Le RGPD et l'IA : ce que les entreprises doivent savoir

Oui, pleinement : dès qu'un système d'IA traite des données personnelles, que ce soit pour l'entraîner ou l'utiliser. L'AI Act ne remplace pas le RGPD ; les deux régimes se complètent et s'appliquent ensemble. Source : CNIL.

Parmi les six bases du RGPD, l'intérêt légitime est la plus mobilisée pour le développement d'un système d'IA par un organisme privé. Elle suppose trois conditions cumulatives : légitimité de l'intérêt, nécessité du traitement, et proportionnalité, en tenant compte des attentes raisonnables des personnes (recommandations CNIL).

Oui : tout fournisseur (SaaS, cloud) traitant des données personnelles pour vous est un sous-traitant, ce qui impose un DPA (art. 28 RGPD) : instructions documentées, confidentialité, sécurité, restitution/suppression, audits. La CNIL propose des clauses contractuelles types.

Oui : utiliser un SaaS dont la maison-mère est américaine ne viole pas automatiquement le RGPD. La conformité s'obtient via DPA + base légale + mécanisme de transfert valide (DPF si certifié, ou clauses types + analyse d'impact) + hébergement UE. Le CLOUD Act crée un risque résiduel à documenter, pas une illégalité de principe.

dgm intègre base légale, DPA, minimisation et hébergement maîtrisé dès la conception. Le client reste responsable de traitement ; ce n'est pas un conseil juridique.