-utilisation des données client pour l'entraînement. Certifié ISO 27001, SOC 2, PCI DSS.

Mistral AI : fournisseur français avec serveurs en France (OVHcloud). DPA RGPD français, sans transfert hors UE. Solution privilégiée par les organisations à contraintes de souveraineté maximales. Les informations sur le cadre RGPD applicable aux transferts de données sont disponibles sur cnil.fr.

Données personnelles dans les prompts : risques et bonnes pratiques

L'un des risques les plus concrets et immédiats des déploiements LLM en entreprise est la saisie involontaire ou intentionnelle de données personnelles dans les prompts. Une assistante juridique qui demande à ChatGPT d'analyser un contrat incluant des noms de clients, un médecin qui soumet un résumé de dossier à un LLM pour rédiger un courrier, un commercial qui partage des données CRM dans ses prompts — ces pratiques quotidiennes constituent des traitements RGPD non encadrés.

Les bonnes pratiques de gestion des données personnelles dans les prompts :

• Politique d'usage IA : rédiger et diffuser une politique claire sur ce qui peut et ne peut pas être soumis à un LLM externe. Interdiction explicite des données de catégories spéciales (santé, données judiciaires, données sensibles business)
• Pseudonymisation systématique : former les utilisateurs à remplacer les noms propres, numéros de sécurité sociale, IBAN et autres identifiants par des pseudonymes avant soumission au LLM
• Déploiement on-premise : pour les données les plus sensibles, considérer un LLM local (Mistral 7B/8B via Ollama, LLaMA 3 sur GPU interne) qui ne transmet aucune donnée à un tiers. Voir notre comparatif LLM on-premise vs cloud
• Journalisation des prompts : archiver les prompts envoyés aux LLM externes (avec les données personnelles anonymisées) pour les besoins de traçabilité RGPD et de détection d'abus
• Formation des utilisateurs : inclure la sensibilisation au RGPD-LLM dans les programmes de formation annuels de sécurité

Guide pratique de conformité RGPD par type d'usage LLM

Chaque cas d'usage LLM a des implications RGPD différentes. Voici un guide rapide des mesures à mettre en place selon le type d'utilisation :

Questions fréquentes sur le RGPD et l'IA générative

Peut-on utiliser ChatGPT en entreprise sans violer le RGPD ?

Oui, sous conditions. Pour une utilisation conforme RGPD en entreprise, il faut : souscrire à ChatGPT Enterprise (pas la version grand public/Team) pour bénéficier du DPA OpenAI complet et de la garantie de non-utilisation des données pour l'entraînement. Former les utilisateurs à ne pas saisir de données personnelles sensibles dans les prompts. Documenter la base légale du traitement (intérêt légitime avec test de mise en balance). Inclure OpenAI dans le registre des sous-traitants RGPD. La version gratuite/Plus de ChatGPT ne satisfait pas les exigences RGPD pour un usage professionnel impliquant des données personnelles.

Le RGPD s'applique-t-il aux LLM open source utilisés en interne ?

Oui, le RGPD s'applique à tout traitement de données personnelles par un LLM, qu'il soit hébergé par un tiers (OpenAI, Microsoft) ou déployé en interne (Mistral, LLaMA, Falcon). Un LLM open source hébergé sur vos serveurs élimine les risques de transfert de données à un sous-traitant externe et simplifie la conformité RGPD (pas de DPA tiers, serveurs en UE). En revanche, vous restez responsable de la sécurité du modèle (accès non autorisé, exfiltration), de la documentation des traitements dans le registre et des DPIA pour les usages à risque élevé. Notre guide IA et conformité RGPD approfondit ce sujet.

Comment exercer le droit d'accès sur les données traitées par un LLM ?

Le droit d'accès (art. 15 RGPD) s'applique aux données personnelles traitées par le responsable de traitement — y compris via un LLM. Concrètement, les entreprises doivent être capables de : répondre aux demandes d'accès en retrouvant les prompts contenant les données de la personne (si journalisés), informer sur les destinataires des données (le fournisseur LLM comme sous-traitant), indiquer la durée de conservation des logs/conversations. L'impossibilité d'effacer les données du modèle entraîné doit être documentée et des mesures compensatoires expliquées à la personne concernée. Des outils de gestion des droits des personnes (OneTrust, Usercentrics) peuvent automatiser le suivi des demandes.

L'AI Act et le RGPD s'appliquent-ils en même temps aux LLM ?

Oui, les deux réglementations s'appliquent en parallèle et se cumulent. Le RGPD régit le traitement des données personnelles par le LLM (base légale, DPIA, droits des personnes). L'AI Act régit le système IA lui-même selon son niveau de risque (GPAI si > 10²⁵ FLOPs, haut risque selon l'usage dans les 8 catégories Annexe III). Un chatbot RH utilisant un GPAI pour filtrer des candidatures cumule les obligations RGPD (DPIA, base légale, droits des candidats) et AI Act (catégorie haut risque Annexe III, supervision humaine, enregistrement). La CNIL est compétente pour les aspects RGPD, et co-compétente avec d'autres autorités pour les aspects AI Act selon le secteur. Le cadre général du RGPD est consultable sur EUR-Lex.

Peut-on entraîner un LLM sur des données d'entreprise sans violer le RGPD ?

Oui, mais avec des précautions spécifiques. L'entraînement d'un LLM sur des données internes (documents de l'entreprise, emails, bases de données métier) est possible si : les données utilisées sont soit non personnelles, soit pseudonymisées/anonymisées avant ingestion. Si les données contiennent des données personnelles de salariés ou clients, une base légale est requise pour chaque catégorie de personnes concernées. Une DPIA est obligatoire pour l'entraînement sur données personnelles à grande échelle. Les personnes concernées doivent être informées du traitement de leurs données pour l'entraînement IA (obligation de transparence art. 13/14 RGPD). Notre guide gouvernance LLM et conformité détaille les meilleures pratiques d'entraînement conforme.

Checklist de conformité RGPD pour les projets IA générative

Avant tout déploiement d'un système d'IA générative traitant des données personnelles, voici la checklist de conformité RGPD minimum à valider :

• Identification exhaustive des données personnelles traitées par le LLM (données d'entrée/prompts, données de contexte, données de sortie générées)
• Définition de la base légale applicable pour chaque catégorie de données personnelles traitées
• Réalisation d'une DPIA si le traitement présente des risques élevés (décision automatisée, données sensibles, grande échelle)
• Négociation et signature d'un DPA conforme RGPD avec le fournisseur LLM (OpenAI Enterprise, Azure OpenAI, Google Vertex AI, ou fournisseur européen)
• Vérification de la localisation des données (préférer les régions EU) et des mécanismes de transfert international (SCCs pour US)
• Mise en place de politiques d'usage IA interdisant la saisie de catégories spéciales de données personnelles dans les prompts sans mesures spécifiques
• Information des personnes concernées sur le traitement LLM (mentions légales, politique de confidentialité à jour)
• Mise en place d'un mécanisme permettant de répondre aux droits des personnes (accès, rectification, portabilité) dans le contexte LLM
• Enregistrement du traitement dans le registre des activités de traitement (art. 30 RGPD)
• Formation des utilisateurs aux bonnes pratiques de pseudonymisation des prompts

Sanctions RGPD liées à l'IA : premiers cas en Europe

Les autorités de protection des données européennes commencent à sanctionner les manquements RGPD liés à l'IA. Ces premiers cas établissent la jurisprudence pour les entreprises françaises :

En Italie, le Garante (autorité italienne de protection des données) a été la première DPA à agir contre ChatGPT en mars 2023, imposant une suspension temporaire jusqu'à ce qu'OpenAI apporte des garanties sur la transparence et les droits des utilisateurs. OpenAI a fourni des mécanismes permettant aux utilisateurs de s'opposer à l'entraînement de leurs données.

En Espagne, l'AEPD a sanctionné en 2024 une entreprise utilisant un LLM pour analyser des dossiers RH sans information préalable des salariés et sans DPIA, au motif de violation des articles 13 (information) et 35 (DPIA obligatoire pour traitement à risque élevé).

En France, la CNIL a adressé en 2024 plusieurs mises en demeure à des entreprises utilisant des solutions d'IA générative sans DPA avec les fournisseurs tiers. Ces mises en demeure n'ont pas encore conduit à des sanctions financières mais signalent une vigilance croissante.

Ces précédents montrent que les autorités DPA se concentrent en priorité sur : l'absence de DPA avec les fournisseurs LLM, l'absence de DPIA pour les usages à risque élevé, le manque de transparence envers les personnes concernées, et l'utilisation de données de catégories spéciales (santé, données judiciaires) sans base légale appropriée.

Conclusion : construire une stratégie IA générative conforme RGPD dès 2026

La conformité RGPD de l'IA générative n'est pas un obstacle à l'innovation — c'est un cadre qui structure un déploiement responsable et durable. Les entreprises qui investissent maintenant dans la conformité RGPD de leurs usages IA (DPA négociés, DPIA réalisées, politiques d'usage en place) bâtissent une confiance durable avec leurs clients, employés et régulateurs.

La convergence RGPD + AI Act + ISO 42001 crée un écosystème de gouvernance IA que les organisations les plus avancées abordent de manière intégrée : une seule DPIA couvre à la fois les obligations RGPD et les éléments de l'évaluation de risque AI Act, un DPO et un AI Act responsable travaillent en coordination. Notre guide gouvernance LLM et conformité et notre service RSSI externalisé vous accompagnent dans cette démarche intégrée. Pour les entreprises qui démarrent, notre guide IA et RGPD est le point d'entrée recommandé. L'ensemble des recommandations CNIL sur l'IA est disponible sur cnil.fr.