CNIL — Questions-réponses sur l'utilisation d'un système d'IA générative

Ce que dit la source

La CNIL distingue trois approches (modèle sur étagère, fine-tuning, RAG) et trois modes de déploiement (sur site, cloud, API). Elle recommande de « privilégier le déploiement de solutions sur site » lorsque l'usage consiste à fournir des données personnelles ou une documentation sensible, de définir les usages autorisés et interdits, de former les utilisateurs et de reconnaître que les résultats « peuvent être plausibles bien qu'inexacts ». Lorsque l'organisme utilise du RAG avec des données personnelles, il devient responsable de ce traitement.

Ce qu'on en retient

Le déploiement sur site est explicitement encouragé pour les données sensibles. Le cabinet client est responsable de traitement du RAG ; le prestataire de la Box est sous-traitant dès qu'il accède aux données.

Limites

Recommandations générales, sans position spécifique sur un RAG interne de cabinet d'avocats.