Construire une IA conforme au RGPD, concrètement
Une IA conforme au RGPD, c’est d’abord une architecture conçue pour la conformité, bien plus qu’une documentation juridique posée autour du système : base légale établie, données minimisées dans les prompts et les logs, suppression qui atteint réellement toutes les copies, contrats en règle avec les fournisseurs de modèles, hébergement cohérent avec ce que vous promettez. Rien de tout cela ne s’ajoute après coup à un système déjà construit, ou alors au prix d’une reconstruction.
Le RGPD n’interdit pas l’IA, et la CNIL l’a confirmé dans ses recommandations successives sur le développement des systèmes d’intelligence artificielle. Il impose des décisions d’architecture. Voici les cinq qui reviennent dans tous nos projets.
Une IA conforme au RGPD commence par la base légale
Quelles données personnelles le système va-t-il toucher, pour quelle finalité, sur quelle base légale ? L’exercice est classique, il est juste souvent oublié dans l’enthousiasme du POC. Il force pourtant des choix utiles : la plupart des cas d’usage n’ont pas besoin de données personnelles, ou en ont besoin de beaucoup moins qu’on ne le pensait au départ. Un registre de traitement à jour et, pour les cas sensibles, une analyse d’impact : ce socle se pose en jours, pas en mois, quand il est posé au début.
La minimisation dans les prompts et les logs
C’est le point aveugle des projets IA. Le prompt envoyé au modèle est une transmission de données : si vous y placez le dossier complet du client quand trois champs suffisent, vous contrevenez au principe de minimisation à chaque requête. La discipline se code, en filtrant ou pseudonymisant les champs inutiles avant l’envoi.
Même vigilance côté journalisation. Les logs d’un système d’IA rejouent chaque prompt et chaque réponse ; conserver en clair des données personnelles pendant des années, c’est constituer une seconde base de données que personne n’a déclarée. Les logs ont besoin d’une durée de rétention et d’une politique d’accès, comme n’importe quelle donnée.
La suppression qui atteint les embeddings
Le droit à l’effacement ne s’arrête pas à la base principale. Un système RAG copie vos documents en fragments indexés, les embeddings ; les logs en gardent d’autres copies ; des caches aussi. Quand une personne demande la suppression de ses données, elle doit atteindre toutes ces copies.
Si votre index ne sait pas relier un fragment au document source et à la personne concernée, vous ne savez pas effacer, quelle que soit votre bonne volonté. Cette traçabilité se conçoit au premier jour de l’architecture et coûte très cher à rattraper. C’est l’un des écarts que nous retrouvons le plus souvent, y compris en due diligence sur des cibles européennes, où il devient un sujet de négociation.
Les contrats avec les fournisseurs de modèles
Un fournisseur de LLM appelé par API est un sous-traitant au sens du RGPD : il faut un contrat de sous-traitance conforme à l’article 28, et des réponses écrites à trois questions. Les données envoyées servent-elles à entraîner les modèles ? Les offres entreprise sérieuses s’engagent contractuellement à ne pas le faire. Combien de temps sont-elles conservées ? Des options de rétention nulle existent. Où sont-elles traitées ? Les principaux fournisseurs proposent des points d’accès avec traitement en Europe ; encore faut-il les avoir activés, et vérifié que la promesse contractuelle correspond à la réalité technique de votre intégration.
La résidence européenne, à son juste niveau
Pour la plupart des entreprises, un fournisseur sous contrat avec traitement en Europe suffit. Pour certaines données ou certains secteurs, santé, défense, exigences clients spécifiques, il faut aller plus loin : hébergement qualifié, voire modèles ouverts auto-hébergés. L’arbitrage mérite d’être économique et lucide, entre API et LLM souverain, car l’auto-hébergement a un coût réel en matériel et en compétences.
Même le niveau d’exigence le plus haut reste praticable : nous avons construit une application médicale sous hébergement HDS, et le réglementé n’empêche pas d’avancer, il impose de concevoir dans le bon ordre.
La conformité RGPD d’un système IA se joue au cadrage, dans une liste de décisions finies et connues. C’est ainsi que nous construisons chaque projet d’IA sur mesure : les contraintes de conformité posées au premier jour, et l’architecture qui en découle.