En France, un pilote d'IA qui ne peut pas passer la revue RGPD ne passera jamais en production, quelle que soit la qualité de la démo. La bonne nouvelle : la CNIL est claire, le RGPD permet le développement d'IA innovantes et responsables et apporte la sécurité juridique dont les entreprises ont besoin. La conformité n'est pas un frein, c'est une condition de mise en production. Voici comment la traiter comme une capacité, pas comme un projet de six mois.
1. Cadrez la finalité avant l'outil
Le RGPD raisonne par finalité. Avant de choisir un modèle, écrivez ce que le système fait, sur quelles données, pour quel résultat, et sur quelle base légale (contrat, intérêt légitime, consentement). Un cas d'usage sans finalité claire est un cas d'usage qui échouera à la revue.
2. Traitez les données à la source
- Minimisez : le système ne voit que les données dont il a besoin, pas tout le lac de données « au cas où ».
- Localisez : où vivent les données, qui peut les lire, ce que le fournisseur du modèle voit. Posez la question des données au fournisseur avant de signer, pas après.
- Tracez : journalisation des accès et des décisions, pour qu'un système puisse passer un contrôle et qu'une décision puisse être expliquée.
La conformité n'est pas une slide ajoutée à la fin. C'est une condition posée dès le premier flux.
3. Gardez l'humain là où il compte
Le règlement européen sur l'IA (AI Act) classe certains usages comme à haut risque et impose une supervision humaine. La plupart des usages internes ne sont pas à haut risque, mais l'arbre de décision doit être fait honnêtement, pas supposé. Là où une décision affecte une personne, un humain garde la main.
4. Reprenez un pilote bloqué par la conformité
Beaucoup de pilotes français sont morts non pas parce que le modèle était mauvais, mais parce qu'ils n'ont jamais pu passer la revue RGPD. C'est souvent réparable : relier le pilote aux bons systèmes, poser les contrôles manquants, documenter la finalité. Un audit de production dit en deux semaines si le pilote mérite d'aller au bout.
Le résultat visé n'est pas une note de conformité rangée dans un tiroir. C'est un système que la direction peut signer et qui tourne en production, parce que la conformité a été construite avec, pas contre.