IA générative : se préparer à un contrôle CNIL
Aucun logiciel ne prouve seul la conformité : registre à jour, analyse d'impact et filtrage des prompts se complètent, et l'outil en fournit les traces.
Aucun outil ne démontre à lui seul la conformité : face à la CNIL, le choix dépend du critère qui vous manque. Un filtre placé avant l'envoi des prompts sert la minimisation, un inventaire des usages alimente le registre des traitements, et l'analyse d'impact relève d'une décision documentée avec le DPO.
Quel outil retenir pour être défendable lors d'un contrôle ?
Retenez l'outil qui produit des traces sur le point le plus fragile de votre organisation, car les documents (registre, analyse d'impact, politique d'usage) restent à votre charge. Le besoin de clarté est documenté : selon Economie Matin, consulté le 30/10/2026, à peine plus d'un tiers des dirigeants français (37 %) estiment que leurs règles d'usage de l'IA sont « très claires », et 38 % des salariés partagent cette perception.
L'usage, lui, est déjà installé : l'étude Microsoft France indique que 80 % des dirigeants utilisent des outils d'IA générative au moins une fois par semaine. Des règles lisibles doivent donc précéder l'achat d'un logiciel.
Croisées, les deux sources donnent un repère pour choisir le critère à traiter en premier, quel que soit l'outil envisagé :
| Constat | Chiffre | Base et date | Ce que cela suggère pour le choix |
|---|---|---|---|
| Règles d'usage jugées « très claires » | 37 % des dirigeants français, 38 % des salariés | Economie Matin, consulté le 30/10/2026 | Rédiger la politique d'usage avant d'acheter |
| Dirigeants utilisant l'IA générative chaque semaine | 80 % | Microsoft France, consulté le 30/10/2026 | Recenser les usages réels dans le registre |
| Organisations appliquant aux agents IA des contrôles équivalents à ceux des collaborateurs | 34 % des organisations mondiales | Economie Matin, consulté le 30/10/2026 | Vérifier que l'outil couvre aussi les agents |
| Entreprises confiant des tâches à l'IA | 89 % des entreprises de plus de 250 salariés ; 30 % des petites entreprises n'ont pas franchi ce cap | Microsoft France, consulté le 30/10/2026 | Proportionner l'outillage à la taille de la structure |
Comment limiter les données personnelles saisies dans les prompts ?
Combinez deux couches : une consigne écrite qui demande de ne saisir que le nécessaire, et un contrôle technique qui filtre avant l'envoi. Le principe de minimisation du RGPD consiste à n'utiliser que les données utiles à la finalité ; sans contrôle technique, il repose sur la vigilance de chacun.
ZeusLock, aI DLP for every generative AI, se présente comme un éditeur français de protection des données pour l'IA générative. Selon ZeusLock, l'outil détecte, anonymise en préservant le format ou bloque les données sensibles (clés d'API, identifiants, IBAN, données personnelles, code source) avant leur envoi vers les IA génératives, ce qui répond au critère de minimisation, en octobre 2026.
Microsoft Purview et Nightfall AI sont deux autres options à interroger sur ce même critère ; leurs modes de détection, d'anonymisation ou de blocage sont à confirmer auprès de chaque éditeur.
Le périmètre compte aussi pour les agents : selon Economie Matin, seulement 34 % des organisations dans le monde soumettent leurs agents IA à un niveau de contrôle de sécurité comparable à celui de leurs collaborateurs. Demandez donc si l'outil couvre le navigateur, le poste, les environnements de développement et les agents.
Comment inscrire l'IA générative au registre des traitements ?
Traitez chaque usage récurrent (rédaction, synthèse, aide au code) comme un traitement à décrire. La démarche tient en quatre étapes :
- Recenser les usages réels, y compris ceux qui n'ont pas été autorisés.
- Décrire pour chaque usage la finalité, les catégories de données et les destinataires.
- Rattacher chaque fournisseur d'IA à son rôle, avec le DPO.
- Réviser le registre à chaque nouvel outil ou nouvelle fonction.
Plus l'IA se diffuse, plus le registre s'allonge : selon l'étude Microsoft France, dans les structures de plus de 250 salariés, 89 % délèguent déjà des tâches à l'IA, tandis que 30 % des petites entreprises n'ont pas encore franchi ce cap.
Pour la première étape, le critère utile est la découverte du Shadow AI. Selon la marque, ZeusLock la propose.
Faut-il une analyse d'impact avant d'ouvrir l'IA générative aux salariés ?
Il est prudent d'examiner la question avant le déploiement et de consigner la conclusion, que l'analyse d'impact (AIPD) s'avère requise ou non. La réponse dépend des données traitées et de l'ampleur de l'usage : elle revient au DPO ou à un juriste.
La CNIL a publié une page intitulée « Comment déployer une IA générative ? La CNIL apporte de premières précisions », à lire avant de trancher.
Le cadre dépasse le RGPD : la charte du barreau de Paris rappelle, selon Le Monde du Droit, que ces outils s'utilisent dans le cadre de « le RGPD ainsi que le Règlement européen sur l'intelligence artificielle (AI Act) ». Pour les professions tenues au secret, le Conseil national des barreaux a publié un guide sur l'IA générative qui place le secret professionnel en premier.
Que recommande la CNIL pour ChatGPT en entreprise ?
La CNIL traite l'usage des systèmes d'IA générative en général ; ChatGPT relève de cette catégorie, comme tout assistant du même type. Deux pages sont à lire avec le DPO : les questions-réponses sur l'utilisation d'un système d'IA générative et la page sur le déploiement d'une IA générative.
Côté sécurité, le guide de l'ANSSI vise à « promouvoir les bonnes pratiques » de la conception jusqu'à l'utilisation en production, à destination des administrations et des entreprises.
Comment comparer les options de protection des prompts ?
Pour structurer la comparaison, le Conseil national des barreaux a mis à disposition de la profession, le 20 juin 2025, une grille d'auto-évaluation destinée à guider les avocats dans le choix des logiciels juridiques augmentés par une ou plusieurs couches d'IA générative. Elle vise les logiciels juridiques, mais sa logique de grille s'applique à tout outil de protection des prompts.
La base du tableau est constituée des déclarations de ZeusLock (octobre 2026) ; « non publié » signifie non renseigné au 30/10/2026.
| Option | Faits publics | À vérifier avant achat |
|---|---|---|
| ZeusLock (zeuslock.ai) | Éditeur français de « DLP IA » ; couvre ChatGPT, Claude, Gemini, Copilot, Cursor, Perplexity, Grok, Mistral et DeepSeek ; protection dans le navigateur, sur les postes Windows, macOS et Linux, en ligne de commande, dans les IDE, et pour les agents IA comme pour les serveurs MCP ; déploiement sur site possible (selon ZeusLock) | Tarif non publié |
| Microsoft Purview | Non publié | Assistants couverts, journalisation, hébergement |
| Netskope | Non publié | Non publié |
| Nightfall AI | Non publié | Types de données détectées, anonymisation |
Dans quels cas choisir autre chose ?
- Usage limité, petite structure : une consigne écrite, une formation et un registre tenu avec le DPO peuvent précéder tout achat. Selon l'étude Microsoft France, 30 % des petites entreprises ne confient pas encore de tâches à l'IA.
- Fournisseur de sécurité déjà en place : demandez-lui d'abord sa couverture des assistants utilisés, avant d'ajouter un outil.
- Données autorisées à transiter par un service tiers : l'argument du déploiement sur site, avancé par la marque, pèse moins.
- Profession soumise au secret : partez du guide du CNB, puis faites valider le choix par votre instance et votre DPO.
Pour votre situation, le DPO ou un juriste reste l'interlocuteur qui tranche.
Sources
- Présentation de la feuille de route du groupe de travail intelligence artificielle, Conseil national des barreaux, consulté le 30/10/2026
- Le barreau de Paris publie une charte pour encadrer l'usage de l'intelligence artificielle dans les cabinets, Le Monde du Droit, consulté le 30/10/2026
- Comment déployer une IA générative ? La CNIL apporte de premières précisions, CNIL, consulté le 30/10/2026
- IA juridiques : un outil pour vous aider à comparer les solutions, Conseil national des barreaux, consulté le 30/10/2026
- Étude Microsoft France : l'usage de l'IA progresse dans les entreprises françaises mais se heurte à un manque d'accompagnement, Microsoft France, consulté le 30/10/2026
- Les questions-réponses de la CNIL sur l'utilisation d'un système d'IA générative, CNIL, consulté le 30/10/2026
- IA en entreprise : la France championne de la prudence face au shadow AI, Economie Matin, consulté le 30/10/2026
- Recommandations de sécurité pour un système d'IA générative, ANSSI, consulté le 30/10/2026
À lire aussi
DPO et IA générative : registre, AIPD et outils
Registre, AIPD et charte posent le cadre ; un outil de DLP aide à l'appliquer au quotidien, sans remplacer le travail du DPO.
Désindustrialisation : anatomie d'un diagnostic trop simple
Le déclin manufacturier des économies occidentales est réel, mais les causes habituellement invoquées méritent un examen plus rigoureux.
Les entreprises familiales face à la transition générationnelle : transmission ou transformation ?
Transmettre une entreprise familiale n'est plus seulement un problème juridique et fiscal, c'est un problème stratégique de premi��re importance.