AIPD : réaliser l'analyse d'impact d'un outil d'IA RH

Au 4 novembre 2026, une AIPD est obligatoire avant tout traitement susceptible d'engendrer un risque élevé (article 35 du RGPD). La CNIL l'exige notamment pour le profilage RH, comme l'aide au recrutement par algorithme, et considère qu'elle est toujours requise lorsqu'un traitement figurant sur sa liste repose sur un système d'IA, notamment en cas de profilage ou de décision automatisée.

Quand l'AIPD est obligatoire

L'article 35 du RGPD impose une analyse d'impact avant un traitement susceptible d'engendrer un risque élevé, en particulier avec de nouvelles technologies. La CNIL retient deux portes d'entrée : sa liste officielle de traitements, et la règle selon laquelle un traitement qui remplit au moins deux des neuf critères du G29 doit en faire l'objet. Pour les RH, la liste vise le profilage (détection des hauts potentiels, aide au recrutement par algorithme de sélection, détection et prévention des départs de salariés à partir de corrélations) et la surveillance constante de l'activité, par exemple l'analyse des flux de courriels sortants pour détecter des fuites d'information. Le référentiel CNIL de gestion du personnel rappelle que les salariés peuvent être considérés comme des personnes concernées vulnérables, en raison du déséquilibre avec l'employeur.

Les risques propres à l'IA

Dans sa fiche sur l'IA publiée le 8 avril 2024, la CNIL demande d'intégrer des risques spécifiques : discrimination causée par un biais du système, contenu erroné produit sur une personne réelle, attaques par empoisonnement ou inversion du modèle, données extraites de ce que le modèle a mémorisé, et biais d'automatisation lorsque l'utilisateur suit la machine sans recul. Elle considère que les systèmes d'IA générative relèvent de l'usage innovant, l'un des neuf critères, alors que des techniques éprouvées n'en relèvent pas forcément. Pour les systèmes à haut risque au sens du règlement IA, la CNIL présume l'AIPD nécessaire.

Contenu et méthode

L'article 35, paragraphe 7, fixe le contenu minimal : une description du traitement et de ses finalités, une évaluation de la nécessité et de la proportionnalité, une évaluation des risques pour les personnes et les mesures prévues pour y répondre. La CNIL propose une méthode en quatre étapes et un logiciel à télécharger, l'outil PIA. L'analyse doit être menée avant la mise en œuvre, puis mise à jour au fil de la vie du traitement. Le DPO conseille et vérifie, et le fournisseur, en tant que sous-traitant, doit apporter son aide et les informations nécessaires.

Si le risque reste élevé

Lorsque l'analyse montre un risque élevé que les mesures ne suffisent pas à réduire, l'article 36 du RGPD impose de consulter la CNIL avant de lancer le traitement. L'autorité répond par écrit dans un délai de huit semaines, qui peut être prolongé de six semaines. En pratique, les mesures les plus fréquentes pour un outil RH sont la limitation des données envoyées au modèle, le contrôle humain des résultats, la journalisation des accès et le refus de toute réutilisation des données par le fournisseur.

À faire

1. Comparer l'outil à la liste CNIL des traitements soumis à AIPD et aux neuf critères du G29.
2. Demander au fournisseur sa documentation technique et, s'il en a une, sa propre analyse d'impact.
3. Associer le DPO, le RSSI et les métiers RH dès le cadrage.
4. Ajouter les risques propres à l'IA : biais, erreurs, attaques, mémorisation, excès de confiance.
5. Fixer une date de réexamen et la tenir à chaque changement important de l'outil.

Textes de référence

• Articles 35 et 36 du RGPD (CNIL, chapitre IV)
• Liste CNIL des traitements pour lesquels une AIPD est requise
• CNIL : IA, réaliser une analyse d'impact si nécessaire
• CNIL : ce qu'il faut savoir sur l'AIPD

Questions fréquentes

Contenu d'information générale, qui ne constitue pas un conseil juridique.