Un nouveau cadre légal : ce que changent les recommandations CNIL du 22 juillet 2025
Le 22 juillet 2025 marque une étape clé pour l’écosystème de l’intelligence artificielle en France, avec la publication par la CNIL de ses recommandations définitives sur le développement des systèmes d’IA, en conformité renforcée avec le RGPD. Ce nouveau cadre s’applique à toutes les entreprises, mais cible tout particulièrement les PME et TPE à la recherche de solutions innovantes sûres et conformes.
- Statut du modèle IA : la CNIL introduit une méthode pour qualifier si un modèle IA entre dans le champ du RGPD, notamment s’il mémorise ou traite des données personnelles issues de son entraînement. Désormais, toute agence IA-native doit pouvoir justifier les cas où le RGPD s’applique et démontrer la pertinence des choix faits lors de la conception du modèle.
- Annotation des données : il est exigé un encadrement strict des processus d’annotation, notamment la traçabilité des opérateurs, la gestion des droits d’accès et la documentation détaillée. Cette exigence vise à garantir que chaque étape de préparation des données est auditable et respecte la vie privée.
- Sécurité et minimisation : les agences intelligence artificielle doivent désormais assurer une sécurité « by design » tout au long du cycle de vie du système IA. Cela inclut l’anonymisation systématique, la limitation des accès aux données sensibles, et la robustesse des modèles face aux attaques.
- Renforcement des exigences RGPD pour les prestataires : la documentation doit être transparente et exhaustive. L’agence doit démontrer comment elle respecte la minimisation des données, l’information claire des personnes concernées, la gestion des droits (accès, effacement) et la correction des biais algorithmiques.
Pour les PME, ces changements impliquent d’anticiper dès la sélection d’un prestataire les contraintes de conformité et d’exiger des preuves concrètes de sécurité et de transparence. Pour aller plus loin sur l’impact des réglementations comme l’AI Act, découvrez notre analyse dans cet article sur l’AI Act 2025.