Registre RGPD et IA : ce que votre assistant a le droit de lire

Ce qu'il faut savoir avant de brancher un assistant sur vos documents

Un assistant d'IA qui vous aide à tenir votre registre des traitements doit lire des contrats, des politiques internes, des échanges avec vos sous-traitants. C'est exactement ce qu'il faut pour remplir une fiche de traitement correctement. Mais la question qui compte n'est pas « cet outil fait-il gagner du temps », elle est : à quelles données accède-t-il, pour quelle finalité, et pendant combien de temps ? Un intégrateur le résume ainsi : c'est l'étendue de l'accès, bien plus que la technologie employée, qui détermine votre exposition.

Cette question se pose à vous, pas à l'éditeur de l'outil.

Qui porte la responsabilité quand un outil lit vos documents

Beaucoup de dirigeants raisonnent comme si l'éditeur de l'IA portait le risque, parce que les données transitent chez lui. Ce n'est pas ainsi que le RGPD répartit les rôles. Panoraia le rappelle : vous décidez de la finalité (aider à tenir le registre) et des moyens (cet outil, ce plan, ces documents). Vous êtes donc responsable du traitement. L'éditeur, qui traite pour votre compte, n'est que sous-traitant. C'est la position que retient la CNIL dans ses recommandations sur l'IA.

Trois conséquences concrètes en découlent, toujours selon cette même source : il vous faut une base légale pour cet usage, il vous faut informer les personnes dont les documents sont concernés, et il vous faut un contrat de sous-traitance conforme à l'article 28 du RGPD avec l'éditeur. Sur un abonnement professionnel, ce contrat existe et se signe en ligne. Sur un compte grand public souscrit avec une carte bancaire personnelle, souvent pas.

Cette répartition des rôles rejoint un constat que nous avons déjà posé sur qui décide, dans une PME, de ce qu'un outil a le droit de lire : la direction peut déléguer la rédaction du registre, elle ne peut pas déléguer la décision d'ouvrir un accès.

Ce qu'un assistant n'a pas besoin de lire

La minimisation n'est pas un principe abstrait, elle se paramètre concrètement. L'intégrateur cité plus haut décrit trois niveaux où elle s'applique :

• Par module : un assistant qui aide à documenter vos contrats clients n'a aucune raison d'accéder aux fiches de paie.
• Par champ : les zones de commentaire libre contiennent tout ce que vos équipes ont écrit sans y penser, y compris ce qui n'aurait jamais dû s'y trouver.
• Dans le temps : un assistant qui documente vos traitements actuels n'a pas besoin de l'historique de dix ans de correspondance.

Ces réglages se paramètrent techniquement : profils dédiés, champs masqués, journalisation des accès. C'est ce qui rend un projet auditable, et c'est ce que la CNIL a formalisé dans ses recommandations de juin 2025 sur l'intérêt légitime comme base possible pour ce type de traitement, sous conditions.

Le cas particulier d'un assistant qui interroge vos documents

Un assistant qui répond à partir de votre base documentaire (ce qu'on appelle une architecture RAG, pour retrieval augmented generation) n'est pas un chatbot générique. Techmind en donne la définition opérationnelle : il interroge vos documents privés en lecture seule pour formuler ses réponses, sans les utiliser pour s'entraîner et sans les modifier. C'est une séparation nette entre vos données et le modèle de langage.

La même source pose un critère déterminant pour ce type d'outil : il doit pouvoir « oublier » un document source sur demande, dans le cadre du droit à l'effacement. Un document supprimé de votre base doit disparaître aussi des réponses que l'outil formule, pas seulement de votre dossier source.

C'est exactement le moment où se joue la conformité d'un outil de recherche documentaire, comme nous l'avons déjà noté à propos de la recherche de contrats signés : un outil qui retrouve un document en quelques secondes n'a de valeur que s'il le fait pour les bonnes personnes, et seulement pour les documents qu'il a le droit de lire.

Les quatre questions à poser avant de signer

Avant de brancher un assistant sur les documents qui nourrissent votre registre, quatre questions méritent une réponse écrite de l'éditeur, avant la signature, pas après :

• Vos données servent-elles à entraîner le modèle : oui ou non ?
• Où sont-elles hébergées et traitées ?
• Sont-elles transmises à un sous-traitant ultérieur, et lequel ?
• Que deviennent-elles à la fin du contrat ?

Si l'éditeur ne répond pas précisément à ces quatre questions, ce n'est pas un problème de documentation de sa part : c'est une réponse en soi.

Sur le plan payé, Panoraia apporte une précision utile : sur les offres professionnelles, les contenus soumis ne servent en général pas à entraîner les modèles par défaut, l'éditeur documentant ce point explicitement pour ses produits d'entreprise. Sur une offre grand public, la logique s'inverse : l'amélioration des modèles est activée par défaut, et se désactive compte par compte. Un collaborateur qui installe un outil sur son compte personnel pour vous aider à tenir le registre échappe donc à ce contrôle, même avec la meilleure intention.

Ce que cela change pour la tenue de votre registre

Un assistant branché sur vos documents est lui-même un traitement de données personnelles, et il s'inscrit à ce titre dans votre registre, avec sa propre finalité, ses propres catégories de données et sa propre base légale. C'est ce que recommandent les deux sources citées plus haut : Panoraia conseille un registre des usages d'IA, un tableau simple qui liste chaque outil, qui l'utilise, pour quoi faire, quelles catégories de données et quel plan (professionnel ou grand public). L'intégrateur cité plus haut recommande la même inscription, avec finalité, catégories de données, destinataires et durée de conservation.

Ce registre des usages n'est pas un document à part de votre registre des traitements : il en documente une ligne de plus, celle que beaucoup de PME oublient d'écrire parce que l'outil leur semble être un outil de bureau, pas un traitement à déclarer.

La bonne question à se poser avant de brancher un assistant sur votre registre n'est donc pas « cet outil fait-il gagner du temps ». Elle est : pouvez-vous écrire, en une phrase, ce qu'il a le droit de lire, pour qui, et pendant combien de temps ? Si la réponse n'est pas encore écrite, le registre que vous allez produire plus vite ne sera pas plus fiable que celui que vous mettez à jour à la main.