Registre des traitements : comment y inscrire un outil d'IA RH

Au 4 novembre 2026, l'article 30 du RGPD impose de tenir un registre décrivant chaque traitement : finalités, catégories de personnes et de données, destinataires, transferts hors Union, délais d'effacement et mesures de sécurité. L'exemption prévue sous 250 employés ne s'applique pas aux traitements non occasionnels, à risque ou portant sur des données sensibles, ce qui est en pratique le cas de la plupart des traitements RH.

Qui doit tenir le registre

L'article 30 du RGPD impose au responsable de traitement de tenir un registre de ses activités de traitement. Son paragraphe 5 exempte les organisations de moins de 250 employés, sauf si le traitement présente un risque, n'est pas occasionnel ou porte sur des données sensibles ou pénales. La gestion du personnel est continue et touche parfois des données de santé : l'exemption joue donc rarement en RH. Le sous-traitant tient de son côté un registre des activités menées pour le compte de ses clients, comme le rappelle la CNIL.

Le contenu d'une fiche

Chaque fiche reprend les éléments de l'article 30, paragraphe 1 : coordonnées des acteurs concernés, finalités, catégories de personnes concernées et de données, destinataires, transferts hors Union avec les garanties utilisées, délais prévus pour l'effacement et description générale des mesures de sécurité. Pour un outil d'IA, il est utile d'ajouter, même si le texte ne l'exige pas, le nom du fournisseur, le modèle utilisé, l'existence ou non d'une décision automatisée et la date de la dernière AIPD.

Une fiche par finalité

Un même outil peut servir plusieurs finalités : répondre aux questions des salariés, aider à rédiger des documents, présélectionner des candidatures. Chacune a ses données, ses destinataires et ses durées ; il est plus lisible de créer une fiche par finalité. Le référentiel CNIL de gestion du personnel exclut de son champ les traitements algorithmiques à des fins de profilage : ces usages méritent une fiche distincte et une analyse spécifique. Le registre sert aussi de point de départ pour l'information des salariés et pour l'AIPD.

Faire vivre le registre

Le registre doit refléter la réalité. Changer de fournisseur de modèle, ouvrir un nouveau connecteur vers le SIRH ou étendre l'outil à d'autres populations modifie la fiche. Une revue périodique avec le DPO, par exemple annuelle comme la revue des habilitations recommandée par la CNIL, permet de détecter les écarts. Un registre à jour montre que l'employeur sait quelles données circulent dans ses outils d'IA, ce qui facilite aussi la réponse aux demandes d'accès des salariés.

À faire

1. Créer une fiche de registre par finalité d'usage de l'IA en RH.
2. Renseigner chaque rubrique de l'article 30, paragraphe 1, y compris transferts et délais d'effacement.
3. Ajouter le fournisseur, ses sous-traitants et la présence ou non de décision automatisée.
4. Relier chaque fiche à l'AIPD et à la note d'information correspondantes.
5. Programmer une revue annuelle du registre avec le DPO.

Textes de référence

• Article 30 du RGPD (CNIL, chapitre IV)
• CNIL : 6 bonnes pratiques responsable de traitement et sous-traitant
• Référentiel CNIL relatif à la gestion du personnel
• Le RGPD article par article (CNIL)

Questions fréquentes

Contenu d'information générale, qui ne constitue pas un conseil juridique.