Rédiger l'AIPD du cabinet pilote avec l'outil PIA de la CNIL

Pourquoi

L'AIPD est présumée nécessaire dès que deux critères du G29 sont réunis ³ ; pour un cabinet d'avocats, les données hautement personnelles et la technologie nouvelle le sont vraisemblablement. La CNIL indique qu'en phase de déploiement le responsable détermine lui-même la nécessité de l'AIPD et qu'elle doit être itérative ². Rédiger l'AIPD pendant le pilote transforme une obligation probable en livrable réutilisable pour chaque client.

Livrables attendus

• Rapport AIPD exporté depuis l'outil PIA ¹ (PDF et fichier source).
• Cartographie des données dans les six emplacements de la Box, avec les durées.
• Liste des mesures avec preuve technique associée.
• Liste des risques résiduels acceptés et plan d'action.
• Modèle d'AIPD « générique Box IA » dérivé, à personnaliser pour les clients suivants.

Critères de réussite

• Aucun risque résiduel évalué « élevé » après mesures.
• Chaque mesure citée est vérifiable sur la machine pilote (test ou configuration).
• Le référent RGPD du cabinet signe la validation.
• Temps de rédaction mesuré (objectif : moins de deux jours de travail avec le canevas).

Risques de l'expérimentation

• Le cabinet pilote n'a pas de référent RGPD disponible : prévoir un DPO externe.
• Le test de compatibilité 6.4 révèle un désaccord sur la base légale : escalader vers l'expérimentation de validation juridique.
• Des mesures prévues ne sont pas encore implémentées (suppression synchrone, journal inaltérable) : les inscrire au plan d'action avec échéance plutôt que de les déclarer acquises.