Sécurité d'un fournisseur d'IA RH : quoi exiger

Au 4 novembre 2026, l'article 28 du RGPD n'autorise le recours qu'à des sous-traitants présentant des garanties suffisantes, et l'article 32 liste les mesures attendues : pseudonymisation, chiffrement, confidentialité, intégrité, disponibilité, rétablissement après incident et tests réguliers. La CNIL cite comme moyens de vérification les audits de sécurité, la visite des installations et les certifications.

Le socle de l'article 32

L'article 32 du RGPD impose des mesures techniques et organisationnelles adaptées au risque, notamment la pseudonymisation et le chiffrement, la capacité à garantir la confidentialité, l'intégrité, la disponibilité et la résilience des systèmes, la capacité à rétablir rapidement l'accès aux données après un incident et une procédure de test régulier de l'efficacité des mesures. Le contrat de sous-traitance doit obliger le fournisseur à les appliquer (article 28, paragraphe 3, point c). Le référentiel CNIL de gestion du personnel détaille des mesures concrètes : habilitations, authentification, journalisation, chiffrement, sauvegardes.

Les risques propres à l'IA

Un outil d'IA ajoute des risques à ceux d'un logiciel classique. La CNIL cite l'empoisonnement des données, l'insertion d'une porte dérobée, l'inversion du modèle et l'extraction de données mémorisées. Dans sa foire aux questions sur l'IA générative, elle renvoie aux recommandations de sécurité de l'ANSSI pour ces systèmes. Les questions à poser portent sur la séparation des données entre clients, la protection contre les instructions malveillantes cachées dans un document, la gestion des droits d'accès dans les réponses générées et l'absence de réutilisation des données d'usage.

Comment vérifier

La CNIL recommande d'apprécier les garanties d'un sous-traitant par des audits de sécurité, la visite des installations ou des certifications. Son guide sur la commande publique cite les rapports d'audits externes parmi les justificatifs qui peuvent être demandés selon la sensibilité du traitement. L'article 28 impose au fournisseur de mettre à disposition les informations nécessaires et de permettre des audits, y compris des inspections. Une certification ne remplace pas l'examen : il faut vérifier son périmètre, sa date et les services réellement couverts.

Incidents et violations

L'article 33 du RGPD oblige l'employeur à notifier une violation de données à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures, sauf absence de risque. Le sous-traitant doit lui notifier toute violation dans les meilleurs délais. Le contrat doit donc fixer un délai court, un contenu minimal de l'alerte et un interlocuteur joignable. Demander au fournisseur sa procédure de gestion d'incident, ses délais de rétablissement et la fréquence de ses tests permet de vérifier que ces engagements sont réalistes.

À faire

1. Envoyer un questionnaire de sécurité couvrant chiffrement, habilitations, journalisation, sauvegardes et tests.
2. Demander les certifications ou rapports d'audit avec leur périmètre et leur date.
3. Interroger le fournisseur sur les risques propres à l'IA : cloisonnement entre clients, injection d'instructions, données mémorisées.
4. Inscrire au contrat un délai de notification des violations et un droit d'audit.
5. Vérifier l'authentification unique, les droits par rôle et l'accès aux journaux d'audit.
6. Revoir ces éléments au moins une fois par an.

Textes de référence

• Articles 28, 32 et 33 du RGPD (CNIL, chapitre IV)
• CNIL : 6 bonnes pratiques responsable de traitement et sous-traitant
• CNIL : IA, réaliser une analyse d'impact si nécessaire
• CNIL : guide sur la responsabilité des acteurs dans la commande publique
• CNIL : questions-réponses sur l'utilisation d'un système d'IA générative

Questions fréquentes

Contenu d'information générale, qui ne constitue pas un conseil juridique.