Faut-il une AIPD ?
« Nos commerciaux mettent des données clients dans l'IA. Est-ce que je dois faire quelque chose ? »
Un arbre de décision en trois étages : la liste CNIL des AIPD obligatoires, celle des AIPD non requises, puis les neuf critères du CEPD. Le verdict cite toujours ce qui le fonde.
- Environ 4 minutes
- Rien ne quitte votre navigateur
Sans compte, rien ne quitte votre navigateur : calculs et résultats sont faits sur votre appareil.
Comment l'outil raisonne
- 1Une question préalable : des données personnelles passent-elles dans l'usage ?
- 2Étage 1 : si l'usage figure sur la liste de la CNIL des traitements pour lesquels une AIPD est requise, le verdict est « obligatoire ».
- 3Étage 2 : si l'usage relève entièrement de la liste des traitements pour lesquels l'AIPD n'est pas requise, elle ne l'est pas, sauf si deux critères du CEPD ou plus sont réunis : le verdict est alors à confirmer avec un DPO.
- 4Étage 3 : à partir de deux critères du CEPD réunis, une AIPD est en principe nécessaire (« probable ») ; un seul critère, ou une réponse « je ne sais pas » : à confirmer avec un DPO.
- 5Aucun verdict « non requise » n'est rendu sans que les trois étages aient été parcourus. Chaque verdict cite les listes et les critères qui le fondent.
Sources
- CNIL, liste des types d'opérations de traitement pour lesquelles une AIPD est requise (délibération n° 2018-327)
- CNIL, liste des types d'opérations de traitement pour lesquelles une AIPD n'est pas requise (délibération n° 2019-118)
- CNIL, ce qu'il faut savoir sur l'analyse d'impact (les neuf critères du CEPD)
- CNIL, le logiciel PIA
Cet outil donne une première lecture. Il ne remplace pas un avis juridique. Dernière relecture des textes : 12 octobre 2026. Les textes sont relus chaque année, et à chaque texte nouveau.
Questions fréquentes
Qu'est-ce qu'une AIPD (DPIA) ?
L'analyse d'impact relative à la protection des données (DPIA en anglais) est une étude menée avant un traitement susceptible de créer un risque élevé pour les personnes. Elle décrit le traitement, évalue sa nécessité et ses risques, et fixe les mesures pour les réduire.
Mettre des données clients dans ChatGPT impose-t-il une AIPD ?
Pas automatiquement. Tout dépend des critères réunis : données sensibles, large échelle, évaluation des personnes… Un outil d'IA générative peut relever du critère « usage innovant » ; avec un second critère, une AIPD est en principe nécessaire. L'outil fait le test usage par usage.
Que veut dire « deux critères » ?
Le CEPD a défini neuf critères. Selon la CNIL, un traitement qui en réunit au moins deux doit en principe faire l'objet d'une analyse d'impact.
Comment conduire l'analyse si elle est nécessaire ?
La CNIL met à disposition un logiciel gratuit, PIA, qui guide l'analyse étape par étape. Associez votre DPO s'il existe.
Ce verdict suffit-il ?
Non. C'est une première lecture fondée sur les listes de la CNIL et les critères du CEPD. Il ne remplace ni un avis juridique, ni l'avis d'un DPO.
Le résultat est complet sans compte. Le compte le garde.
Gardez un verdict par usage, rattaché à votre carte des usages. Vos résultats rejoignent votre Dossier IA, outil par outil.
| Sans compte | Avec un compte | |
|---|---|---|
| Résultat à l'écran | Complet | Complet |
| Sauvegarde | Dans ce navigateur seulement | Dans votre espace, sur tous vos appareils |
| Reprendre plus tard | Sur ce navigateur | Partout |
| Comparer dans le temps | Non | Historique de vos résultats |
| Dossier IA | Non | Rempli outil par outil |
Dans le même parcours
Les dix outilsVous préférez le faire avec nous ?
En trente minutes offertes, la Revue des usages IA reprend vos résultats : qui utilise l'IA, sur quelles données, et ce qu'il faut encadrer en premier.