En bref : dès que vous saisissez des données personnelles dans un outil d'IA, le RGPD s'applique. L'autorité néerlandaise de protection des données, l'Autoriteit Persoonsgegevens (AP), conseille de vérifier d'abord si vous pouvez utiliser l'IA sans données personnelles. Fixez des règles claires avec votre équipe et avec le fournisseur.
Cet article est une information générale et ne constitue pas un conseil juridique. Il s'appuie sur les recommandations de l'autorité néerlandaise ; en France, en Belgique ou au Luxembourg, c'est l'autorité nationale (CNIL, APD, CNPD) qui est compétente.
Quand y a-t-il violation de données ?
L'AP a reçu plusieurs notifications de violations de données parce que des salariés avaient saisi des données personnelles de clients ou de patients dans un chatbot d'IA. Dans un cas, un employé d'un cabinet de médecine générale y avait entré des données médicales. Dans un autre, un employé d'un opérateur télécom y avait chargé un fichier d'adresses de clients.
Selon l'AP :
- Si un salarié utilise un chatbot en dehors des règles convenues et y saisit des données personnelles, il s'agit d'une violation de données.
- Si l'usage fait partie de la politique de l'entreprise, ce n'est pas une violation de données, mais selon l'AP ce n'est souvent pas légal non plus.
- La plupart des entreprises derrière les chatbots conservent tout ce que vous saisissez.
- En cas de problème, une notification à l'autorité de contrôle et aux personnes concernées est souvent obligatoire. Une violation de données se notifie à l'autorité de contrôle dans les 72 heures suivant sa découverte.
Que recommande l'AP ?
- Fixez des règles avec vos salariés : l'IA peut-elle être utilisée, et si oui, avec quelles données et sans lesquelles ?
- Convenez avec le fournisseur que les données saisies ne seront pas conservées.
- Vérifiez si c'est possible sans données personnelles. C'est le premier conseil de l'outil de l'AP.
- Mettez les bases en ordre avant de donner à une IA l'accès à vos fichiers : un registre des traitements, une vue d'ensemble des données personnelles et de leur emplacement, et des droits d'accès par rôle. Un système d'IA ne doit pas en voir plus que la personne qui l'utilise.
- Fixez des règles avec les parties concernées. Si un fournisseur d'IA traite des données personnelles pour votre compte, il est sous-traitant au sens du RGPD et vous avez besoin d'un contrat de sous-traitance (article 28 du RGPD).
- Réalisez une AIPD si nécessaire. L'outil de l'AP ne remplace pas une analyse d'impact relative à la protection des données (AIPD). Vous devrez peut-être en réaliser une malgré tout, et le traitement doit figurer dans votre registre.
L'outil de l'AP
L'AP a créé un outil gratuit : Hulpmiddel inzet generatieve AI & de AVG (en néerlandais). Vous parcourez des affirmations étape par étape, des bases à mettre en ordre jusqu'au choix d'un système et à son utilisation. Il s'adresse aux organisations qui utilisent l'IA, pas aux entreprises qui développent elles-mêmes des modèles. Il ne traite pas de l'AI Act ; pour cela, lisez L'AI Act européen en bref.
Sources
- Autoriteit Persoonsgegevens : Let op, gebruik AI-chatbot kan leiden tot datalekken (6 août 2024, en néerlandais)
- Autoriteit Persoonsgegevens : Hulpmiddel inzet generatieve AI & de AVG (PDF, en néerlandais)
- Autoriteit Persoonsgegevens : Datalek voorkomen en voorbereid zijn (en néerlandais)
- EUR-Lex : Règlement général sur la protection des données (RGPD), notamment articles 28 et 33
Consulté le 21 octobre 2026.