Registre des traitements IA : ce que la CNIL attend vraiment
Un registre des traitements n'est pas une liste de fichiers. C'est la preuve que l'organisation sait, pour chaque traitement, pourquoi elle traite, sur quelle base, pendant combien de temps, et qui peut y accéder. L'IA y ajoute trois difficultés.
Le registre des activités de traitement est une obligation ancienne : l'article 30 du RGPD demande à chaque responsable de traitement de tenir la liste de ses traitements. Dans la pratique, beaucoup d'organisations en tiennent un — incomplet, rarement mis à jour, et sans lien avec les projets réels.
L'arrivée de l'IA ne crée pas une nouvelle obligation de registre. Elle rend l'existant plus difficile, parce qu'elle introduit trois questions que le registre classique ne posait pas.
Les trois difficultés propres à l'IA
1. La finalité est souvent floue
Un traitement classique a une finalité stable : gérer les paies, gérer les clients. Un système d'IA générative peut servir à plusieurs usages, avec des finalités différentes. Sans finalité explicite, la base légale ne peut pas être déterminée.
2. Les données d'entraînement échappent au périmètre
Un modèle entraîné sur un corpus externe pose la question de l'origine des données. Le registre doit pouvoir dire ce qui a été utilisé, et sur quelle base.
3. Les décisions assistées changent la nature du traitement
Quand un système propose une décision — un score, une orientation, une priorisation — il faut documenter le degré d'automatisation et l'intervention humaine. Un traitement « assisté » n'a pas le même régime qu'un traitement entièrement automatisé.
Pour chaque système IA : finalité, base légale, catégories de données, durée de conservation, destinataires, transferts, mesure d'intervention humaine, et nom du responsable. Si l'un de ces champs est vide, le traitement n'est pas documenté.
Ce que la CNIL regarde en pratique
- La cohérence : le registre correspond-il aux systèmes réellement en service ?
- La traçabilité : peut-on relier un traitement à une décision, une analyse de risque, une information des personnes ?
- La proportionnalité : les données collectées sont-elles nécessaires à la finalité déclarée ?
- L'effectivité : les durées de conservation sont-elles réellement appliquées, ou seulement écrites ?
Trois pratiques qui tiennent
1. Un registre relié à l'inventaire des systèmes
Le registre et l'inventaire des systèmes IA doivent être la même source, vue différemment. Deux listes séparées divergent toujours.
2. Une revue à chaque changement
Un changement de modèle, de corpus ou de finalité est un changement de traitement. Il doit déclencher une mise à jour, pas une note en marge.
3. Une preuve d'effectivité
Pour chaque durée de conservation, pouvoir montrer que la suppression a lieu. Une règle non appliquée est un risque, pas une conformité.
« Un registre n'est pas un document de conformité. C'est la mémoire des décisions que vous avez prises sur les données des gens. »
Ce qu'il faut retenir
Le registre des traitements IA n'est pas un exercice supplémentaire. C'est le point où la gouvernance devient vérifiable. Les organisations qui le tiennent à jour découvrent souvent, en le remplissant, des traitements qu'elles avaient oubliés — et c'est précisément l'objectif.
Retour aux articles