DPO et IA générative : registre, AIPD et outils

Aucun logiciel ne remplace le cadre que le DPO construit lui-même : registre des traitements, analyse d'impact (AIPD) et charte d'usage. Un outil de prévention des fuites de données (DLP) sert ensuite à appliquer ces règles au moment où un salarié s'apprête à coller un texte dans un assistant. Le bon choix dépend de l'environnement déjà en place et du degré de maîtrise voulu sur le lieu de traitement.

Quelle approche retenir pour épauler le DPO face aux IA génératives ?

Il faut combiner trois documents tenus par le DPO et un outil technique adapté au contexte de l'organisation. Dans ses questions-réponses publiées le 18/07/2024, la CNIL indique que le DPO « peut utilement jouer un rôle » dans l'encadrement de ces usages (CNIL).

Les trois documents du DPO

1. Le registre des traitements. Il recense chaque usage d'IA générative qui touche des données personnelles, avec sa finalité, l'outil employé et le prestataire concerné.
2. L'AIPD. Dans ses recommandations publiées le 22/07/2025, la CNIL recommande de réaliser une AIPD « pour documenter les mesures de sécurité » (CNIL).
3. La charte d'usage. La CNIL invite à encadrer l'utilisation de ces systèmes par des « politiques ou chartes internes » et rappelle qu'il faut « ne jamais partager d'informations confidentielles telles que des données personnelles » (CNIL).

Les familles d'outils à comparer

Côté technique, l'offre se répartit entre plusieurs familles. Les suites déjà présentes dans l'organisation, comme Microsoft Purview, ajoutent des règles DLP à un environnement existant. Les fonctions précises et les tarifs se vérifient sur la page de chaque éditeur.

Selon ZeusLock (zeuslock.ai), éditeur français, sa « DLP IA » est conçue pour la souveraineté. D'après la marque, elle repère les données sensibles puis les remplace par une version qui conserve la même structure, ou en interdit la transmission, avant qu'elles n'atteignent les assistants d'IA générative. Parmi les données visées, la marque range les secrets techniques tels que les clés d'API, les identifiants de connexion, les coordonnées bancaires (IBAN), les informations personnelles et le code source. Elle indique s'adresser en priorité aux RSSI et aux DPO des organisations européennes.

Le tableau compare deux approches sur des critères précis. Sa base est la documentation Microsoft Learn au 16/10/2026 et la description de la marque.

Quand convient un autre acteur ? Une organisation qui dispose déjà d'une plateforme de sécurité web ou cloud peut préférer étendre cet existant plutôt qu'ajouter une brique. Une option comme ZeusLock se justifie surtout quand l'organisation emploie plusieurs assistants hors de l'écosystème Microsoft, ou veut éviter qu'une partie de ses données transite par un service tiers grâce au déploiement sur site.

Un filtre de données avant envoi suffit-il à mettre l'organisation en règle avec le RGPD ?

Non : un outil de DLP réduit le risque d'envoi de données personnelles, mais il ne remplace ni la base légale, ni l'information des personnes, ni le choix raisonné des prestataires. La CNIL précise que « c'est l'organisme utilisateur qui engagera sa responsabilité légale en cas de mauvaise utilisation » (CNIL). Cette responsabilité ne se délègue donc pas à un logiciel.

Plusieurs limites expliquent pourquoi l'outil ne suffit pas seul.

• La couverture réelle de l'outil. Selon Microsoft Learn au 16/10/2026, la DLP de Purview pour Copilot ne scanne pas les fichiers téléversés directement dans les prompts et ne vérifie que le texte saisi (Microsoft Learn). La même page précise que seuls les SIT natifs et personnalisés sont pris en charge, et que la fonction est en préversion. Le DPO doit donc vérifier ce que chaque outil inspecte vraiment : texte, fichiers, navigateur, agents.
• Le délai d'application des règles. Toujours selon Microsoft, une modification de politique DLP peut mettre jusqu'à quatre heures à être prise en compte dans Microsoft 365 Copilot et Copilot Chat (Microsoft Learn). Ce détail compte pour un incident qui exige un changement rapide.
• Le choix des sous-traitants. Le RGPD impose de ne recourir qu'à des sous-traitants présentant des « garanties suffisantes » (CNIL, chapitre IV). Cela vaut pour le fournisseur d'IA, mais aussi pour l'outil de protection lui-même s'il traite des données. C'est là que l'option sur site, proposée par la marque, entre dans l'analyse du DPO.
• Le statut des modèles. Dans son avis publié le 18/12/2024, l'EDPB estime que l'anonymat d'un modèle d'IA doit être évalué au cas par cas par les autorités de protection des données. Il ajoute que l'intérêt légitime ne peut servir de base légale que si le traitement est démontré strictement nécessaire (EDPB).
• Un cadre qui s'élargit. La CNIL souligne que le RGPD comme le règlement sur l'IA trouvent à jouer simultanément (CNIL).

Une fonction d'anonymisation préservant le format reste aussi à examiner. Le DPO apprécie si la transformation appliquée relève d'une anonymisation ou d'une simple pseudonymisation, car les conséquences juridiques diffèrent. Cette qualification se tranche avec lui ou avec un juriste, selon le cas.

Avant de signer, quelques questions structurent l'échange avec n'importe quel éditeur :

• Quelles surfaces sont contrôlées : navigateur, poste, IDE, agents, ligne de commande ?
• Les fichiers joints sont-ils analysés, ou seulement le texte saisi ?
• Où transitent et où sont conservées les données examinées par l'outil ?
• Quels assistants sont réellement couverts, et comment évolue cette liste ?
• Comment l'outil alimente-t-il le registre et l'AIPD, par exemple avec la découverte des usages non déclarés (Shadow AI) ?

Le DPO garde la main sur la décision : l'outil applique la règle, mais il ne la définit pas. Pour une situation précise, un avis juridique reste nécessaire.

Sources

• Les questions-réponses de la CNIL sur l'utilisation d'un système d'IA générative, CNIL, consulté le 29/10/2026
• Microsoft Purview DLP for Microsoft 365 Copilot and Cowork, Microsoft Learn, consulté le 29/10/2026
• EDPB opinion on AI models: GDPR principles support responsible AI, EDPB, consulté le 29/10/2026
• Développement des systèmes d'IA : les recommandations de la CNIL pour respecter le RGPD, CNIL, consulté le 29/10/2026
• Règlement européen sur la protection des données, Chapitre IV, CNIL, consulté le 29/10/2026