Base légale RGPD et traitement IA : comment choisir et documenter la bonne base
Déployer un modèle d'IA sans avoir ancré chaque traitement sur une base légale solide, c'est construire sur du sable. Pourtant, face à la plasticité des systèmes IA — collecte massive, réutilisation des données, apprentissage continu — beaucoup de DPO et de RSSI peinent encore à sélectionner et à documenter la bonne base au sens de l'article 6 du RGPD. Voici un guide concis et opérationnel.
Pourquoi la base légale est encore plus critique en IA
Un projet IA cumule souvent plusieurs traitements distincts : collecte initiale, entraînement du modèle, inférence en production, stockage des logs, amélioration continue. Chacune de ces étapes peut requérir une base légale différente. Ignorer cette granularité expose l'organisation à une requalification par la CNIL ou à une amende pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial.
L'IA Act vient ajouter une couche supplémentaire : pour les systèmes à haut risque (article 10), la qualité des données d'entraînement doit être justifiable, ce qui suppose une base légale clairement identifiée en amont. Conformité RGPD et conformité IA Act sont donc indissociables.
Les trois bases légales les plus sollicitées en contexte IA
1. Le contrat (article 6.1.b)
Cette base s'applique lorsque le traitement est strictement nécessaire à l'exécution d'un contrat auquel la personne concernée est partie. En IA, elle est pertinente pour :
- Un chatbot de service client qui analyse l'historique d'achat pour répondre à une demande de retour.
- Un moteur de recommandation intégré à un abonnement SaaS, si la personnalisation est une prestation contractuelle explicite.
Piège classique : invoquer le contrat pour entraîner un modèle sur des données agrégées de clients. La CNIL considère que l'entraînement va au-delà de la stricte exécution du contrat. Mieux vaut documenter une finalité distincte avec une base distincte.
2. L'intérêt légitime (article 6.1.f)
C'est la base la plus flexible, donc la plus risquée si elle est mal documentée. Elle exige un test en trois étapes souvent appelé balancing test :
- Finalité légitime : l'intérêt poursuivi est-il réel et licite ? (ex. : détection de fraude, sécurité du réseau)
- Nécessité : le traitement IA est-il indispensable pour atteindre cette finalité ?
- Équilibre : les droits et libertés des personnes concernées ne l'emportent-ils pas sur cet intérêt ?
Exemples où l'intérêt légitime tient la route : scoring de risque crédit interne, détection d'anomalies de sécurité, analyse comportementale pour prévenir la fraude. En revanche, il ne saurait justifier un profilage marketing agressif ou l'entraînement sur des données sensibles.
Documentation obligatoire : rédigez un mémo de Legitimate Interest Assessment (LIA) versé au registre des traitements. Ce document doit tracer les trois étapes du test et les mesures d'atténuation retenues (pseudonymisation, durée de conservation réduite, droit d'opposition facilité).
3. Le consentement (article 6.1.a)
Le consentement est souvent présenté comme la base « par défaut », à tort. En B2B notamment, il est structurellement fragile : il peut être retiré à tout moment, ce qui déstabilise les modèles entraînés. Il reste néanmoins incontournable dans deux situations :
- Traitements impliquant des données sensibles (article 9) combinés à l'IA, par exemple une IA médicale analysant des données de santé.
- Finalités non anticipées au moment de la collecte initiale, où la compatibilité avec la finalité d'origine ne peut être établie.
Si vous optez pour le consentement, vérifiez les quatre critères RGPD : libre, spécifique, éclairé, univoque. Un consentement coché dans des CGU enfouies ne passe pas le filtre.
Tableau de décision rapide
- Entraînement sur données clients existantes → Intérêt légitime + LIA, ou consentement si données sensibles.
- Inférence en production dans le cadre d'un service souscrit → Contrat, si la fonctionnalité IA est contractualisée.
- Profilage à des fins de ciblage publicitaire → Consentement (obligation issue des lignes directrices CNIL).
- Détection de fraude interne → Intérêt légitime, avec LIA documenté.
- IA RH (scoring CV, prédiction de turnover) → Cadre à examiner cas par cas ; souvent intérêt légitime mais attention à l'article 22 (décision automatisée).
Comment documenter la base légale dans votre registre RGPD
La documentation n'est pas une formalité : c'est votre bouclier en cas de contrôle. Pour chaque traitement IA, le registre doit mentionner :
- La base légale retenue et sa justification synthétique.
- La finalité précise du traitement (entraînement, inférence, amélioration du modèle…).
- Le LIA ou l'analyse de compatibilité des finalités, en pièce jointe.
- Les mesures techniques et organisationnelles associées (anonymisation, accès restreint, journalisation).
- La durée de conservation des données d'entraînement et des logs d'inférence.
Si votre système IA est qualifié de haut risque au sens de l'IA Act, associez ce registre RGPD à votre documentation technique requise par l'annexe IV du règlement. Les deux référentiels se complètent et les autorités de contrôle s'attendent à les voir alignés.
Les erreurs les plus fréquentes à éviter
- Empilement de bases légales : choisir une base principale et ne pas en changer en cours de route. Vous ne pouvez pas « basculer » vers le consentement si l'intérêt légitime est contesté.
- Oublier l'article 22 : si votre IA prend des décisions automatisées produisant des effets juridiques ou significatifs, une base supplémentaire (consentement explicite ou nécessité contractuelle) est requise.
- Shadow AI : les équipes métier qui connectent un LLM externe à des données clients sans validation DPO créent un traitement sans base légale documentée. La gouvernance doit inclure un processus d'homologation systématique.
FAQ
Peut-on utiliser l'intérêt légitime pour entraîner un modèle IA sur des données clients ?
Oui, sous conditions. Il faut réaliser et documenter un Legitimate Interest Assessment (LIA) démontrant que la finalité est légitime, le traitement nécessaire et que les droits des personnes ne l'emportent pas. Des mesures d'atténuation (pseudonymisation, durée limitée) renforcent la robustesse du dossier.
Le consentement est-il obligatoire pour toute IA qui analyse des données personnelles ?
Non. Le consentement n'est qu'une des six bases légales du RGPD. Il est incontournable pour les données sensibles (article 9) ou les finalités non anticipées, mais d'autres bases — contrat ou intérêt légitime — peuvent être plus adaptées et plus stables pour des projets IA en B2B.
Comment l'IA Act impacte-t-il le choix de la base légale RGPD ?
L'IA Act n'impose pas de base légale spécifique, mais exige pour les systèmes à haut risque une documentation de la qualité des données d'entraînement. Cette exigence présuppose une base légale RGPD clairement établie. Les deux conformités doivent être alignées dès la conception du projet.
Que faire si un collaborateur utilise un LLM externe (shadow AI) avec des données clients ?
Ce traitement est sans base légale documentée et potentiellement illicite. Il faut l'identifier via un processus de gouvernance (catalogue des usages IA), qualifier le traitement, choisir la base légale appropriée ou interdire l'usage, puis former les collaborateurs. Des outils de gouvernance IA comme Yvoria AI permettent de cartographier et d'homologuer ces usages.