Faut-il réaliser une analyse d’impact (AIPD) avant d’utiliser l’IA ?
En bref
Une AIPD est obligatoire quand un traitement est susceptible d’engendrer un risque élevé pour les personnes. Avec l’IA, c’est généralement le cas quand elle évalue ou profile systématiquement des personnes (candidats ou salariés, par exemple), traite des données sensibles à grande échelle, surveille des salariés ou utilise une technologie nouvelle d’une façon qui touche des personnes. L’AIPD décrit le traitement, sa nécessité, les risques et les mesures. Pour une IA à haut risque, utilisez les informations du fournisseur dans votre AIPD (article 26, paragraphe 9, du RIA).
Usages de l’IA qui exigent souvent une AIPD
| Usage de l’IA | AIPD ? |
|---|---|
| Tri de candidats | En général oui |
| Évaluation ou surveillance de salariés | En général oui |
| IA sur des données de santé dans un cabinet médical | En général oui |
| Évaluation de la solvabilité de clients | En général oui |
| Résumé de demandes clients avec pseudonymes | En général non |
| Brouillons de newsletters sans données personnelles | Non |
Un modèle dans GoalCube
GoalCube propose un projet d’AIPD, prérempli à partir de l’usage inscrit dans votre registre de l’IA : finalité, données, risque, décision humaine et pseudonymisation. Vous ajoutez vos propres évaluations et l’enregistrez avec le registre.
Comment faire
- Décrivez l’usage.Finalité, données, outil d’IA, personnes concernées et qui voit quoi.
- Évaluez nécessité et proportionnalité.L’IA est-elle nécessaire ? Pouvez-vous utiliser moins de données ?
- Identifiez les risques pour les personnes.Erreurs, discrimination, fuite, transfert hors UE, manque de transparence.
- Décrivez les mesures.Pseudonymisation, décision humaine, gestion des accès, journal, suppression.
- Consultez votre DPO, si vous en avez un.Et consultez l’autorité de contrôle si le risque reste élevé.
Ce que dit la loi
- Article 35 du RGPD – analyse d’impact relative à la protection des données
- Obligatoire en cas de risque élevé probable ; le paragraphe 7 décrit le contenu.
- Article 36 du RGPD – consultation préalable
- Si le risque reste élevé, l’autorité de contrôle doit être consultée.
- Article 26, paragraphe 9, du RIA
- Utilisez les informations du fournisseur sur l’IA à haut risque dans votre AIPD.
Questions et réponses
Faut-il une AIPD pour rédiger des e-mails avec ChatGPT ?
En général non, s’il n’y a pas de données personnelles significatives et que personne n’est évalué.
Faut-il une AIPD pour l’IA dans le recrutement ?
En général oui. L’évaluation systématique de candidats avec une technologie nouvelle en est un exemple classique.
Les autorités publient-elles une liste ?
Oui. Chaque autorité de contrôle (CNIL en France, APD en Belgique, CNPD au Luxembourg) publie une liste des traitements qui exigent toujours une AIPD. Vérifiez-la pour votre usage.
Sources
Rédigé par La rédaction GoalCube. Dernière mise à jour 11 octobre 2026. GoalCube vous aide à respecter l’AI Act et le RGPD. Ce n’est pas un conseil juridique.
Soyez parmi les premiers.
Le lancement est prévu en novembre 2026. Inscrivez-vous : nous vous contacterons dès que vous pourrez commencer.