La CNIL et l'IA : recommandations pour les entreprises

La CNIL a publié un corpus de fiches pratiques sur le développement des systèmes d'IA respectant le RGPD, finalisé le 22 juillet 2025 : 13 fiches pratiques, une fiche de synthèse et une liste de vérification (checklist). Elles couvrent la base légale, la minimisation, l'information des personnes, l'annotation et la sécurité.

Pour le développement par un organisme privé, l'intérêt légitime est souvent mobilisé, sous trois conditions cumulatives (légitimité, nécessité, proportionnalité) et en tenant compte des attentes raisonnables des personnes.

Il n'est pas interdit en soi par le RGPD, mais conditionné : exclure les sites avec protections techniques (CAPTCHA, robots.txt), définir à l'avance ce qui est recherché, et respecter les sites refusant la collecte automatique. La CNIL le précise dans ses recommandations.

Selon la CNIL, un modèle entraîné sur des données personnelles peut relever du RGPD du fait de ses capacités de mémorisation ; des mesures (filtres robustes au niveau du système) sont alors attendues. C'est un point d'attention pour les concepteurs de modèles.

dgm s'appuie sur les fiches et la checklist de la CNIL pour cadrer les projets, et recommande de fusionner les analyses RGPD et AI Act comme le suggère la CNIL. Le client reste responsable ; ce n'est pas un conseil juridique.