IA générative en entreprise : ce que recommande la CNIL
Mis à jour le 9 novembre 2026
La CNIL demande aux organismes qui déploient une IA générative de partir d'un besoin concret, d'éviter autant que possible de saisir des données personnelles, de vérifier si le fournisseur réutilise les données, d'encadrer l'usage par une charte interne et d'associer le DPO, avec une analyse d'impact (AIPD) quand elle s'impose.
Créer un espace entrepriseou écrivez à contact@standardcompute.com
Cette page résume ses deux publications du 18 juillet 2024 avec les liens officiels, en tire une liste de contrôle et montre la partie technique qu'une passerelle IA prend en charge. Elle résume des recommandations publiques et ne constitue pas un avis juridique.
Que dit la CNIL en bref ?
- Quelles sont les recommandations de la CNIL sur l'IA générative pour les entreprises ?
- La CNIL recommande de partir d'un besoin concret, de privilégier des systèmes locaux, sécurisés et spécialisés, de vérifier si le fournisseur peut réutiliser les données, de définir une liste d'usages autorisés et interdits, de former les utilisateurs et de mettre en place une gouvernance qui associe le DPO dès le début (CNIL, 18 juillet 2024).
- Peut-on saisir des données personnelles dans une IA générative selon la CNIL ?
- La CNIL recommande, en cas d'usage par API, d'éviter autant que possible la saisie de données personnelles, et indique que les utilisateurs ne devraient soumettre que des informations qu'ils sont autorisés à partager. Elle cite « ne pas fournir de données personnelles au système » comme exemple d'usage à encadrer.
- Faut-il une AIPD pour utiliser une IA générative ?
- La CNIL indique qu'il faut réaliser une analyse d'impact relative à la protection des données (AIPD) lorsque c'est nécessaire, et que le DPO peut utilement y contribuer. La décision dépend du traitement concerné.
Que recommande la CNIL pour déployer une IA générative ?
Comment déployer une IA générative ? La CNIL apporte de premières précisions, CNIL, 18 juillet 2024
Cette publication porte sur le déploiement et l'utilisation de systèmes d'IA générative, pas sur leur développement.
- Partir d'un besoin concret : ne pas déployer un système sans finalité définie.
- Encadrer les usages par une liste d'utilisations autorisées et interdites, par exemple ne pas fournir de données personnelles au système et ne pas lui confier de prise de décision.
- Privilégier des systèmes locaux, sécurisés et spécialisés. Si ce n'est pas possible, vérifier si le prestataire qui opère le système est susceptible de réutiliser les données fournies, et adapter l'usage en conséquence.
- Choisir un système fiable et un mode de déploiement sécurisé.
- Tenir compte du fait que ces systèmes peuvent produire des résultats inexacts qui paraissent plausibles, et ne pas occulter leurs limites.
- Former et sensibiliser les utilisateurs finaux aux usages interdits et aux risques des usages autorisés.
- Mettre en œuvre une gouvernance adaptée qui associe dès le début toutes les parties prenantes, dont le DPO.
Que répond la CNIL aux questions des organismes qui utilisent une IA générative ?
Les questions-réponses de la CNIL sur l'utilisation d'un système d'IA générative, CNIL, 18 juillet 2024
- Partir de besoins concrets pour choisir le système le plus adapté.
- Pour des données personnelles ou sensibles, un déploiement « sur site » semble généralement plus opportun et plus sécurisé. En cas de recours au cloud, il faut sécuriser l'usage de l'infrastructure externe, notamment par un contrat avec le sous-traitant.
- En cas d'usage par API, éviter autant que possible la saisie de données personnelles. Les utilisateurs finaux ne devraient soumettre que des informations qu'ils sont autorisés à partager.
- Si les données sont susceptibles d'être réutilisées par le fournisseur, évaluer s'il faut restreindre la saisie de données personnelles, et veiller à la sécurité des données fournies, par exemple en refusant leur réutilisation.
- Le contrat avec le fournisseur doit préciser les périmètres de responsabilité et les accès autorisés aux données traitées.
- Réaliser une AIPD lorsque c'est nécessaire. Le DPO peut utilement jouer un rôle dans cette démarche.
- Encadrer l'utilisation par des politiques ou chartes internes listant les usages permis et interdits, et former les utilisateurs.
- Être transparent avec les utilisateurs, en cohérence avec les attentes du règlement européen sur l'IA, et vérifier que les résultats sont exacts ou de bonne qualité, non plagiés et non biaisés.
Quelle liste de contrôle en tirer pour votre entreprise ?
Une lecture pratique des deux publications ci-dessus, dans l'ordre où une équipe IT, juridique et métier les traite en général.
Écrire le besoin et la finalité
Un cas d'usage par ligne, avec le service concerné et les données en jeu. Un déploiement sans finalité définie est ce que la CNIL demande d'éviter.
Classer les données autorisées dans les prompts
Ce qui peut être saisi, ce qui ne doit jamais l'être (données personnelles, données sensibles, secrets d'affaires), et qui en décide.
Choisir le mode de déploiement et le lieu de traitement
Local, cloud européen ou fournisseur mondial. Notez pour chaque modèle utilisé où les prompts sont traités.
Vérifier la réutilisation des données par le fournisseur
Le fournisseur conserve-t-il les prompts ? Les utilise-t-il pour l'entraînement ? Pouvez-vous le refuser par contrat ou par réglage ?
Signer le contrat de sous-traitance
Responsabilités, accès autorisés aux données, sous-traitants ultérieurs et notification des violations, par écrit.
Décider de l'AIPD avec le DPO
Documentez pourquoi une analyse d'impact est nécessaire ou non pour chaque cas d'usage, et associez le DPO dès le départ.
Rédiger la charte interne
Usages autorisés et interdits, pas de décision confiée au modèle, vérification humaine des résultats, et formation des utilisateurs.
Garder une trace
Qui utilise quel modèle, chez quel fournisseur, sous quelles règles, et qui a changé ces règles.
Comment une passerelle IA aide-t-elle pour la partie pratique ?
La finalité, la base légale, l'AIPD et la charte restent votre travail. Standard Compute, passerelle IA vers les modèles propriétaires et open source, prend en charge la partie technique de plusieurs points de la liste : où les prompts sont traités, qui les conserve, qui peut utiliser quel modèle, et la trace de ce qui s'est passé.
Règle Europe
Fixez une règle Europe pour l'entreprise, une équipe ou une seule clé : chaque requête, y compris les nouvelles tentatives et les bascules, est servie uniquement par des points d'inférence européens approuvés. Si aucun ne peut la servir, la requête est refusée avant l'envoi de votre prompt. Notre passerelle UE termine le TLS et fonctionne en Finlande, et les données de compte sont stockées à Francfort.
Conservation zéro des données
Activez la conservation zéro pour l'entreprise, une équipe ou une clé : chaque requête part uniquement vers des points d'inférence qui s'engagent à ne garder aucune copie de vos données. Les équipes et les clés héritent de l'exigence et ne peuvent jamais la désactiver.
Pas d'entraînement
Standard Compute n'entraîne jamais de modèle sur vos prompts ni sur vos réponses. Avec une règle de région ou la conservation zéro activée, chaque requête va uniquement chez des fournisseurs qui s'engagent à ne pas l'utiliser pour l'entraînement.
SSO et Microsoft Entra
Connectez Microsoft Entra ID ou tout fournisseur d'identité SAML : vos collaborateurs se connectent avec leur compte professionnel, et toute personne de votre domaine vérifié rejoint l'entreprise automatiquement. Ils se connectent aussi à Claude Desktop et Claude Code avec leur compte Microsoft professionnel via notre passerelle UE, avec des accès qui suivent vos groupes Entra via SCIM.
Listes d'autorisation
Choisissez les fournisseurs d'inférence autorisés pour l'entreprise, une équipe ou une clé, et les modèles autorisés pour chaque clé. Un niveau inférieur peut seulement restreindre les règles, aucun nouveau fournisseur n'est ajouté sans l'accord d'un administrateur, et les bascules ne contournent jamais la liste.
Journal d'audit et journal des requêtes
Chaque modification d'un administrateur est enregistrée avec les valeurs avant et après, et vous exportez un enregistrement de chaque requête (modèle, fournisseur qui l'a servie, règle de région appliquée), conservé 12 mois. Ces enregistrements contiennent uniquement des métadonnées, jamais vos prompts ni vos réponses.
DPA dans le tableau de bord
Signez notre accord de traitement des données dans le tableau de bord en quelques minutes : pas d'entraînement sur vos données, pas de conservation de votre contenu, notification d'une violation sous 72 heures. Nous publions chaque sous-traitant ultérieur et prévenons 14 jours avant d'en ajouter un.
Budgets
Chaque personne et chaque application a sa propre clé avec un budget mensuel fixe qui ne dépasse jamais, et vous fixez des plafonds de dépenses par clé et pour toute l'entreprise.
Questions des équipes IT, juridique et sécurité
- La CNIL interdit-elle ChatGPT ou Copilot en entreprise ?
- Non. Les publications de la CNIL résumées ici n'interdisent aucun outil. Elles demandent de partir d'un besoin, de vérifier si le fournisseur réutilise les données, d'encadrer les usages et de sécuriser le recours à une infrastructure externe.
- Une passerelle IA rend-elle une entreprise conforme au RGPD ?
- Non. Une passerelle règle une partie technique : lieu de traitement des prompts, conservation, fournisseurs et modèles autorisés, journaux. La finalité, la base légale, l'AIPD, l'information des personnes et la charte interne restent sous votre responsabilité.
- Où Standard Compute traite-t-il les prompts ?
- Avec une règle Europe, vos prompts entrent et sortent par notre passerelle en Finlande et sont servis uniquement par des points d'inférence européens approuvés, sans bascule hors d'Europe. Si aucun ne peut servir la requête, elle est refusée avant l'envoi.
- Standard Compute conserve-t-il le contenu des requêtes ?
- Nous traitons vos prompts en mémoire pour servir chaque requête et ne les écrivons jamais dans un stockage ni dans des journaux. Les enregistrements de requêtes contiennent uniquement des métadonnées : modèle, fournisseur, jetons, coût et statut.
Sources officielles
Résumé établi à partir de ces textes, consultés le 9 novembre 2026. Il ne remplace ni les textes eux-mêmes ni un avis juridique.
- Comment déployer une IA générative ? La CNIL apporte de premières précisions (CNIL, 18 juillet 2024)
- Les questions-réponses de la CNIL sur l'utilisation d'un système d'IA générative (CNIL, 18 juillet 2024)
À lire aussi
Créez votre espace entreprise, fixez la règle Europe et la conservation zéro, puis signez le DPA depuis le tableau de bord.