L'analyse d'impact relative à la protection des données (AIPD) est l'un des exercices les plus chronophages du métier de DPO. Article 35 du RGPD, 9 critères du CEPD, 14 types de traitements listés par la CNIL, logiciel PIA à renseigner manuellement : chaque AIPD mobilise entre 8 et 12 jours de travail selon la complexité du traitement. Pour un DPO externe qui gère 15 ou 20 clients, la charge devient structurellement insoutenable. L'intelligence artificielle change la donne. Non pas en remplaçant l'analyse humaine, mais en accélérant considérablement les phases de collecte et de pré-rédaction. Cet article détaille les apports concrets de l'IA à chaque étape de l'AIPD, les précautions indispensables et les perspectives ouvertes par l'IA Act.
1. AIPD : rappel des obligations et de la charge réelle
L'AIPD est définie par l'article 35 du RGPD comme une analyse préventive et structurée, obligatoire lorsqu'un traitement de données personnelles est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées. En pratique, la CNIL considère qu'une AIPD est requise dès lors que le traitement figure sur sa liste de 14 types d'opérations, ou qu'il remplit au moins 2 des 9 critères issus des lignes directrices du CEPD (ex-G29) : évaluation ou scoring, décision automatique avec effet juridique, surveillance systématique, données sensibles ou à caractère hautement personnel, traitement à grande échelle, croisement de données, personnes vulnérables, usage de technologie innovante, ou exclusion d'un droit.
L'absence d'AIPD alors qu'elle est obligatoire constitue un manquement sanctionnable. L'amende peut atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (article 83, paragraphe 4, point a du RGPD). En décembre 2024, la CNIL a sanctionné une société de 40 000 euros notamment pour absence d'AIPD sur un dispositif de surveillance des salariés. En 2025, plusieurs mises en demeure ont visé le secteur de l'aide sociale à l'enfance pour défaut de réalisation d'AIPD.
Concrètement, une AIPD complète comprend quatre volets : la description détaillée du traitement (finalités, données, destinataires, durées, flux), l'évaluation de la nécessité et de la proportionnalité, l'identification et la cotation des risques pour les personnes concernées (atteinte à la confidentialité, à la disponibilité, à l'intégrité), et la définition des mesures techniques et organisationnelles pour ramener le risque résiduel à un niveau acceptable. La CNIL rappelle que la gravité doit être évaluée du point de vue des personnes concernées, et non de l'organisme.
Ce que dit la CNIL
L'AIPD doit être menée avant la mise en œuvre du traitement. Elle doit être démarrée le plus en amont possible et sera mise à jour tout au long du cycle de vie du traitement. Il est nécessaire de revoir une AIPD de manière régulière pour s'assurer que le niveau de risque reste acceptable.
— Source : cnil.fr, page AIPD
2. Le goulet d'étranglement : pourquoi l'AIPD bloque le passage à l'échelle
Pour un DPO interne rattaché à une seule structure, l'AIPD est un exercice ponctuel. On le déclenche lors du lancement d'un nouveau traitement à risque, on le revoit périodiquement. La charge reste gérable.
Pour un DPO externe ou un consultant RGPD qui accompagne un portefeuille de 10, 15 ou 20 clients, la situation est radicalement différente. Chaque client dispose de traitements spécifiques, dans des secteurs variés (santé, RH, e-commerce, collectivités), avec des contextes techniques et organisationnels distincts. Une AIPD ne se duplique pas d'un client à l'autre : le RGPD autorise une analyse unique pour des traitements similaires présentant des risques similaires, mais les contextes divergent presque toujours.
Les trois facteurs qui rendent l'AIPD structurellement chronophage sont les suivants. Premièrement, la formalisation : même lorsque le registre des traitements est bien renseigné, il faut transposer et compléter les informations dans le canevas spécifique de l'AIPD, détailler les flux, préciser les mesures de sécurité techniques. Deuxièmement, la rédaction et la cotation des risques : il faut formaliser chaque scénario de menace, évaluer sa gravité et sa vraisemblance, puis décrire les mesures d'atténuation. Troisièmement, la mise à jour : la CNIL exige une revue régulière, ce qui multiplie la charge par le nombre de traitements et le nombre de clients.
Résultat : un DPO externe qui consacre 8 à 12 jours par AIPD et qui doit en réaliser 3 à 5 par client ne peut structurellement pas dépasser 5 à 8 clients actifs sans sacrifier la qualité. C'est précisément ce plafond que l'IA permet de repousser.
3. Ce que l'IA change concrètement à chaque étape de l'AIPD
3.1. Pré-remplissage intelligent de la description du traitement
La première étape de toute AIPD consiste à décrire le traitement : finalité, base légale, catégories de données, catégories de personnes concernées, destinataires, durées de conservation, transferts hors UE, mesures de sécurité. C'est un travail de collecte et de formalisation qui représente souvent 30 à 40 % du temps total.
L'IA permet d'accélérer cette phase de deux manières. D'abord, en exploitant le registre des traitements existant : si le traitement a déjà été documenté dans le registre (article 30 du RGPD), l'IA peut extraire automatiquement les informations de base (finalité, données, destinataires, durées) et les injecter dans le canevas de l'AIPD. Ensuite, en proposant des formulations adaptées au secteur d'activité du client. Un traitement de vidéosurveillance dans un commerce de détail ne se décrit pas comme un traitement de géolocalisation dans une application mobile. L'IA, entraînée sur la documentation CNIL et les référentiels sectoriels, peut proposer des descriptions pré-rédigées que le DPO n'a plus qu'à valider et ajuster.
En pratique
Sur Willaw, le module AIPD s'alimente directement depuis le registre des traitements. Lorsqu'un DPO déclenche une AIPD sur un traitement existant, les champs de description sont pré-remplis. Le gain de temps estimé sur cette première phase : 60 à 70 %.
3.2. Identification assistée des risques et cotation
La partie la plus technique de l'AIPD est l'analyse des risques. Il faut identifier, pour chaque catégorie de données et chaque flux, les événements redoutés (accès illégitime, modification non désirée, disparition des données), les sources de menaces (attaquant externe, erreur interne, sous-traitant défaillant), et les mesures existantes qui réduisent la vraisemblance ou la gravité de chaque scénario.
L'IA intervient ici comme un assistant d'analyse. À partir de la description du traitement, elle peut suggérer les scénarios de risque les plus pertinents en s'appuyant sur les catalogues de bonnes pratiques publiés par la CNIL, les référentiels de l'ANSSI (guide d'hygiène informatique, méthode EBIOS RM) et les incidents de sécurité rendus publics. Par exemple, pour un traitement de données de santé hébergé chez un prestataire cloud, l'IA proposera des scénarios liés au défaut de chiffrement, à l'absence de cloisonnement des données entre locataires, ou au risque de re-identification par croisement.
L'IA peut également pré-coter la gravité et la vraisemblance de chaque scénario, en tenant compte du volume de données, de la sensibilité des données et des mesures de sécurité déclarées. Le DPO conserve bien entendu la main sur la cotation finale : il valide, ajuste ou invalide chaque proposition. L'IA ne remplace pas le jugement professionnel. Elle élimine le syndrome de la page blanche et réduit le risque d'oubli de scénarios critiques.
3.3. Suggestion de mesures d'atténuation
Une fois les risques identifiés et cotés, l'AIPD doit décrire les mesures envisagées pour les réduire. C'est souvent un exercice répétitif : les mesures de chiffrement, de gestion des accès, de journalisation, de pseudonymisation reviennent dans la quasi-totalité des AIPD. L'IA peut proposer un socle de mesures adapté au contexte technique du traitement, en s'appuyant sur le guide de sécurité des données personnelles de la CNIL (version 2024) et les recommandations sectorielles.
L'apport de l'IA ne se limite pas à lister des mesures génériques. Elle peut contextualiser ses suggestions : si le traitement repose sur un hébergement HDS (hébergeur de données de santé), l'IA intégrera les exigences spécifiques de la certification HDS. Si le traitement implique un transfert hors UE, elle rappellera les garanties appropriées (clauses contractuelles types, décision d'adéquation) et les mesures supplémentaires recommandées par le CEPD.
Point de vigilance
L'IA suggère, le DPO décide. Aucune mesure proposée par l'IA ne doit être intégrée à l'AIPD sans validation humaine. Le responsable du traitement reste juridiquement responsable du contenu de l'analyse (article 35, paragraphe 1 du RGPD). Le DPO, en tant que conseil, doit exercer son jugement professionnel sur chaque mesure.
3.4. Quand la revue périodique s'impose
La CNIL rappelle que l'AIPD n'est pas un document figé. Elle doit être revue régulièrement pour s'assurer que le niveau de risque reste acceptable, notamment lorsque le contexte technique évolue (changement de prestataire, migration cloud, ajout de fonctionnalités), lorsque de nouvelles menaces apparaissent (vulnérabilités publiées, incidents dans le secteur) ou lorsque la réglementation change.
Lorsqu'un DPO décide de réviser une AIPD existante, l'IA apporte le même type d'assistance que pour la rédaction initiale : pré-remplissage des sections à partir des informations actualisées fournies par le DPO, suggestion de nouveaux scénarios de risque si le contexte a changé, proposition de mesures d'atténuation adaptées. Le DPO n'a pas à repartir d'une page blanche : il reprend le document existant et s'appuie sur l'IA pour formaliser plus rapidement les ajustements nécessaires.
Cela ne remplace pas le travail d'identification des changements, qui reste à la charge du DPO : c'est lui qui sait qu'un prestataire a changé, qu'une nouvelle catégorie de données a été ajoutée ou qu'un incident de sécurité a eu lieu dans le secteur. L'IA accélère la formalisation, pas la détection.
4. Les précautions indispensables
4.1. Validation humaine systématique
L'AIPD est un acte de responsabilité juridique. L'article 35 du RGPD confie explicitement cette responsabilité au responsable du traitement, qui peut solliciter l'avis du DPO. L'IA est un outil d'aide à la rédaction et à l'analyse, pas un substitut au jugement professionnel. Chaque élément pré-rempli ou suggéré par l'IA doit être vérifié, ajusté et validé par le DPO avant intégration dans le document final.
Cette exigence de validation n'est pas une précaution cosmétique. Les modèles d'IA peuvent générer des formulations plausibles mais juridiquement imprécises, omettre des spécificités contextuelles que seul un entretien avec les métiers permet de capter, ou surévaluer l'efficacité de mesures de sécurité déclarées mais non vérifiées. Le DPO reste le garant de l'exactitude et de la pertinence de l'analyse.
4.2. Documenter la méthodologie
Lorsqu'un DPO utilise un outil d'IA pour l'assister dans la rédaction d'une AIPD, il est recommandé de pouvoir expliquer la méthodologie suivie. En cas de contrôle, la CNIL pourrait interroger la démarche. Le DPO doit être en mesure de montrer comment l'outil fonctionne (pré-remplissage, suggestions de risques, proposition de mesures), de confirmer qu'il a vérifié et ajusté chaque élément, et que le document final reflète son analyse professionnelle. Il ne s'agit pas de tracer chaque ligne générée par l'IA, mais de pouvoir démontrer que l'outil a servi d'assistant et non de substitut.
4.3. Nature des données transmises à l'IA
Une question légitime porte sur les informations qui transitent vers le modèle d'IA lors de la rédaction assistée. Il faut ici distinguer clairement : ce qui est transmis, ce sont des métadonnées de conformité, c'est-à-dire des descriptions de traitements, des catégories de données, des intitulés de mesures de sécurité, des cotations de risques. Ce ne sont pas les données personnelles elles-mêmes (pas de noms, pas d'adresses, pas de numéros de sécurité sociale). Le niveau de sensibilité est donc significativement différent de celui d'un traitement portant sur des données personnelles directes.
Cela ne dispense pas de vérifier les conditions d'hébergement et de traitement du fournisseur d'IA, notamment la non-réutilisation des données pour l'entraînement des modèles. Mais le risque réel est proportionné à la nature de ce qui transite : des métadonnées descriptives, pas des données à caractère personnel.
Hébergement Willaw
Willaw héberge l'ensemble des données clients en France, chez un hébergeur certifié ISO 27001. Seules des métadonnées de conformité (descriptions de traitements, catégories de données, mesures de sécurité) sont transmises aux modèles d'IA, jamais de données personnelles directes.
5. Cas pratique : un cabinet de DPO externes passe de 12 à 25 clients
Prenons le cas d'un cabinet de deux DPO externes accompagnant 12 structures (PME, associations, collectivités). Parmi ces 12 clients, 8 disposent de traitements nécessitant une AIPD (vidéosurveillance des salariés, scoring fournisseurs, traitement de données de santé au travail, géolocalisation de véhicules). Au total, le cabinet doit gérer 22 AIPD actives.
Sans IA, chaque AIPD initiale mobilise 8 à 12 jours. Mais ce temps n'est pas réparti uniformément entre les phases. Le gain apporté par l'IA varie considérablement selon l'étape, et certaines phases restent incompressibles.
| Phase de l'AIPD | Sans IA | Avec IA |
|---|---|---|
| Description du traitement (pré-remplissage) | 3 à 4 jours | Quelques heures |
| Identification et cotation des risques | 3 à 4 jours | 1 à 2 jours |
| Compléments techniques et validation DPO | 1 à 2 jours | 1 à 2 jours (incompressible) |
| Rédaction des mesures et finalisation | 1 à 2 jours | 0,5 à 1 jour |
Le gain le plus net se concentre sur les phases de collecte et de formalisation, là où l'IA excelle : extraire les données du registre, proposer des scénarios de risque, suggérer des mesures. La phase de compléments techniques et de validation DPO reste incompressible, mais elle est plus légère que pour le registre puisque l'essentiel des entretiens métiers et de la cartographie a déjà été réalisé en amont, lors de la constitution du registre des traitements. Sur une AIPD de complexité moyenne, le temps total passe d'environ 8-12 jours à environ 3-6 jours.
La revue annuelle bénéficie du même type d'assistance : lorsque le DPO identifie un changement de contexte chez un client, l'IA l'aide à formaliser plus rapidement les ajustements dans l'AIPD existante. Le temps de revue passe de 2-3 jours de reprise manuelle à environ 1 à 1,5 jour, le DPO se concentrant sur l'analyse des changements plutôt que sur la rédaction.
Sur 22 AIPD actives, le cabinet récupère suffisamment de capacité pour intégrer 10 à 13 nouveaux clients sans recruter, en passant d'un plafond de 12 structures à environ 22 à 25.
6. AIPD et IA Act : ce qui se prépare
L'IA Act introduit une nouvelle obligation d'analyse d'impact : l'évaluation de l'impact sur les droits fondamentaux (FRIA, Fundamental Rights Impact Assessment), prévue à l'article 27. Cette FRIA est distincte de l'AIPD RGPD, mais complémentaire. Elle porte sur un spectre plus large que la seule protection des données : non-discrimination, liberté d'expression, dignité humaine, accès à la justice, droit au travail.
6.1. Qui est concerné par la FRIA
L'article 27 ne vise pas tous les déployeurs de systèmes d'IA à haut risque. Trois catégories sont concernées. Premièrement, les organismes de droit public. Deuxièmement, les entités privées fournissant des services publics (santé, éducation, logement, justice, services sociaux). Troisièmement, les déployeurs de systèmes d'IA de scoring crédit, d'évaluation de solvabilité et d'assurance vie ou santé (points 5 b et c de l'annexe III). Les systèmes liés aux infrastructures critiques (énergie, eau, transports) sont explicitement exclus de l'obligation de FRIA.
6.2. Articulation FRIA et AIPD
L'article 27, paragraphe 4 de l'IA Act prévoit explicitement que si une AIPD au sens de l'article 35 du RGPD a déjà été réalisée pour le même traitement, la FRIA doit la compléter, pas la refaire. En pratique, les deux analyses peuvent être consolidées en un seul document, à condition que le volet droits fondamentaux au sens large (au-delà de la seule protection des données) soit couvert. Pour les DPO, cela signifie que l'AIPD RGPD constitue le socle sur lequel se greffe la FRIA.
Une différence notable : la FRIA impose une notification des résultats à l'autorité de surveillance du marché, obligation qui n'existe pas pour l'AIPD RGPD (sauf consultation préalable de la CNIL en cas de risque résiduel élevé).
En pratique sur Willaw
Willaw propose deux modules distincts : un module AIPD (article 35 du RGPD) et un module FRIA (article 27 de l'IA Act). Cette séparation reflète la dualité des obligations : périmètres différents, autorités de notification différentes, catégories de déployeurs concernés différentes. Les informations saisies dans le registre des traitements alimentent les deux modules.
6.3. Un calendrier en mouvement
L'échéance initiale pour les obligations relatives aux systèmes d'IA à haut risque (annexe III) était fixée au 2 août 2026. Cependant, le Digital Omnibus, paquet législatif de simplification publié par la Commission européenne en novembre 2025, propose un report conditionné à la disponibilité des normes techniques harmonisées, avec une date butoir au 2 décembre 2027 pour les systèmes de l'annexe III et au 2 août 2028 pour les systèmes intégrés dans des produits couverts par la législation sectorielle (annexe I).
Le 18 mars 2026, les commissions IMCO et LIBE du Parlement européen ont adopté leur position sur ce texte par 101 voix pour, 9 contre et 8 abstentions. Le vote en plénière est prévu le 26 mars 2026. Si confirmé, les trilogues pourront démarrer dans la foulée. Tant que le texte final n'est pas adopté, les organisations restent entre deux cadres : l'échéance initiale d'août 2026, qui demeure juridiquement contraignante, et les nouveaux délais proposés.
Ce que cela change pour les DPO
L'incertitude sur le calendrier ne dispense pas de se préparer. Les DPO accompagnant des organismes publics ou des entités fournissant des services publics doivent dès maintenant identifier les systèmes d'IA à haut risque dans le périmètre de leurs clients, et anticiper le volet droits fondamentaux dans leurs AIPD existantes.
Article lié
Pour une vue complète des 5 cas d'usage de l'IA dans le métier de DPO : consultez notre article pilier « Comment l'IA transforme le métier de DPO en 2026 ».
7. En résumé
L'IA intervient sur trois phases de l'AIPD : le pré-remplissage de la description du traitement à partir du registre, la suggestion de scénarios de risque contextualisés et la proposition de mesures d'atténuation adaptées au secteur. Le gain de temps se concentre sur la formalisation, pas sur l'analyse. Le DPO reste celui qui valide, qui ajuste la cotation, qui confronte le document à la réalité terrain. L'IA accélère l'écriture, elle ne remplace pas le raisonnement.
Vous gérez plusieurs clients et l'AIPD devient votre principal goulet d'étranglement ?
Découvrez comment Willaw automatise le pré-remplissage et la cotation de vos AIPD.
willaw.ai
Sources
- CNIL, « Ce qu'il faut savoir sur l'analyse d'impact relative à la protection des données (AIPD) »
- CNIL, « Les guides AIPD »
- CNIL, « Listes des traitements pour lesquels une AIPD est requise ou non »
- CNIL, « Sécurité : analyse de risques »
- CNIL, « Guide pratique : sécurité des données personnelles », version 2024
- CNIL, « Sanctions et mesures correctrices : bilan 2024 »
- CNIL, « Sanctions et mesures correctrices : la CNIL présente le bilan 2025 »
- CNIL, « Surveillance excessive des salariés : sanction de 40 000 euros » (décembre 2024)
- CEPD (ex-G29), Lignes directrices concernant l'analyse d'impact relative à la protection des données, WP 248 rév.01
- Article 35 du RGPD — Règlement (UE) 2016/679
- Article 27 de l'IA Act — Règlement (UE) 2024/1689, évaluation de l'impact sur les droits fondamentaux pour les systèmes d'IA à haut risque
- Parlement européen, communiqué de presse « Les députés soutiennent le report de certaines règles sur l'IA », 18 mars 2026
- Conseil de l'UE, « Council agrees position to streamline rules on Artificial Intelligence », 13 mars 2026