Back to Blog
Privacy by design et IA : le guide pour votre projet

Privacy by design et IA : le guide pour votre projet

Privacy by design et IA : le guide pour votre projet

Responsable filtrant les données inutiles

Le privacy by design, ou protection des données dès la conception, consiste à penser la vie privée avant d’écrire la première ligne de code d’un système d’IA, et non à l’ajouter au moment de la mise en production. Pour un projet d’IA, cela se traduit par des choix précis sur l’objectif, la méthode, les données, leur volume et la vérification de ces choix. Voici comment les prendre, avec les recommandations de la CNIL comme fil conducteur.

Botiqueai
Intégrez la protection dès la conception
BotiqueAI conçoit des solutions d’IA sur mesure, adaptées aux besoins de votre entreprise et à vos processus métiers.
Découvrir BotiqueAI

En bref

  • Le privacy by design est un principe du RGPD (article 25) : la protection des données se décide dès la conception du système, pas après coup.
  • Pour l’IA, la CNIL le décline en cinq niveaux : objectif, méthode, sources de données, données strictement nécessaires, validité des choix.
  • La minimisation est le réflexe central : des données adéquates, pertinentes et limitées au nécessaire, avec une rigueur accrue pour les données sensibles.
  • Une AIPD est obligatoire quand le traitement présente un risque élevé pour les personnes ; deux critères du CEPD suffisent à la présumer nécessaire.
  • Le travail continue après le déploiement : la phase de production n’a pas les mêmes exigences que la phase de développement.

Table des matières

Ce que recouvre le privacy by design appliqué à l’IA

Le principe est inscrit à l’article 25 du RGPD : le responsable de traitement doit intégrer la protection des données personnelles dès la phase de conception d’un système, d’un produit ou d’un service. L’idée vaut pour tout logiciel, mais elle prend une dimension particulière avec l’IA, pour trois raisons.

  • Les modèles se nourrissent de grands volumes de données, ce qui tire naturellement vers la collecte large.
  • Les données utilisées pour entraîner ou affiner un modèle peuvent ressortir, en partie, dans ses réponses.
  • Les choix faits tôt (type de modèle, sources, architecture) sont coûteux à défaire une fois le système déployé.

Concrètement, le privacy by design n’est pas une case à cocher en fin de projet. C’est une série de décisions documentées, prises dans l’ordre, par les personnes qui conçoivent la solution : métier, technique, juridique et, quand il y en a un, le délégué à la protection des données (DPO).

Les cinq niveaux de la CNIL pour concevoir un système d’IA

Dans sa fiche du 8 avril 2024, la CNIL explique que le privacy by design s’opère à cinq niveaux : l’objectif du système, la méthode employée, les sources de données mobilisées, la sélection des données strictement nécessaires et la validité des choix précédemment opérés. Ces niveaux forment un ordre de travail utile.

Les cinq niveaux de conception d’une IA respectueuse de la vie privée

1. Définir l’objectif

Tout part de la finalité. Un objectif vague (« améliorer la relation client grâce à l’IA ») empêche de savoir quelles données sont nécessaires. Un objectif précis (« classer les demandes entrantes par thème pour les router vers la bonne équipe ») permet de trancher : un chatbot de routage n’a pas besoin de l’historique d’achat complet des clients.

Écrivez l’objectif en une phrase, avec le résultat attendu et les personnes concernées. Si vous ne parvenez pas à le formuler simplement, le projet n’est pas encore prêt pour la phase suivante. Notre méthode pour prioriser les cas d’usage IA aide justement à choisir les cas où la valeur est claire et le périmètre de données maîtrisable.

1. Définir l'objectif

2. Choisir la méthode

La CNIL recommande de privilégier la technique qui utilise le moins de données personnelles possible. Tous les problèmes ne demandent pas un modèle entraîné sur vos données : selon le cas, un système à base de règles, un modèle généraliste utilisé tel quel, ou une architecture de type RAG (le modèle va chercher l’information dans une base documentaire contrôlée) répond au besoin avec une exposition bien moindre.

La question à se poser : quelle est la solution la plus simple qui atteint l’objectif, et quelles données personnelles exige-t-elle vraiment ?

3. Cartographier les sources de données

Listez d’où viennent les données : base CRM, tickets de support, e-mails, documents internes, données publiques, jeux de données achetés. Pour chacune, notez qui en est responsable, sur quelle base elle a été collectée et si la réutilisation pour le projet est compatible avec la finalité initiale. Cette cartographie recoupe votre travail de gouvernance : voir notre guide sur l’IA et la gouvernance des données en entreprise et celui sur les types de données exploitables par l’IA.

4. Ne retenir que les données strictement nécessaires

C’est le principe de minimisation. Selon la CNIL, les données personnelles doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités, avec une application particulièrement rigoureuse quand les données sont sensibles au sens de l’article 9 du RGPD (santé, opinions, origine, etc.).

En pratique :

  • supprimez les champs inutiles avant tout traitement (date de naissance exacte quand une tranche d’âge suffit) ;
  • remplacez les identifiants directs par des pseudonymes ;
  • excluez par défaut les champs libres qui peuvent contenir des données sensibles, ou filtrez-les ;
  • limitez les durées de conservation des jeux d’entraînement et des journaux de conversation.

5. Valider les choix

Les choix de conception ne se supposent pas bons, ils se vérifient. La CNIL cite deux moyens : une étude pilote, c’est-à-dire une expérimentation à petite échelle avec des données fictives, synthétiques ou anonymisées, ou l’avis d’un comité éthique, qui peut se prononcer sur tout ou partie des projets susceptibles de soulever des questions éthiques. Un pilote sans données réelles permet de tester la méthode avant d’exposer des personnes.

Données d’entraînement, d’affinage et d’exploitation : les précautions

Le risque ne se limite pas à la collecte. Il suit les données à chaque phase du cycle de vie du modèle.

Séparer développement et production

Le LINC, laboratoire d’innovation de la CNIL, rappelle que la phase de R&D et la phase de production n’ont pas les mêmes exigences et peuvent relever de deux finalités distinctes, donc de deux bases légales différentes. Ne présumez pas que la base légale choisie pour expérimenter couvre l’exploitation à grande échelle : documentez chaque phase séparément.

Nettoyer et tracer les données

Toujours selon le LINC, le nettoyage des données (data sanitization) est une étape essentielle pour constituer un jeu exploitable. Le suivi des sources et des mécanismes de seuillage peut aussi réduire les risques de sur-représentation. Un jeu de données où un client apparaît des centaines de fois augmente à la fois le biais et le risque de mémorisation.

Généraliser, randomiser, anonymiser

Pour intégrer le privacy by design dès la conception, la CNIL recommande des mesures de généralisation (modifier l’échelle ou l’ordre de grandeur des attributs) et de randomisation (ajouter du bruit), qui peuvent aller jusqu’à l’anonymisation. Si vous visez ce niveau, notre guide de l’anonymisation des données pour l’IA détaille la démarche.

Limiter l’extraction et la régurgitation

Un modèle peut, dans certains cas, restituer des éléments de ses données d’apprentissage. La CNIL, dans sa fiche pratique n°13 de juillet 2025, recommande d’encapsuler le modèle dans un système intégrant des mesures robustes pour réduire la vraisemblance d’extraction de données, ainsi que de réduire les risques de régurgitation et d’attaque grâce aux mesures listées dans la fiche. Cela signifie que le modèle n’est jamais exposé directement : il est entouré de filtres, de contrôles d’accès et de limites de requêtes.

Encadrer les usages quotidiens des équipes

Le privacy by design concerne aussi les outils que vos collaborateurs utilisent au quotidien. Quand une équipe veut, par exemple, automatiser Excel avec l’IA, la première question est de savoir si le fichier contient des données personnelles (noms, e-mails, salaires) et, si oui, de les retirer ou de les pseudonymiser avant tout envoi à un outil tiers. Une consigne écrite de deux lignes vaut mieux qu’une bonne intention.

Choisir où les données sont hébergées

Le lieu d’hébergement et les transferts hors de l’Union européenne font partie de la conception. Nous les traitons dans notre guide sur l’hébergement des données IA en France.

L’AIPD : quand la mener et sur quels critères

L’analyse d’impact relative à la protection des données (AIPD) est l’outil qui formalise le privacy by design. Selon la CNIL, elle est obligatoire si le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes (article 35 du RGPD). Le CEPD a identifié neuf critères, et tout traitement qui en remplit au moins deux est présumé soumis à l’obligation.

Pour la phase de développement d’un système d’IA, la CNIL signale comme particulièrement pertinents :

  • la collecte de données sensibles ;
  • la collecte à large échelle ;
  • la collecte de données de personnes vulnérables ;
  • le croisement d’ensembles de données ;
  • l’utilisation innovante de nouvelles solutions technologiques.

Un chatbot qui répond à des questions sur vos horaires d’ouverture n’a pas le même profil de risque qu’un système qui croise dossiers clients, historiques de paiement et données de santé. Dès que deux de ces critères apparaissent, partez du principe qu’une AIPD est nécessaire, et lancez-la tôt : ses conclusions peuvent modifier l’architecture. Impliquez ensemble le chef de projet, l’équipe technique, le DPO et un représentant métier.

Un plan de mise en œuvre en six étapes

Étape Question à trancher Livrable
1. Cadrage Quel est l’objectif précis et qui est concerné ? Fiche de finalité d’une page
2. Méthode Quelle technique utilise le moins de données personnelles ? Note de choix d’architecture
3. Données D’où viennent-elles et sont-elles réutilisables ? Cartographie des sources
4. Minimisation Quels champs sont strictement nécessaires ? Liste des données retenues, règles de pseudonymisation
5. Validation Le pilote confirme-t-il les choix ? Résultats du pilote, AIPD si requise
6. Production Quelles mesures de suivi et de sécurité ? Registre à jour, procédure d’incident

Ce tableau est un format de travail, pas une obligation réglementaire : adaptez-le à la taille de votre projet. Pour une PME qui déploie un assistant interne, une page par étape suffit souvent.

Après le déploiement : suivre, contrôler, corriger

Le privacy by design ne s’arrête pas à la mise en ligne. Les journaux de conversation s’accumulent, les usages dérivent, les modèles sont mis à jour. Prévoyez :

  • une revue périodique des données réellement collectées par rapport à celles prévues ;
  • des durées de conservation appliquées automatiquement ;
  • une procédure pour répondre aux demandes d’accès ou de suppression ;
  • une réévaluation de l’AIPD à chaque changement important (nouvelle source, nouveau modèle, nouvelle finalité).

Le contexte réglementaire pousse dans ce sens. Dans son rapport annuel 2024, publié en avril 2025, la CNIL annonce qu’elle va concevoir des méthodologies et des outils pour contrôler la conformité des systèmes d’IA, contribuer au développement de solutions techniques favorisant la protection de la vie privée dès la conception et accroître les contrôles à l’issue de violations de données. Documenter ses choix dès le départ est donc aussi la meilleure préparation à un éventuel contrôle.

La transparence compte également : pouvoir expliquer comment le système produit ses résultats facilite l’information des personnes et le dialogue avec le DPO. Notre article sur l’IA explicable (XAI) aborde les techniques disponibles. Pour le cadre général, voir aussi notre guide RGPD pour dirigeants.

Notre point de vue

Chez Botiqueai, nous considérons que le privacy by design est avant tout une discipline de cadrage. Les projets d’IA qui se passent bien sont ceux où l’on a décidé tôt quelles données servent à quoi, et où l’on a accepté de commencer petit.

C’est pourquoi notre approche part d’un audit gratuit, puis d’un PoC rapide : le PoC permet de valider la méthode sur un périmètre restreint, ce qui rejoint l’esprit de l’étude pilote recommandée par la CNIL. Notre approche flexible, sans engagement, laisse le temps de vérifier les choix avant de passer à l’échelle.

Nous développons des solutions sur mesure, chatbots, agents, automatisations, connecteurs API, RAG, en les intégrant aux outils que vous utilisez déjà. Une solution sur mesure permet de limiter les données au strict nécessaire pour votre cas, plutôt que d’adapter votre usage à un outil générique. Notre équipe, qui compte des profils PhD et une expérience en grands groupes du CAC 40, accompagne cette démarche de bout en bout, de l’audit à l’exploitation.

Botiqueai

Concevoir votre projet d’IA avec Botiqueai

Si vous préparez un chatbot, un agent conversationnel ou une automatisation, nous pouvons cadrer avec vous l’objectif, la méthode et les données nécessaires avant tout développement. Nous proposons un audit gratuit et un PoC rapide, puis le développement et l’intégration de solutions IA sur mesure. Découvrez nos solutions d’IA sur mesure ou présentez-nous votre projet.

Botiqueai

Pour un canal précis, comme l’intégration WhatsApp Business, nous commençons par la même question : quelles données ce canal fera-t-il circuler, et lesquelles sont réellement utiles ?

FAQ

Le privacy by design est-il obligatoire pour un projet d’IA ?

Oui, dès que le système traite des données personnelles. L’article 25 du RGPD impose au responsable de traitement d’intégrer la protection des données dès la conception. La CNIL en détaille l’application aux systèmes d’IA dans ses fiches pratiques.

Quelle différence entre privacy by design et minimisation des données ?

La minimisation est l’un des piliers du privacy by design. Elle impose de ne traiter que des données adéquates, pertinentes et limitées au nécessaire. Le privacy by design est plus large : il couvre aussi l’objectif, la méthode, les sources et la validation des choix.

Faut-il toujours réaliser une AIPD pour un chatbot ou un agent IA ?

Pas systématiquement. Elle est obligatoire quand le traitement est susceptible d’engendrer un risque élevé pour les personnes, et un traitement qui remplit au moins deux des neuf critères du CEPD est présumé y être soumis. En cas de doute, demandez l’avis de votre DPO.

Peut-on entraîner un modèle avec des données clients ?

Cela dépend de la finalité, de la base légale et de la compatibilité avec la collecte initiale. La CNIL rappelle que développement et production peuvent relever de finalités et de bases légales distinctes. Avant d’utiliser des données réelles, un pilote avec des données fictives, synthétiques ou anonymisées est une bonne pratique.

Sources

Recommandations

© 2026 BotiqueAI — Reproduction interdite sans mention de la source.