Pourquoi ce sujet est important
Le RGPD ne s’applique pas à un modèle abstrait mais à un traitement de données personnelles. Une application de support, un moteur RAG ou un agent peuvent collecter des identifiants, des conversations, des documents et des traces. La conformité doit donc être conçue dans toute la chaîne.
Cartographier le traitement
Décrivez la finalité, les utilisateurs, les personnes concernées, les données, les destinataires et les durées. Identifiez responsable de traitement et sous-traitants. Séparez données indispensables, optionnelles et interdites. Cette cartographie doit inclure prompts, pièces jointes, embeddings, cache, traces et sauvegardes.
Choisir une base légale
Le consentement n’est pas la seule base possible et ne doit pas être utilisé artificiellement. Selon le service, contrat, obligation légale ou intérêt légitime peuvent être pertinents. Documentez le raisonnement et informez les personnes avec un langage compréhensible. Pour les données sensibles, examinez aussi les conditions spécifiques de l’article 9.
Minimiser avant le modèle
Supprimez les champs inutiles, pseudonymisez quand cela préserve l’usage, détectez secrets et données sensibles, et limitez la longueur des historiques. La minimisation doit intervenir avant l’envoi au fournisseur et avant l’écriture dans les logs. Une interface ne doit pas encourager l’utilisateur à transmettre des données dont le service n’a pas besoin.
Encadrer les fournisseurs
Vérifiez DPA, finalités, sous-traitants, régions, transferts, rétention, usage pour amélioration et suppression. Un réglage “ne pas entraîner” ne répond pas à toutes les questions. Conservez une preuve datée de la configuration et réévaluez-la lors d’un changement de modèle ou d’offre.
Rendre les droits effectifs
Accès, rectification, opposition et effacement doivent fonctionner dans la base, les fichiers, l’index vectoriel, les caches et les traces. Conservez un lien stable entre une donnée et ses copies techniques, sans créer un nouvel identifiant excessivement intrusif. Testez réellement la procédure.
Évaluer le risque
Une AIPD est nécessaire lorsque le traitement est susceptible d’engendrer un risque élevé. Analysez effets sur les personnes, erreurs, biais, décisions automatisées, fuite de données et détournement. Les contrôles techniques, la validation humaine et les voies de recours doivent correspondre au risque.
Tableau de décision
| Zone | Question de contrôle | Preuve |
|---|---|---|
| Prompt | Les champs sont-ils nécessaires ? | Schéma et tests |
| Fournisseur | Où et combien de temps ? | DPA et configuration |
| Logs | Contiennent-ils du texte brut ? | Politique de redaction |
| Droits | Peut-on effacer partout ? | Test de suppression |
| Sécurité | Qui peut consulter ? | RBAC et audit |
Exemple concret
Un assistant RH ne doit pas envoyer automatiquement tout le dossier salarié au modèle. L’application sélectionne les documents nécessaires, masque certains identifiants, limite les utilisateurs autorisés et journalise uniquement les métadonnées utiles. Une réponse sensible reste soumise à validation humaine. La suppression d’un dossier déclenche aussi celle des fragments et des traces associées.
Les erreurs fréquentes
- croire qu’une API européenne rend automatiquement conforme
- conserver tous les prompts sans durée définie
- mettre des données personnelles dans les logs de débogage
- ignorer les embeddings et sauvegardes lors d’un effacement
- utiliser le consentement sans possibilité réelle de refus
- déployer une décision sensible sans recours humain
Checklist de mise en production
- [ ] Registre et finalité documentés
- [ ] Base légale validée
- [ ] Données minimisées avant envoi
- [ ] DPA, régions et sous-traitants examinés
- [ ] Durées automatiques configurées
- [ ] Droits testés de bout en bout
- [ ] AIPD réalisée si nécessaire
- [ ] Incident et notification préparés
FAQ
Le RGPD interdit-il l’IA générative ?
Non. Il impose que le traitement de données personnelles respecte finalité, nécessité, transparence, sécurité et droits.
Un embedding est-il une donnée personnelle ?
Il peut l’être s’il se rapporte à une personne identifiable ou permet de retrouver des informations la concernant.
Peut-on conserver les conversations pour améliorer le produit ?
Seulement avec une finalité, une base légale, une information et une durée appropriées. Minimisez et séparez l’analyse du service principal.
Faut-il toujours une AIPD ?
Non, mais elle est requise lorsque le traitement présente probablement un risque élevé. Documentez l’analyse.