Sur 11 dossiers WeeSec où on a accompagné une intégration d'agent IA en 2025-2026, 9 nécessitaient une DPIA (Data Protection Impact Assessment, en France AIPD). Sur les 9, 4 entreprises pensaient pouvoir s'en passer. Toutes ont changé d'avis quand on a déroulé l'article 35 du RGPD ligne à ligne.
La DPIA pour un agent IA n'est pas un cas particulier d'une DPIA classique. C'est une DPIA classique plus une analyse des risques spécifiques à l'agentivité. Voici la méthode et la structure de livrable qu'on utilise.
Quand la DPIA est obligatoire pour un agent IA
L'article 35 du RGPD impose une DPIA quand un traitement présente un risque élevé pour les droits et libertés. Pour un agent IA, on tombe presque systématiquement dans au moins un des cas :
- Décision automatisée avec effet juridique ou significatif (article 35.3.a) : scoring, sélection RH, attribution de droits, refus d'un service.
- Traitement à grande échelle de données sensibles (article 35.3.b) : santé, biométriques, opinions, etc.
- Surveillance systématique (article 35.3.c) : monitoring d'activité, analyse comportementale.
À ces 3 cas s'ajoutent les critères du CEPD (anciennement G29) — la CNIL retient 9 critères, le franchissement de 2 suffit. Un agent IA utilise quasi-toujours : nouvelle technologie + croisement de données + grande échelle.
Donc, par défaut : DPIA obligatoire. La justification de la non-réalisation doit être documentée par écrit et tenue à disposition.
Structure du livrable DPIA en 14 sections
Le format CNIL est libre. Celui qui suit est testé en pratique et accepté par la CNIL et par les DPO de plusieurs grands comptes EU à qui on l'a soumis.
1. Identification du traitement
Nom, finalité, base légale (article 6), durée de conservation, fondement de l'article 35.
2. Schéma fonctionnel du traitement
Diagramme : flux de données, étapes, acteurs, systèmes. Une page maximum.
3. Description des données personnelles traitées
Tableau exhaustif : catégorie, exemples, source, sensibilité.
4. Description de l'agent IA
- Nature (chatbot, assistant, agent autonome, agent multi-step).
- Modèles utilisés (provenance, version, hébergement).
- Outils auxquels il a accès (API, bases de données, services externes).
- Périmètre d'action (lecture seule, écriture, communication externe).
- Mode de validation (humain dans la boucle ou pas).
C'est cette section qui distingue une DPIA "agent IA" d'une DPIA classique. Elle est lue en premier par les auditeurs.
5. Acteurs et responsabilités
Responsable de traitement, sous-traitants (fournisseur LLM, hébergeur, autres), destinataires, transferts hors EU.
6. Analyse de proportionnalité et de nécessité
Justifier que l'agent IA est nécessaire à la finalité poursuivie et qu'il n'y a pas d'alternative moins intrusive. Argumenter, pas affirmer.
7. Conformité aux principes RGPD
Pour chaque principe (article 5) : licéité, loyauté, transparence, minimisation, exactitude, conservation limitée, intégrité, responsabilité. Mesure en place et risque résiduel.
8. Mesures pour les droits des personnes
Comment exercer chaque droit (information, accès, rectification, effacement, opposition, limitation, portabilité, droit de ne pas être soumis à une décision automatisée). Pour un agent qui décide automatiquement : article 22 doit être traité explicitement.
9. Cartographie des risques spécifiques à l'IA
C'est la deuxième section "IA-spécifique" majeure. Risques à analyser obligatoirement :
- Hallucination : production d'une décision fausse mais présentée comme vraie.
- Biais algorithmique : discrimination indirecte selon des critères protégés.
- Memorization : fuite de données d'entraînement dans les outputs.
- Prompt injection : manipulation du comportement par un attaquant via un input piégé.
- Cascade d'actions : effets en chaîne irréversibles d'une action mal prise.
- Réidentification : déduction de données personnelles via des inférences IA.
Pour chacun : impact, probabilité, mesures techniques, mesures organisationnelles, risque résiduel.
10. Sécurité des données
Chiffrement, contrôle d'accès, journalisation, gestion des clés, sauvegardes, plan de continuité, gestion des incidents.
11. Sous-traitants et transferts internationaux
Liste avec : nom, périmètre, DPA signé, garanties pour les transferts hors EU (CCT, BCR, etc.). Voir DPA fournisseur LLM.
12. Consultation des personnes concernées
Si pertinent (recommandé pour les usages à fort impact). Mode : questionnaire, focus group, instance représentative. Synthèse.
13. Avis du DPO
Texte signé du DPO. C'est juridiquement opposable.
14. Décision de la direction
Validation explicite, conditions éventuelles, plan d'action si risques résiduels.
Les zones où on voit les erreurs les plus coûteuses
Sous-estimer le risque "hallucination décisionnelle"
Un agent qui propose une décision est différent d'un agent qui prend la décision. La frontière est souvent floue en pratique : un "agent assistant qui suggère" peut être de facto un agent décisionnel si l'humain valide à l'aveugle 95% du temps. Documenter l'usage réel, pas l'usage théorique.
Mal traiter l'article 22
L'article 22 interdit (avec exceptions) les décisions automatisées avec effet juridique ou significatif. La plupart des DPIA agent IA traitent cette section en 2 lignes. C'est insuffisant. Il faut :
- Caractériser si une décision tombe sous l'article 22.
- Si oui, identifier l'exception applicable (contrat, consentement, autorisation légale).
- Mettre en place le droit à intervention humaine, à expression de point de vue, à contestation.
- Documenter le tout.
Ignorer la chain of compliance
Vous êtes responsable de traitement. Votre fournisseur LLM est sous-traitant. Si le fournisseur fait une violation, vous restez responsable face à la CNIL. La DPIA doit documenter le contrôle que vous exercez sur le sous-traitant.
Faire la DPIA après le lancement
C'est une violation directe de l'article 35.10. La DPIA doit être faite avant la mise en œuvre, pas pendant ni après. Si vous découvrez tardivement le besoin : faire la DPIA d'urgence et documenter le retard.
Ne pas mettre à jour
La DPIA évolue. Changement de modèle, ajout d'un outil, changement de finalité, nouveau cas d'usage → mise à jour de la DPIA, datée et signée. Sans mise à jour, la DPIA devient obsolète et n'a plus de valeur.
Coût et durée d'une DPIA agent IA bien faite
Pour un agent IA en production avec accès à des données personnelles d'un public significatif (>10 000 personnes concernées) :
- Durée : 4 à 8 semaines selon la complexité.
- Mobilisation : DPO + responsable du traitement + référent IA + RSSI + juriste.
- Coût externe si accompagnement : ~15-30 k€.
- Livrable : 25 à 50 pages.
C'est un investissement. C'est aussi ce qui évite une procédure CNIL ou un refus client enterprise.
Le contre-exemple instructif
Une scale-up EdTech française déploie en T4 2025 un agent IA qui analyse les copies d'élèves et suggère une orientation scolaire. Aucune DPIA. Le service est utilisé par 14 000 élèves dans 6 lycées partenaires.
Plainte d'un parent en T1 2026 (orientation jugée discriminatoire). La CNIL est saisie, contrôle sur place en T2 2026. Findings :
- DPIA absente alors qu'obligatoire (article 35).
- Article 22 non traité (décision suggérée mais en pratique adoptée à 92% par les conseils d'orientation).
- Information des personnes insuffisante.
- Biais non testé.
Sanction proposée : avertissement + obligation de DPIA rétroactive sous 3 mois + amende symbolique 30 k€. La sanction est mineure. L'image est durablement abîmée, deux partenariats scolaires sont résiliés, et le produit est suspendu pendant 5 mois pour conformité.
Coût total visible et invisible : ~400 k€. Une DPIA en amont aurait coûté 25 k€. La différence est nette.
Pour l'articulation AI Act / RGPD, voir AI Act et RGPD. Pour la politique interne qui s'articule avec la DPIA, voir Politique d'usage agent IA interne.