RGPD et IA : quelles données personnelles partent dans vos invites
Dernière mise à jour : 2026-11-04
Dès qu’un texte envoyé à une IA contient des données personnelles, le RGPD s’applique et l’organisation qui décide d’envoyer le texte et en fixe la finalité reste en principe responsable du traitement ; ce guide liste les points à examiner et montre où ndaact.ai aide.
Ce qui part réellement dans une invite
Une invite (le texte que vous collez ou tapez dans un assistant) contient souvent plus que la question. Un courrier à résumer, un dossier à analyser ou un e-mail à reformuler transmettent au fournisseur du modèle les noms, coordonnées et identifiants des personnes citées. Un nom dans un texte est une donnée personnelle ; l’envoyer à un fournisseur est un traitement.
Les points à examiner
Le tableau reprend les articles du RGPD qui reviennent le plus souvent pour un usage d’assistant IA. Chaque ligne indique ce que ndaact.ai peut aider à faire et ce qui reste à votre charge.
| Point à examiner | Ce que dit le RGPD | Ce qui reste à votre charge | Ce que ndaact.ai peut aider à faire |
|---|---|---|---|
| Minimisation | Les données doivent être limitées à ce qui est nécessaire (art. 5, paragraphe 1, c) | Décider quelles données sont nécessaires à la finalité | Remplacer par des marqueurs les entités détectées avant l'envoi |
| Protection dès la conception | Prévoir des mesures techniques adaptées dès le départ (art. 25) | Choisir et documenter les mesures | Fournir une mesure technique locale, sur le poste |
| Fournisseur de l'IA | Un contrat encadre le sous-traitant (art. 28) | Examiner le contrat et les paramètres de votre compte | Rien : ce point dépend de votre fournisseur |
| Transferts hors UE | Les transferts vers un pays tiers sont encadrés (art. 44 à 46) | Vérifier où le fournisseur traite les données | Réduire les données identifiantes qui partent, sans supprimer le transfert |
| Sécurité | Mesures techniques et organisationnelles appropriées (art. 32) | Évaluer le niveau de risque de votre activité | Pseudonymisation locale avec table de correspondance chiffrée sur le poste |
| Registre | Tenir un registre des traitements (art. 30). Les organisations de moins de 250 employés en sont dispensées, sauf si le traitement est susceptible de comporter un risque, n'est pas occasionnel ou porte sur des données sensibles (art. 30, paragraphe 5) | Rédiger et tenir le registre à jour | Fournir un modèle de ligne : voir le guide sur le registre |
| Analyse d'impact | Obligatoire, avant le traitement, quand il est susceptible d'engendrer un risque élevé (art. 35) | Décider si elle est nécessaire et la conduire | Rien : la décision est la vôtre |
Pseudonymiser avant l’envoi : ce que cela change
Le RGPD définit la pseudonymisation à l’article 4, point 5 : un traitement tel que les données ne peuvent plus être attribuées à une personne précise sans informations supplémentaires, conservées séparément. ndaact.ai applique cette idée avant l’envoi : les entités détectées sont remplacées par des marqueurs, et la correspondance reste sur votre poste. Le fournisseur du modèle reçoit le texte avec des marqueurs à la place des entités détectées.
Pour la différence avec l’anonymisation et l’état de la jurisprudence européenne, voir le guide sur les définitions et le guide sur l’arrêt C-413/23 P. Une donnée pseudonymisée reste en principe une donnée personnelle : le RGPD continue de s’appliquer.
Les limites à connaître
- Seules les entités détectées sont remplacées. Une entité non détectée part en clair : relisez le texte avant l’envoi quand l’enjeu est élevé.
- ndaact.ai n’évalue pas votre base légale, votre contrat avec le fournisseur, ni l’opportunité d’une analyse d’impact.
- Un texte peut identifier une personne sans la nommer (une situation rare, un contexte précis). Aucun outil de détection ne couvre ce cas de façon sûre.
- La conformité d’un usage dépend de l’ensemble : finalité, base légale, contrat, information des personnes, sécurité. La mesure technique n’en est qu’une partie.
Avant de commencer
- Écrivez la finalité de l’usage de l’IA en une phrase.
- Parcourez le tableau ci-dessus et notez, pour chaque ligne, qui décide chez vous.
- Ajoutez l’usage à votre registre, avec le modèle du guide dédié.
- Faites relire par votre DPO ou un conseil, en particulier les transferts et l’analyse d’impact.