AIPD : quand elle est obligatoire et comment la conduire

L'essentiel

• L'AIPD est obligatoire quand le traitement est « susceptible d'engendrer un risque élevé » (art. 35). Le G29 la présume nécessaire dès que deux de ses neuf critères sont remplis.
• Pour un cabinet d'avocats, deux critères sont vraisemblables : données hautement personnelles (sensibles, infractions) et technologie nouvelle. La liste CNIL de 2018 ne vise pas le cas explicitement.
• Position du dossier : AIPD fortement recommandée, traitée comme un livrable du pilote ; son caractère strictement obligatoire reste une interprétation à valider (voir Q-010).
• L'AIPD est aussi le meilleur support pour documenter la sécurité exigée par la CNIL et le CNB ; l'outil PIA gratuit de la CNIL sert de canevas.

Faits juridiques vérifiés

Recommandations officielles

Analyse pour notre cas

Canevas d'AIPD

Structure alignée sur l'outil PIA de la CNIL (contexte, principes fondamentaux, risques, validation) ⁵. Chaque section renvoie à la page du dossier qui fournit la matière.

1. Contexte

• Vue d'ensemble : assistant IA interne ; LLM open-weight exécuté localement ; RAG sur les dossiers du cabinet ; 5 à 10 utilisateurs ; aucun flux vers un tiers. Voir architecture.
• Données, processus, supports : les six emplacements (sources, index, conversations, caches, journaux, sauvegardes) ; serveur sur site ; postes clients via navigateur.
• Responsable et sous-traitant : cabinet ; prestataire de maintenance. Voir sous-traitance.
• Référentiels applicables : RGPD, LIL art. 46, loi 1971 art. 66-5, RIN art. 2, décret 2023-552, guide CNB 2026, règlement IA. Voir avocats.

2. Principes fondamentaux

• Finalités déterminées, explicites, légitimes ; finalités exclues listées (pas d'entraînement, pas d'évaluation des salariés).
• Base légale et test de compatibilité 6.4 ; art. 9.2.f ; art. 10 et 46 LIL.
• Minimisation : périmètre d'indexation (base active seulement), exclusions, absence de contenu des prompts dans les journaux.
• Exactitude : les sorties du LLM ne sont pas des données de référence ; validation humaine obligatoire ; citation des sources.
• Durées : tableau de la fiche de registre.
• Information : politique de confidentialité, lettre de mission, note aux salariés.
• Droits : procédure et fonction technique multi-emplacements, voir droits et effacement.
• Sous-traitance : contrat 28.3, télémaintenance encadrée.
• Transferts : aucun.

3. Risques et mesures

Trois événements redoutés : accès illégitime, modification non désirée, disparition des données. Sources de risque à examiner : utilisateur interne outrepassant ses droits, prestataire, attaquant externe (VPN, interface), vol physique, panne, erreur de configuration, injection de prompt via un document indexé, hallucination reprise sans vérification.

Référentiels de mesures : guide sécurité CNIL 2024 (fiches IA, journalisation, chiffrement, sous-traitance) ⁷, fiche CNIL sur la sécurité du développement (cloisonnement, habilitations, audits, red teaming, SBOM) ⁸, recommandations ANSSI pour un système d'IA générative ⁹.

4. Validation

• Avis du DPO ou du référent RGPD ; avis des utilisateurs (consultation des avocats et collaborateurs).
• Décision du responsable : acceptation des risques résiduels, plan d'action, date de révision.
• Révision : à chaque changement significatif (nouveau connecteur documentaire, nouveau modèle, ouverture d'un accès distant, nouvelle finalité) et au moins une fois par an. La CNIL demande une AIPD « itérative » ⁴.
• Consultation préalable de la CNIL (art. 36) uniquement si un risque élevé résiduel subsiste.

Outil

L'outil PIA de la CNIL est un logiciel libre et gratuit, installable sur poste ; il produit un rapport exportable et intègre des bases de connaissances de mesures ⁵. Le pilote produira l'AIPD avec cet outil, voir l'expérimentation rédiger l'AIPD du cabinet pilote.

Questions ouvertes

• Q-010Une AIPD est-elle obligatoire pour un cabinet qui déploie la Box ?MoyenneOuverte

Ce qu'il reste à tester

• Rédiger l'AIPD du cabinet pilote avec l'outil PIA de la CNILL'architecture de la Box (sur site, permissions avant recherche, chiffrement à clé détenue par le cabinet, journalisation 6 à 12 mois, télémaintenance encadrée) permet de conclure une AIPD sans risque résiduel élevé, donc sans consultation préalable de la CNIL (art. 36).À tester