Guide · DPO

Registre des traitements et IA.

Un usage d’IA qui touche des données personnelles peut demander une ligne dans le registre des traitements. Anoni apporte des éléments techniques sur la préparation locale d’une copie ; il ne remplace ni l’analyse du responsable de traitement ni celle du DPO.

Mis à jour le 1 octobre 2026

Quand un usage d’IA doit-il être documenté ?

Coller un dossier dans une IA en ligne, c’est transmettre des données personnelles à un tiers. La CNIL rappelle que, lorsqu’il s’applique, le RGPD protège les données personnelles jusque dans l’utilisation des modèles, au moyen des invites (prompts). Ce peut donc être un traitement à documenter : une finalité, une base légale, un destinataire, une ligne au registre de l’article 30. Ce qu’il faut consigner dépend du cas d’usage, du fournisseur, des catégories de données et des mesures retenues.

Tableau de travail pour le registre.

Avant le déploiement, recueillez ces informations. Elles sont à compléter par le responsable de traitement ou le DPO ; Anoni n’en fournit qu’une partie.

Rubrique	À documenter	Exemple de preuve
Finalité	Que doit produire l’IA ?	Cas d’usage validé
Données	Quelles catégories sont nécessaires ?	Classification du document
Destinataires	Quel fournisseur ou quelle équipe reçoit la copie ?	Contrat, paramétrage, politique interne
Sécurité	Comment réduisez-vous l’exposition ?	Pseudonymisation, caviardage, contrôle d’accès, journal local
Conservation	Combien de temps gardez-vous les copies ?	Règle de conservation

Mesures de sécurité et minimisation.

Ne transmettre que ce qui est nécessaire est la première mesure. La seconde est de distinguer deux choses que la CNIL distingue : l’anonymisation est irréversible, la donnée ne permet plus d’identifier personne, et elle sort du RGPD. Le seuil est très haut. La pseudonymisation remplace les identifiants, en pseudonymes réalistes ou en jetons du type « [PERSONNE_01] », mais reste réversible : c’est toujours une donnée personnelle. Anoni pseudonymise ou caviarde sur le poste. Il ne vous fait pas sortir du RGPD : il réduit ce qui part, à la source.

Ce que dit le CNB.

Le guide du CNB sur la déontologie et l’IA, adopté les 12 et 13 mars 2026, pose le principe de ne jamais communiquer à une IA générative des données relatives aux dossiers ou aux clients, et conseille la pseudonymisation ou l’anonymisation préalable avant toute utilisation. Pour un cabinet d’avocats, c’est une mesure que le registre peut refléter.

Où Anoni peut fournir une trace utile.

Chaque document traité dans Anoni s’inscrit dans un journal local (Pro, en développement) : date, catégories détectées, décomptes, empreinte SHA-256 de l’opération, version du moteur. Jamais les valeurs. Il est filtrable et exportable en CSV ou JSON. Il montre quelle mesure technique a été appliquée, quand et sur quelles catégories. Il est produit sur le poste : après le premier téléchargement du moteur, rien de vos documents ne sort, et la correspondance vers les vraies données reste dans un coffre chiffré en AES-256-GCM.

« Anoni partout ».

Cmd+Maj+A pseudonymise le texte de votre presse-papiers avant de le coller dans une IA. C’est le geste le plus courant, et depuis la 0.40 il laisse sa ligne au journal, comme le reste.

Limites du journal technique.

Un journal prouve qu’une mesure a été appliquée, pas qu’elle suffisait. Il ne remplace pas le registre : finalité, base légale, destinataires, durées de conservation et analyse de risque restent à documenter par le responsable de traitement ou le DPO. La détection automatique aide, elle ne relit pas à votre place : sur une pièce sensible, vérifiez avant l’envoi.

Questions fréquentes

Faut-il inscrire l’usage d’une IA générative au registre des traitements ?

En principe oui, dès que des données personnelles sont en jeu. Coller un texte dans une IA en ligne revient à le transmettre au fournisseur du modèle : c’est un traitement, avec une finalité, un destinataire et une base légale. Le contenu exact de la ligne dépend de votre cas d’usage et de votre organisation, et c’est au responsable de traitement ou au DPO de le valider.

Le journal d’Anoni contient-il des données personnelles ?

Il enregistre la date, les catégories détectées, des décomptes, une empreinte SHA-256 et la version du moteur, jamais les valeurs masquées. Vous pouvez l’exporter en CSV ou JSON.

Pseudonymiser avant l’IA fait-il sortir mes données du RGPD ?

Non. Remplacer un nom par un pseudonyme réaliste ou un jeton est une pseudonymisation : c’est réversible, donc toujours une donnée personnelle. La CNIL réserve l’anonymisation aux cas irréversibles, et le seuil est très haut. Anoni réduit ce qui part à la source, il ne vous sort pas du RGPD.

Le journal d’Anoni suffit-il à remplir mon registre ?

Non. Il documente une mesure technique, quand elle a été appliquée et sur quelles catégories, et peut compléter votre dossier. La finalité, la base légale, les destinataires et les durées de conservation restent à documenter par le responsable de traitement ou le DPO.

Ces repères suivent le guide du CNB sur la déontologie et l’IA (mars 2026) et les recommandations IA et RGPD de la CNIL. Ces liens ne valent ni certification ni validation d’Anoni. Pour aller plus loin : Anoni pour les avocats, le secret professionnel face à l’IA, la différence entre pseudonymisation et caviardage, et le guide pas à pas pour anonymiser avant l’IA. Téléchargez Anoni pour l’essayer.

Autres guides