La Commission nationale de l'informatique et des libertés (CNIL) a publié en juin 2025 une note d'orientation sur l'application de l'article 6, paragraphe 1, point f). RGPD (intérêt légitime) comme base juridique pour la Développement de systèmes d'IA précise. Ce guide s'adresse aux entreprises et aux organisations qui se trouvent dans la phase de développement ou d'innovation de systèmes informatiques, de logiciels ou d'applications d'IA.
Objectif du guide de la CNIL
La question centrale posée par les lignes directrices de la CNIL est la suivante : dans quelles conditions est-il permis de données à caractère personnel être traitées dès la phase de développement d'un système d'IA, sans qu'il soit nécessaire de recourir à une Consentement ou d'une autre base juridique spécifique ?
La CNIL souligne que le développement de systèmes peut se faire sur d'autres Bases juridiques notamment sur :
- le Consentement de la personne concernée (art. 6, al. 1, let. a RGPD),
- Exécution du contrat (art. 6, paragraphe 1, point b)) RGPD).
Toutefois, l'intérêt légitime est particulièrement pertinent lorsqu'aucune de ces alternatives n'est réalisable.
Définition : „ Développement d'un système ”
Cela englobe toute activité de conception, de développement, de test et d'amélioration de systèmes qui, par la suite, données à caractère personnel doivent traiter. Exemples :
- Développement de systèmes de recommandation
- Mise en place d'algorithmes de détection des fraudes
- Entraînement de chatbots ou de modèles linguistiques d'IA.
- Test de nouveaux modules CRM ou ERP.
Important : cela concerne exclusivement la phase de préproduction, c'est-à-dire la période précédant la mise en service.
Intérêt légitime au sens de l'article 6, paragraphe 1, point f), du RGPD
La CNIL confirme que les Traitement des données à caractère personnel à des fins de développement peut en principe être fondée sur l'intérêt légitime du responsable du traitement. La condition préalable est toutefois un examen minutieux et structuré, qui s'appuie sur les prescriptions de l'article 6, paragraphe 1, point f). RGPD orienté.
Il faut tout d'abord que le Responsable justifier d'un intérêt légitime. Celui-ci peut par exemple résider dans l'amélioration des services, l'augmentation de la Sécurité informatique ou au développement de nouvelles fonctionnalités adaptées aux besoins des clients. Des intérêts économiques ou l'optimisation des processus internes peuvent également être reconnus comme des intérêts légitimes.
Il convient ensuite de vérifier si le projet de Traitement est nécessaire. Cela signifie qu'il ne doit pas y avoir d'autres alternatives plus respectueuses de la vie privée qui permettraient d'atteindre le même objectif de développement. Il convient d'analyser si l'utilisation de données anonymisées ou synthétiques est suffisante ou si l'accès à des données à caractère personnel est vraiment nécessaire.
La troisième étape consiste à mettre en balance les intérêts légitimes du responsable du traitement et les droits et libertés fondamentaux des personnes concernées. À cet égard, il convient notamment de prendre en compte les facteurs suivants :
- le type de données traitées (par exemple, si des données sensibles sont concernées)
- Portée de la Traitement
- Durée de conservation
- Transparence vis-à-vis des personnes concernées
- Mise en œuvre de mesures de protection telles que Pseudonymisation, Cryptage ou des restrictions d'accès
L'objectif de cette mise en balance est de garantir que les intérêts ou les droits fondamentaux des personnes concernées ne l'emportent pas sur les intérêts du responsable du traitement.
Catégories particulières de données à caractère personnel
La CNIL précise que Traitement de ces données n'est autorisée que dans des conditions très strictes. Ces catégories particulières comprennent par exemple Données de santé, les données biométriques permettant une identification univoque, les données génétiques, les données relatives à l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale ainsi que les données relatives à l'orientation sexuelle.
Pour la phase de développement d'un système, cela signifie concrètement qu'une Traitement de telles données est en principe interdite. Sauf si l'une des conditions énoncées à l'article 9, paragraphe 2, s'applique. RGPD les dispositions dérogatoires mentionnées ci-dessus. Il s'agit notamment
- Le site explicite Consentement de la personne concernée conformément à l'art. 9, al. 2, let. a RGPD.
- Une Traitementqui pour des raisons d'intérêt public majeur est nécessaire (art. 9, al. 2, let. g RGPD), pour autant qu'elle repose sur une base légale.
- D'autres exceptions soumises à des règles spécifiques, telles que la revendication, l'exercice ou la défense de droits.
La CNIL souligne à cet égard que, même en cas d'exception, les principes généraux de protection des données prévus par. Art. 5 RGPD Il convient de tenir compte notamment des points suivants :
- Minimisation des données
- Affectation des fonds
- Limitation de la mémoire
- Intégrité et Confidentialité
Par ailleurs, la CNIL recommande de limiter l'utilisation de ces données dès la phase de développement grâce à des mesures techniques de protection telles que Pseudonymisation, Cryptage ou l'utilisation de données de test synthétiques de se couvrir. Dans les cas où les Traitement catégories particulières de données à caractère personnel, il convient d'établir une liste de contrôle. Analyse d'impact relative à la protection des données (DSFA) doivent obligatoirement être contrôlés et consignés.
Intérêts légitimes et analyse d'impact relative à la protection des données (AIPD)
La CNIL souligne l'importance d'une Analyse d'impact relative à la protection des données (DSFA) comme un outil essentiel d'évaluation et de réduction des risques lorsque des projets de développement présentent un risque élevé pour les droits et libertés des personnes concernées. La base juridique à cet égard est constituée par Art. 35 RGPD, qui impose la réalisation d'une analyse d'impact relative à la protection des données (AIPD) pour les opérations de traitement présentant des risques.
Typique Indicateurs de l'obligation de réaliser une DSFA sont entre autres
- Vaste Traitement des données à caractère personnel, notamment lorsque de grands volumes de données ou un grand nombre de personnes concernées sont en jeu.
- Le site Utilisation de technologies nouvelles ou innovantespar exemple dans le développement de systèmes d'IA, d'applications d'apprentissage automatique ou de Big Data Solutions.
- Le site Traitement de données à haut risqueLa Commission a décidé de ne pas appliquer le principe de la protection des données à caractère personnel, par exemple lorsque des données sensibles ou des catégories particulières de données à caractère personnel sont traitées (art. 9 RGPD) sont concernés.
- la prise de décision automatisée ou Profilagequi ont un impact important sur concernés personnes peuvent avoir.
Le DSFA comprend, selon les directives de la RGPD les étapes suivantes :
- Description systématique des activités de traitement prévuesLa présente directive s'applique aux données à caractère personnel, à leurs finalités et aux catégories de données concernées.
- Évaluation de la nécessité et de la proportionnalité le Traitement par rapport à l'objectif poursuivi.
- Identification et évaluation des risques pour les droits et libertés des personnes concernées.
- Définition et Documentation des mesures correctivesLes mesures visant à réduire ou à éliminer les risques identifiés (par ex. mesures techniques et organisationnelles, Pseudonymisation, contrôles d'accès).
La CNIL recommande que la DSFA dès les premières étapes de la phase de développement afin d'identifier les risques dès la conception du système et de mettre en œuvre les mesures correctives appropriées. En outre, l'analyse d'impact relative à la protection des données (DSFA) devrait mis à jour régulièrement , notamment en cas de modifications importantes du système ou de la finalité du traitement.
Conseil de lecture : Dans quels cas faut-il procéder à une analyse d'impact relative à la protection des données ?
Mesures concrètes de protection des données (" Safeguards ")
La CNIL attache une importance particulière à la mise en œuvre de des dispositions favorables à la protection des données (safeguards) dès la phase de développement d'un système. L'objectif de ces mesures est de réduire autant que possible le risque pour les droits et libertés des personnes concernées, même si le traitement des données n'est pas encore opérationnel.
Parmi les mesures de protection recommandées par la CNIL figurent notamment :
- Pseudonymisation: Dans la mesure où cela est techniquement possible et réalisable, il convient de données à caractère personnel sont traitées de manière pseudonymisée. Cela signifie que l'identité des personnes concernées n'est pas directement reconnaissable sans informations supplémentaires. La séparation des identifiants et des données de contenu ainsi que la sécurité Rangement des listes d'attribution sont essentiels à cet égard.
- Minimisation des données: Seules les données absolument indispensables à l'objectif de développement visé doivent être traitées. La CNIL recommande expressément de vérifier de manière critique si les champs de données utilisés sont réellement nécessaires ou s'il est possible de les réduire au strict minimum.
- Restrictions d'accès et gestion des rôles: L'accès aux données à caractère personnel doit être strictement limité aux collaborateurs ou développeurs qui participent directement au projet de développement et pour lesquels la connaissance de ces données est indispensable. À cet effet, il convient de mettre en place des systèmes techniques de contrôle d’accès (par exemple, le contrôle d’accès basé sur les rôles) ainsi que des mesures organisationnelles telles que des engagements de confidentialité.
- Utilisation de données de test synthétiques ou anonymes: Dans la mesure du possible, il convient d'utiliser, à des fins de test et de développement, des données entièrement anonymisées ou générées de manière synthétique afin de reproduire des situations réelles données à caractère personnel d'éviter. Données synthétiques présentent l'avantage de reproduire des structures de données réalistes sans avoir recours à de véritables informations à caractère personnel.
- Cryptage et d'autres mesures techniques de protection: Outre les points susmentionnés, la CNIL exige également la mise en place de mesures techniques de protection telles que Cryptage lors du stockage et de la transmission, Journalisation des accès, ainsi que les contrôle de sécurité régulier de l'environnement de développement.
Responsable devraient en outre avoir une détaillé Documentation toutes les mesures de protection prises afin de pouvoir démontrer, en cas d'audit par les autorités de surveillance, que les exigences de la RGPD ont été largement prises en compte dès la phase de développement.
Obligations de transparence et d'information
La CNIL souligne que, même pendant la phase de développement d'un système, la Transparence- et Obligations d'information conformément aux articles 13 et 14 RGPD s'appliquent pleinement. Cela signifie que concernés les personnes doivent être informées du fait que leurs données à caractère personnel sont traitées à des fins de développement, même si le développement n'est pas encore passé en production
Les personnes concernées doivent notamment être informées des points suivants :
- But de la Traitement: Il convient d'indiquer concrètement que les Traitement des données pour développer, tester ou améliorer un système.
- Base juridique de la Traitement: Il convient ici de se référer à l'intérêt légitime selon l'article 6, paragraphe 1, point f). RGPD en précisant brièvement leur intérêt.
- Destinataires ou catégories de destinataires: Si des prestataires externes ou d'autres organismes ont accès aux données, ceux-ci doivent être nommés.
- Durée de conservation ou critères de détermination de cette durée: il convient de préciser la durée de conservation des données pendant la phase de développement ou les critères utilisés pour déterminer la durée de conservation.
- Droits des personnes concernéesLes personnes concernées sont informées de leurs droits, tels que l'accès, Rectification, Suppression, limitation de la Traitement, Opposition et Plainte pour une autorité de contrôleLe but est d'informer le public de l'évolution de la situation.
- Origine des donnéesSi les données à caractère personnel n'ont pas été collectées directement auprès des personnes concernées, la source des données doit également être divulguée.
Par ailleurs, la CNIL recommande de traiter les informations dans un langage clair et simple de formuler et, dans la mesure du possible, les mettre à disposition sur les mêmes chaînes, par le biais desquels les personnes concernées communiquent par ailleurs avec l'entreprise (par exemple, la politique de confidentialité sur le site web, des courriers d'information spécifiques ou des mentions sur les portails clients).
Le respect de ces Obligations d'information devrait en outre documenté par écrit afin de pouvoir apporter la preuve de leur mise en œuvre conforme auprès des autorités de contrôle.
Intérêts légitimes : exemples de scénarios autorisés et non autorisés
Admissible :
Développement d'un outil de détection des fraudes avec des données réelles pseudonymisées provenant d'un portefeuille de clients existant.
Test d'un algorithme de recommandation avec une quantité minimale de données et une définition claire de l'algorithme. Contrôle d’accès aux données.
Non autorisé :
Utilisation de profils clients complets sans Anonymisation ou analyse des risques.
Traitement des catégories particulières de données à caractère personnel sans base juridique ou exception correspondante.
Risques de responsabilité et de sanction
Violations des exigences en matière de protection des données énoncées dans le guide peuvent entraîner des conséquences juridiques et financières de l'entreprise. Le site RGPD prévoit, en cas de violation d'obligations centrales, telles que les principes de la Traitement (Art. 5 RGPD), les Bases juridiques (Art. 6 RGPD) ou la Droits des personnes concernées (Art. 12 ff. RGPD), Des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial d'une entreprise selon le montant le plus élevé (art. 83, al. 5, de la loi sur la protection des données). RGPD).
Concrètement, les infractions commises au cours de la phase de développement peuvent entraîner les risques de responsabilité suivants :
Amendes infligées par les autorités de contrôle: notamment en cas d'absence ou d'insuffisance de la mise en balance des intérêts, ou en cas de non-respect Analyse d'impact relative à la protection des données ou des mesures de protection techniques et organisationnelles insuffisantes.
Décisions des autorités de surveillanceL'interdiction du traitement des données ou l'injonction de les traiter peuvent faire partie de ces mesures. Suppression de données traitées illégalement.
Demandes de dommages et intérêts par Personnes concernéesConformément à l'art. 82 RGPD ont concernés personnes ont droit à la réparation du préjudice matériel ou moral qu'elles ont subi.
Atteintes à la réputation: Les violations de la protection des données peuvent entraîner une perte de confiance considérable de la part des clients, des partenaires et du grand public.
La CNIL recommande donc vivement, dès la phase de développement, interne Conformité- mettre en place des structures et documenter de manière exhaustive tous les processus de protection des données pertinents. Parmi celles-ci, on peut notamment citer :
Mise en œuvre et Documentation la mise en balance des intérêts
Mise en œuvre d'une Analyse d'impact relative à la protection des donnéessi nécessaire
Documentation les mesures techniques et organisationnelles (TOM) mises en œuvre
Preuve de la bonne exécution de la Obligations d'information
Grâce à ces mesures préventives, les entreprises peuvent non seulement éviter des sanctions, mais aussi Politique de confidentialité-Conformité au sens d'une obligation de rendre des comptes (Responsabilité éthiqueArt. 5, par. 2 RGPD) prouver.
Conclusion : la protection des données dès la conception et par défaut tout au long du développement
Avec ce guide, la CNIL donne aux entreprises et aux développeurs un repère. Guide pour un développement de système conforme à la protection des données à la main. Le site intérêt légitime comme base juridique offre des avantages concrets. Cela nécessite toutefois également une évaluation des risques, Transparence, la mise en œuvre de DPIALe cas échéant, la mise en œuvre systématique de mesures techniques et organisationnelles (TOM).
Pour les entreprises, cela signifie : Protection des données by design et by default s'applique déjà au cours du développement et pas seulement en mode productif.
Source : “ IA : s’appuyer sur le fondement juridique de l’intérêt légitime pour développer un système d’IA ”
German 
English 
Italian 
French