RGPD et confidentialité : vue d'ensemble

L'essentiel

• Une IA locale ne fait pas sortir le RGPD du cabinet : elle supprime le transfert vers un tiers et le risque de réutilisation par un fournisseur, mais le cabinet reste responsable du traitement « assistant IA + RAG » ¹.
• La CNIL recommande de « privilégier le déploiement de solutions "sur site" » quand l'usage consiste à fournir des données personnelles ou une documentation sensible ². La Box IA est exactement ce cas.
• Les obligations classiques demeurent : base légale et test de compatibilité, information, registre, sécurité (art. 32), journalisation 6 mois à 1 an, gestion des droits, procédure de violation, AIPD probable.
• Le prestataire qui installe et maintient la Box est sous-traitant (art. 28) dès qu'il a un accès aux données.
• Le RGPD s'applique sans modification au 16 septembre 2026 : la proposition d'Omnibus numérique n'est pas adoptée ¹⁸.

Cette section n'est pas un avis juridique. Chaque page distingue quatre niveaux : faits juridiques vérifiés (texte officiel), recommandations officielles, interprétations, et sujets à valider par un juriste.

Pourquoi une IA locale change la donne (et pourquoi elle ne suffit pas)

Ce que la Box supprime :

Ce que la Box ne supprime pas :

• Le traitement existe toujours : indexer les dossiers dans un RAG et les soumettre à un LLM est un traitement de données personnelles distinct de la gestion des dossiers. La CNIL est explicite : lorsque l'organisme utilise du RAG avec des données personnelles, « il devient responsable de ce traitement » ¹.
• La sécurité repose désormais sur le cabinet (et son prestataire) : chiffrement, sauvegardes, accès, mises à jour.
• Les hallucinations et l'obligation de vérification humaine ne dépendent pas du lieu d'hébergement.

Les rôles

Articles clés du RGPD

Base légale et information

Données personnelles dans un cabinet

Toutes ces données se retrouvent dans six emplacements de la Box : documents sources, chunks et embeddings, historiques de conversation, caches, journaux, sauvegardes. La page droits et effacement traite chaque emplacement.

Localisation : tout reste sur site, avec deux exceptions

Par conception, l'inférence, l'index vectoriel, l'interface et les journaux s'exécutent sur le serveur installé dans les locaux du cabinet. Aucun transfert hors UE, aucun envoi vers un fournisseur de modèle. Deux flux sortants sont à documenter :

1. Sauvegarde hors site : si une copie chiffrée est déposée chez le prestataire ou chez un hébergeur, c'est une sous-traitance (art. 28) ; le lieu d'hébergement doit être en France ou dans l'UE et la clé de chiffrement doit rester au cabinet. Voir sauvegardes.
2. Télémaintenance : accès distant à la demande, VPN et MFA, durée limitée, journalisé. Voir sous-traitance et réseau.

Un troisième flux existe à l'installation et lors des mises à jour : téléchargement des modèles et des paquets logiciels. Il ne contient aucune donnée du cabinet mais doit être encadré (sources vérifiées, empreintes) : c'est un sujet de chaîne d'approvisionnement traité par l'ANSSI ¹⁹.

Journalisation

Choix de conception pour la Box : deux journaux distincts. Un journal de sécurité (qui, quand, quelle action, quel dossier consulté) conservé 6 à 12 mois, sans le contenu des prompts. Un historique de conversation (contenu des questions et réponses) à durée courte, purgeable par l'utilisateur. Voir monitoring.

Conservation, suppression, minimisation, finalités

Application à la Box :

• Finalités : (1) assistance à la recherche, à la synthèse et à la rédaction sur les documents du cabinet ; (2) sécurité et traçabilité ; (3) administration technique. Toute autre finalité (évaluation des salariés, profilage des clients) est exclue par la charte et techniquement non prévue.
• Minimisation : n'indexer que les dossiers de la base active nécessaires aux utilisateurs habilités ; exclure par défaut les dossiers archivés ; filtrer les répertoires personnels et RH ; pas de copie des prompts dans les journaux de sécurité.
• Conservation : durée de vie d'un index alignée sur le dossier source (suppression synchrone) ; conversations 30 à 90 jours (valeur à décider, hypothèse) ; journaux 6 à 12 mois ; sauvegardes selon la rotation documentée dans sauvegardes.
• Suppression : procédure unique « supprimer un document / une personne » couvrant les six emplacements, voir droits et effacement.

Documentation à tenir

Checklist de conformité « Box IA »

Statuts : « prévu » = intégré dans l'architecture cible ; « à décider » = choix ouvert ; « à valider » = point juridique.

Questions ouvertes

• Q-010Une AIPD est-elle obligatoire pour un cabinet qui déploie la Box ?MoyenneOuverte

Ce qu'il reste à tester

• Rédiger l'AIPD du cabinet pilote avec l'outil PIA de la CNILL'architecture de la Box (sur site, permissions avant recherche, chiffrement à clé détenue par le cabinet, journalisation 6 à 12 mois, télémaintenance encadrée) permet de conclure une AIPD sans risque résiduel élevé, donc sans consultation préalable de la CNIL (art. 36).À tester
• Faire valider l'analyse juridique de la section RGPD par un avocatLes interprétations de la section RGPD (base légale 6.1.f, AIPD fortement recommandée, prestataire sous-traitant, RAG non assimilé à un entraînement, assistant interne non haut risque, HDS non applicable) seront confirmées pour l'essentiel ; les corrections porteront sur la formulation des arguments commerciaux et le contenu des clauses.À tester