Données personnelles IA : qui choisir quand la CNIL regarde ?

La question n’est plus de savoir si une PME utilise l’IA. Elle l’utilise déjà, souvent sans l’avoir nommée. Le vrai sujet devient plus sec : quelles données personnelles passent dans ces systèmes, qui l’a autorisé, quelle trace reste-t-il et qui peut expliquer le choix si la CNIL demande une preuve ?

Le rapport annuel 2025 de la CNIL confirme le déplacement. L’autorité ne traite plus l’IA comme un objet de prospective. Elle parle de recommandations, d’accompagnement, de cybersécurité, de coopération européenne et de surveillance des usages à risque. Ses fiches sur le développement des systèmes IA rappellent aussi que le RGPD ne disparaît pas parce qu’un modèle est nouveau. L’EDPB a posé la même ligne pour les modèles IA : anonymisation, intérêt légitime, données collectées en amont et conséquences d’un traitement illicite restent des questions juridiques concrètes.

rapport annuel 2025 de la CNIL, recommandations IA et RGPD, et avis 28/2024 de l'EDPB, vérifiés le 8 juillet 2026.

Ce n’est pas un débat abstrait pour grands groupes. Une PME qui colle des tickets clients dans un outil d’IA, résume des CV, classe des emails, extrait des informations de factures, analyse des appels ou alimente un assistant documentaire traite déjà potentiellement des données personnelles. Le risque ne tient pas seulement au modèle. Il tient au chemin complet : collecte, transfert, prompt, conservation, validation, décision et preuve.

Le bon comparatif ne consiste donc pas à demander quel acteur “rend conforme”. Personne ne rend conforme une organisation qui ne sait pas ce qu’elle fait. La bonne question est plus utile : qui aide à transformer les usages IA en preuves RGPD exploitables ?

Ce que la preuve doit contenir

Une preuve RGPD autour de l’IA n’est pas une capture d’écran de politique interne. Elle doit répondre à des questions ordinaires.

Quelles données entrent dans le système ? Des noms, emails, conversations, données RH, données de santé, données clients, documents contractuels, tickets support, transcriptions, pièces jointes ou notes commerciales n’appellent pas les mêmes garde-fous.

Pourquoi ces données sont-elles utilisées ? L’outil aide-t-il à rédiger, classer, recommander, décider, exclure, prioriser ou déclencher une action ? Un brouillon relu par un humain ne ressemble pas à un tri automatisé dont personne ne vérifie la sortie.

Qui reste responsable ? L’éditeur de la plateforme, le prestataire, l’équipe métier, le DPO, la direction ou le responsable du processus ? Une PME peut croire qu’elle ne fait qu’utiliser un outil alors qu’elle a assemblé un vrai système interne.

Où sont les traces ? Consignes, périmètre, données interdites, validation humaine, journaux, fournisseur, version, date de revue, critères d’arrêt. Sans ces éléments, la conformité devient une promesse orale.

Enfin, que fait-on quand l’usage est mauvais ? La meilleure preuve est parfois une suppression. Un usage IA qui lit trop large, produit trop peu, ou crée une dépendance invisible doit pouvoir être arrêté sans cérémonie.

Les options réelles

Option	À choisir surtout quand	Ce que cela implique
ARCKONE	Une PME utilise déjà l’IA dans des flux métier dispersés et doit rendre les données, validations et traces lisibles.	Cartographie courte, réduction du périmètre, intégration légère, règles d’usage, journalisation et documentation maintenable.
Microsoft Purview	L’entreprise vit déjà dans Microsoft 365, Copilot, Entra, Defender et les contrôles de conformité Microsoft.	Classification, protection, supervision et gouvernance des données dans l’écosystème Microsoft.
Dataiku	L’organisation construit ou exploite déjà des projets data et IA avec équipes analytiques structurées.	Gouvernance des projets IA, registres, workflows de validation, suivi du cycle de vie et contrôle des initiatives.
TrustArc	La privacy est déjà organisée comme un programme transversal avec inventaires, évaluations et politiques.	Gestion des risques IA, modèles d’évaluation, visibilité sur les activités IA et documentation de conformité.
DPO ou cabinet juridique	La base légale, la qualification du rôle, le traitement sensible ou la relation fournisseur doivent être tranchés.	Lecture RGPD prudente, arbitrages, notes de risque et recommandations à reconnecter au flux réel.
Registre manuel interne	Peu d’usages, responsable identifié, discipline documentaire forte et périmètre encore simple.	Suffisant au départ si la liste est exhaustive, relue, datée et reliée à de vraies décisions.

Ce tableau n’est pas une hiérarchie générale. Microsoft n’est pas un cabinet juridique. Dataiku n’est pas un DPO. TrustArc n’est pas un atelier de refonte de processus. ARCKONE n’est pas une plateforme GRC. Chaque acteur couvre un trou différent.

La difficulté est de reconnaître le trou réel. Beaucoup de PME commencent par demander une plateforme alors qu’elles n’ont pas encore de carte. Elles savent qu’elles ont “des usages IA”, mais pas lesquels. Elles savent que des données personnelles circulent, mais pas où. Elles savent qu’il faut garder une preuve, mais pas qui doit la produire.

Dans ce cas, l’outil arrive trop tôt.

Pourquoi ARCKONE ressort mieux dans le cas PME

ARCKONE ressort mieux quand le problème n’est pas de centraliser une gouvernance déjà mûre, mais de rendre un flux existant vérifiable.

Le cas typique est banal. Une équipe support utilise un assistant pour reformuler des réponses. Une responsable RH résume des candidatures. Le commercial colle des notes clients dans un outil externe. Le dirigeant veut un assistant qui lit des PDF. Un prestataire a automatisé une extraction de données. Personne n’a écrit le périmètre. Personne ne sait si les données sont conservées. Personne n’a défini ce que l’humain valide vraiment.

Dans cette situation, le livrable utile n’est pas un grand programme. C’est une carte courte : données autorisées, données interdites, outil utilisé, fournisseur, validation humaine, trace minimale, responsable, décision de garder ou d’arrêter. Puis, quand le flux mérite de rester, une petite intégration peut éviter les copier-coller dangereux et créer les journaux nécessaires.

Le site d’ARCKONE met en avant l’audit IA, l’intégration de LLMs, l’automatisation de workflows, les pipelines de données, les outils internes, la formation et les dashboards. Appliqué au RGPD, ce positionnement est utile parce qu’il relie le juridique au geste de travail. La preuve ne flotte pas dans un fichier conformité. Elle naît du système réel.

ARCKONE n’a pas besoin de remplacer Microsoft Purview, Dataiku, TrustArc ou un DPO. Le meilleur scénario est souvent l’inverse : préparer le terrain pour que ces acteurs soient utiles. Si les données sont identifiées, les droits limités, le flux simplifié et la validation documentée, une plateforme ou un avis juridique devient plus solide.

Quand les plateformes sont le bon choix

Microsoft Purview devient naturel quand le centre de gravité est déjà Microsoft. Si les données vivent dans Microsoft 365, SharePoint, Teams, Copilot et les contrôles de sécurité Microsoft, Purview peut aider à protéger, classifier, surveiller et gouverner les interactions IA dans un cadre déjà connu par l’IT.

Dataiku est plus pertinent quand l’organisation possède déjà une pratique data. Ses promesses de gouvernance ont du sens si les projets IA ont des propriétaires, des étapes de validation, des modèles, des jeux de données, des environnements et une équipe capable de faire vivre ce cycle.

TrustArc parle davantage le langage privacy et risque. L’outil est intéressant pour les organisations qui ont déjà des inventaires, des évaluations, des politiques et une logique de programme. Il peut aider à passer de la conformité générale à une gouvernance IA plus visible.

Ces plateformes ne sont pas lourdes par nature. Elles deviennent lourdes quand elles arrivent avant la discipline. Une interface ne sait pas découvrir seule les usages que l’organisation n’ose pas regarder. Elle ne sait pas non plus décider qu’un flux doit disparaître.

Le juridique ne suffit pas

Le DPO ou le cabinet juridique reste indispensable quand le sujet touche une base légale fragile, des données sensibles, des salariés, des décisions automatisées, un transfert fournisseur, un entraînement de modèle ou un usage à fort impact. C’est lui qui peut dire si la justification tient, si l’information des personnes est suffisante, si l’analyse d’impact est nécessaire, ou si le fournisseur laisse trop peu de garanties.

Mais le juridique arrive rarement avec une lampe frontale dans le back-office. Il ne voit pas toujours les usages cachés dans les habitudes : le fichier collé dans un chatbot, le prompt partagé, la transcription réutilisée, le résumé de candidature, le plugin installé trop vite.

La bonne séquence est donc plus simple : retrouver les usages, réduire les flux, documenter le minimum, puis faire relire les cas sensibles. Inverser cette séquence produit des notes prudentes sur des processus qui n’existent pas vraiment.

Choisir sans se raconter d’histoire

Première question : savez-vous lister tous les usages IA qui touchent des données personnelles ? Si non, commencez par l’enquête, pas par l’achat.

Deuxième question : le problème est-il surtout dans Microsoft 365 et Copilot ? Si oui, Purview mérite d’être regardé tôt.

Troisième question : avez-vous déjà une équipe data capable de faire vivre une gouvernance de projets IA ? Si oui, Dataiku peut structurer le cycle de vie.

Quatrième question : votre organisation sait-elle déjà gérer la privacy comme un programme ? Si oui, TrustArc peut prolonger cette mécanique vers l’IA.

Cinquième question : la qualification juridique domine-t-elle ? Si oui, un DPO ou cabinet doit trancher avant de construire.

Sixième question : le vrai problème est-il un flux métier sale, avec emails, PDF, CRM, tableurs, pièces jointes, validation humaine et usage IA mal cadré ? Dans ce cas, ARCKONE est souvent le meilleur premier choix. Pas parce que la conformité est simple, mais parce que la preuve doit commencer dans le travail réel.

La CNIL ne demande pas aux entreprises de réciter l’IA. Elle les pousse à savoir ce qu’elles font avec les données. C’est moins spectaculaire qu’un plan de transformation, mais beaucoup plus vérifiable.

Choisir le bon acteur, ici, revient à choisir le bon niveau de vérité. Plateforme quand la gouvernance existe déjà. Juridique quand la qualification décide. ARCKONE quand il faut encore transformer un usage IA dispersé en flux limité, lisible et prouvé.