Registre des traitements IA générative, guide CNIL 2026
Déployer une IA générative et tenir un registre des traitements IA générative ne relève pas seulement d’un choix d’outil. Dès qu’un prompt contient un nom, un extrait de dossier ou un courriel, vous manipulez des données personnelles, et le RGPD s’applique pleinement.
Le registre des traitements IA générative devient alors la première pièce que la CNIL examinera en cas de contrôle, avant même vos mesures techniques. Encore faut-il savoir quels champs ajouter, comment décrire un modèle de langage et où s’arrête le registre RGPD face au registre des modèles imposé par l’AI Act. Ce guide détaille la méthode, les rubriques à compléter et un exemple de fiche de traitement à adapter à vos usages.
Registre des traitements IA générative, guide CNIL 2026
Temps de lecture : ~9 min
- Pourquoi l’IA générative crée de nouveaux traitements à documenter
- Le registre des traitements IA générative, une extension de l’article 30 du RGPD
- Quels champs ajouter dans le registre pour un usage d’IA générative
- Exemple de fiche de traitement IA générative
- Articuler le registre RGPD et le registre des modèles IA de l’AI Act
- Quand réaliser une AIPD sur un traitement d’IA générative
- Documenter le contrôle humain et la gouvernance
- Aller plus loin avec le registre des traitements IA générative
- Questions fréquentes sur le registre des traitements IA générative
Pourquoi l’IA générative crée de nouveaux traitements à documenter
Positions des autorités de protection des données
La CNIL a précisé que l’utilisation de systèmes d’IA générative constitue un traitement de données personnelles dès lors que les prompts, les historiques de conversation ou les données d’entraînement contiennent des informations identifiantes. Autrement dit, un assistant conversationnel interne qui reformule des comptes rendus, un moteur de recherche documentaire branché sur vos dossiers ou un outil de rédaction d’annonces RH entrent dans le champ de l’article 30 du RGPD, au même titre que votre logiciel de paie ou votre CRM.
Le Comité européen de la protection des données a par ailleurs indiqué que, lorsqu’il est raisonnablement possible d’extraire des données personnelles d’un modèle ou que celui-ci peut les restituer, les opérations liées au modèle relèvent du RGPD, y compris pendant la phase de développement, de collecte et d’évaluation. Ce point change la perspective de nombreux responsables de traitement, qui considéraient jusqu’ici l’IA comme une simple couche technique posée sur des traitements existants.
La conséquence pratique est simple. Chaque cas d’usage d’IA générative doit être rattaché à une finalité identifiée, à une base légale et à une fiche du registre. Une organisation qui ne documente pas ces usages s’expose à un double risque : celui d’une non-conformité formelle et celui, plus insidieux, du Shadow AI, c’est-à-dire d’outils utilisés par les équipes sans validation ni cadrage.
Le registre des traitements IA générative, une extension de l’article 30 du RGPD
Il n’existe pas de registre spécifique à l’IA au sens du RGPD. Le registre des traitements IA générative est en réalité votre registre des activités de traitement habituel, enrichi de rubriques adaptées aux spécificités des modèles de langage. La logique reste identique : recenser les finalités, les catégories de données, les personnes concernées, les destinataires, les transferts hors UE, les durées de conservation et les mesures de sécurité.
L’obligation de tenue du registre vise formellement les organismes de 250 salariés et plus, avec des exceptions larges qui ramènent la quasi-totalité des structures dans le périmètre dès lors que le traitement n’est pas occasionnel, qu’il porte sur des données sensibles ou qu’il présente un risque pour les droits des personnes. Pour une PME ou une ETI qui déploie une IA générative sur des dossiers RH, des données de santé ou des documents contractuels, la question ne se pose donc plus vraiment. La CNIL recommande la tenue d’un registre à tous les organismes, et son modèle de registre reste le point de départ le plus solide.
La question suivante est celle de la granularité. Faut-il une fiche unique intitulée « utilisation de l’IA générative » ou une fiche par usage ? La réponse tient à la notion de finalité. Un assistant qui aide à rédiger des transmissions dans un établissement médico-social et un outil qui analyse des candidatures ne poursuivent pas la même finalité, ne mobilisent pas les mêmes catégories de données et ne présentent pas le même niveau de risque. Deux fiches distinctes, reliées à une même brique technique, offrent une documentation bien plus défendable.
Bon à savoir
La CNIL considère la plateforme d’IA elle-même comme un moyen technique, pas comme une finalité. Documentez les usages métiers, pas l’outil.
Quels champs ajouter dans le registre pour un usage d’IA générative
Fiche d’identité du système d’IA générative
Aux rubriques classiques de l’article 30 s’ajoutent des informations propres au fonctionnement du modèle, souvent regroupées sous l’appellation de fiche d’identité IA. Les cabinets spécialisés et les recommandations de la CNIL convergent sur un socle commun d’éléments à documenter pour chaque système génératif.
Voici les informations complémentaires que nous conseillons d’intégrer à chaque fiche de traitement impliquant une IA générative :
- Le système d’IA mobilisé, avec son fournisseur, la version du modèle de langage, le mode d’hébergement et la localisation des serveurs.
- Le traitement ou non des prompts et des historiques de conversation à des fins d’amélioration du modèle, point central de la négociation contractuelle.
- L’origine et la nature des données d’entraînement lorsque vous entraînez ou affinez un modèle en interne.
- Les risques identifiés, notamment les hallucinations, le biais algorithmique, la réidentification et les fuites de données, avec les mesures de mitigation associées.
- Les modalités de contrôle humain, la présence éventuelle de décision automatisée ou de profilage, et les dispositifs de transparence vis-à-vis des personnes.
Choisir et documenter la base légale
La base légale mérite une attention particulière. L’intérêt légitime est souvent invoqué pour les usages internes de productivité, mais il suppose un test de mise en balance formalisé et conservé. Pour des traitements portant sur des données de santé, des données RH sensibles ou des documents couverts par le secret professionnel, l’analyse doit être plus fine et impliquer votre délégué à la protection des données dès la phase de cadrage. Le principe de minimisation des données joue ici un rôle décisif, et la pseudonymisation en amont des prompts constitue une mesure de réduction du risque particulièrement efficace, comme nous le détaillons dans notre guide dédié à la pseudonymisation et à l’anonymisation des données.
Exemple de fiche de traitement IA générative
Pour rendre l’exercice concret, voici un modèle de fiche applicable à un cas d’usage courant, l’assistance à la rédaction de comptes rendus et de synthèses internes à partir de documents métiers. Chaque rubrique reprend la structure du registre CNIL, complétée des champs spécifiques à l’IA.
Structure type d’une fiche de traitement IA générative
| Rubrique du registre | Contenu attendu pour une IA générative | Point de vigilance |
|---|---|---|
| Nom du traitement | Assistance à la rédaction de synthèses et comptes rendus internes | Nommer l’usage métier, pas l’outil |
| Finalité | Réduire le temps de rédaction et harmoniser les écrits professionnels | Une finalité par fiche, formulée précisément |
| Base légale | Intérêt légitime de l’employeur, test de mise en balance documenté | Consentement inadapté en contexte salarial |
| Catégories de données | Contenus des prompts, documents sources, identité des rédacteurs, journaux d’usage | Vérifier l’absence de données sensibles non nécessaires |
| Personnes concernées | Salariés utilisateurs, personnes citées dans les documents traités | Ne pas oublier les tiers mentionnés |
| Destinataires et sous-traitants | Éditeur de la plateforme, hébergeur, DPA signé | Vérifier la chaîne de sous-traitance ultérieure |
| Transferts hors UE | Aucun si hébergement en France, sinon clauses contractuelles types | Documenter l’analyse de transfert le cas échéant |
| Durées de conservation | Prompts et historiques de conversation, journaux techniques, contenus générés | Distinguer chaque catégorie, éviter la conservation illimitée |
Trois rubriques complètent cette fiche, propres aux spécificités de l’IA générative. Le système d’IA associé précise le modèle, sa version, son mode d’hébergement et la non-réutilisation des données pour l’entraînement ; il doit être mis à jour à chaque changement de version. Le contrôle humain décrit la relecture et la validation obligatoires avant diffusion du contenu généré, et suppose de formaliser la procédure, pas seulement l’intention. Les mesures de sécurité couvrent le cloisonnement, le respect des droits d’accès, le chiffrement, la journalisation et le filtrage des prompts, en prévoyant notamment la protection contre la prompt injection.
Cette fiche doit vivre. Un changement de version du modèle, l’ouverture d’un nouveau connecteur vers une base documentaire ou l’extension de l’usage à un nouveau service constituent autant d’événements qui appellent une mise à jour du registre et, parfois, une réévaluation du risque.
Articuler le registre RGPD et le registre des modèles IA de l’AI Act
L’AI Act ajoute une seconde couche documentaire. Les systèmes d’IA à usage général, catégorie dans laquelle se rangent la plupart des modèles génératifs, sont soumis à des exigences de transparence et de documentation prévues aux chapitres IV et V du règlement, notamment l’information claire que le contenu est généré par une IA et la documentation technique du modèle. Beaucoup d’organisations tiennent donc en parallèle un registre des modèles IA, qui recense les systèmes eux-mêmes plutôt que les traitements de données.
Les deux documents ne se substituent pas l’un à l’autre, ils se complètent. Le registre RGPD répond à la question « quelles données personnelles, pour quelle finalité, sous quelle responsabilité ». Le registre des modèles répond à la question « quel système, quelle version, quel niveau de risque, quels tests réalisés ». La bonne pratique consiste à instaurer un référencement croisé, avec une colonne « système d’IA impliqué » dans le registre des traitements et une colonne « traitement RGPD lié » dans le registre des modèles. Cette double entrée évite les doublons et accélère considérablement les réponses en cas de contrôle. Nos analyses sur les obligations issues du règlement européen sur l’IA apportent le détail des échéances applicables aux entreprises.
Quand réaliser une AIPD sur un traitement d’IA générative
L’analyse d’impact relative à la protection des données n’est pas systématique, mais l’IA générative coche souvent plusieurs critères de déclenchement retenus par la CNIL : traitement à grande échelle, données sensibles, usage innovant, croisement de sources, évaluation ou notation de personnes, décision automatisée produisant des effets juridiques. Dès que deux de ces critères sont réunis, l’AIPD s’impose.
Concrètement, un assistant qui aide à rédiger des courriers administratifs sans toucher à des données sensibles pourra se contenter d’une fiche de registre bien documentée. En revanche, un système qui exploite des dossiers d’usagers dans un établissement médico-social, des données de santé ou des éléments de dossiers RH devra faire l’objet d’une analyse d’impact en bonne et due forme, intégrant les risques spécifiques aux modèles de langage. L’AIPD devient alors le document de référence qui justifie vos choix d’architecture, votre politique de conservation et vos mesures de sécurité. Notre checklist de conformité RGPD appliquée à l’IA permet de vérifier rapidement le périmètre à couvrir.
À retenir
L’AIPD ne se résume pas à un formulaire. Elle doit démontrer que les risques de fuite, de biais et d’erreur ont été évalués et réduits à un niveau acceptable avant la mise en production.
Documenter le contrôle humain et la gouvernance
Le contrôle humain est le champ le plus souvent négligé et pourtant le plus scruté. Il ne suffit pas d’écrire qu’un agent relit les productions de l’IA. Il faut préciser à quel moment la relecture intervient, qui en est responsable, ce qui se passe en cas de désaccord avec la proposition du modèle et comment la trace de cette validation est conservée. Cette documentation protège votre organisation en cas de litige, en démontrant qu’aucune décision produisant des effets significatifs n’a été prise sur le seul fondement d’un traitement automatisé.
La gouvernance IA complète ce dispositif : comité de validation des cas d’usage, charte d’utilisation portée à la connaissance des salariés, procédure de signalement des incidents, formation des utilisateurs aux limites des modèles. Ces éléments n’ont pas leur place dans le registre lui-même, mais ils en constituent le socle et doivent pouvoir être présentés en cohérence avec lui. Nous détaillons ce cadre dans notre article consacré à la gouvernance de l’IA et au comité de validation des modèles.
Enfin, la conception de la plateforme influe directement sur la simplicité de votre documentation. Un hébergement en France, l’absence de réutilisation des prompts pour l’entraînement et le respect natif des droits d’accès existants réduisent mécaniquement le nombre de rubriques à risque de votre registre. C’est la logique que nous portons chez SafeBrain auprès des DSI et des RSSI de secteurs régulés, où chaque ligne du registre doit pouvoir être défendue devant une autorité de contrôle.
Aller plus loin avec le registre des traitements IA générative
Documenter l’IA générative dans le registre des traitements n’est ni un exercice théorique ni une formalité administrative. C’est le moyen le plus direct de reprendre la main sur des usages qui se diffusent vite dans les équipes, de démontrer votre conformité au RGPD et de préparer les exigences de l’AI Act sans repartir de zéro. Commencez par recenser les cas d’usage réels, rattachez chacun à une finalité et à une base légale, enrichissez vos fiches des champs propres aux modèles, puis reliez le tout à votre registre des modèles IA. Un registre à jour vaut mieux qu’un registre exhaustif figé.
Questions fréquentes sur le registre des traitements IA générative
Faut-il transmettre son registre des traitements à la CNIL ?
Non. Le registre n’est pas déclaratif. Il doit être tenu à disposition et communiqué à la CNIL sur demande, dans le cadre d’un contrôle ou d’une instruction de plainte. Il doit donc être immédiatement présentable, idéalement dans un format exportable.
Qui tient le registre quand l’IA est fournie par un prestataire ?
Les deux parties. Le responsable de traitement documente ses finalités dans son registre au titre de l’article 30.1, et le sous-traitant tient son propre registre des activités réalisées pour le compte de ses clients au titre de l’article 30.2. Le contrat de sous-traitance, ou DPA, précise la répartition des rôles.
Une fiche doit-elle être créée pour un usage expérimental ou un pilote ?
Oui, dès que des données personnelles réelles sont utilisées. Une phase pilote peut faire l’objet d’une fiche provisoire mentionnant sa durée et son périmètre restreint. Si le pilote repose exclusivement sur des données fictives, la fiche n’est pas nécessaire mais la trace de cette décision reste utile.
Combien de temps faut-il conserver les versions antérieures du registre ?
Aucune durée n’est fixée par le RGPD, mais la logique de responsabilité plaide pour un historique des versions couvrant au moins la durée de prescription applicable. Conserver la date et l’auteur de chaque modification suffit dans la plupart des cas.
Que faire si des collaborateurs utilisent déjà des IA non validées ?
Commencez par un recensement sans sanction, afin d’identifier les usages réels et les données exposées. Chaque usage légitime peut ensuite être basculé vers une solution cadrée et inscrit au registre, les autres devant être bloqués techniquement et rappelés dans la charte d’utilisation.
