L'analyse d'intérêt légitime (LIA) : méthode, pièges et automatisation par l'IA

Temps de lecture estimé : 11 minutes | Dernière mise à jour : mars 2026

Introduction : la base légale la plus utilisée et la moins bien documentée

L'intérêt légitime est l'une des six bases légales prévues par l'article 6 du RGPD. C'est aussi, dans la pratique, celle qui est la plus fréquemment invoquée par les entreprises privées pour fonder leurs traitements de données personnelles : prospection commerciale B2B, sécurité des réseaux, gestion interne d'un groupe, vidéosurveillance, et désormais développement de systèmes d'IA.

Pourtant, c'est la base légale qui fait l'objet du plus grand nombre d'erreurs de mise en œuvre. Beaucoup d'organisations la traitent comme un choix par défaut, une case à cocher quand le consentement est trop complexe à recueillir, sans réaliser l'analyse documentée que le RGPD exige. Or, la CNIL et le Comité européen de la protection des données (CEPD) ont considérablement renforcé leurs exigences sur ce point.

Cet article détaille la méthode complète de l'analyse d'intérêt légitime (LIA, pour Legitimate Interest Assessment), les erreurs les plus fréquentes, et comment l'IA peut assister le DPO dans la production de cette documentation.

📌 Articles liés
Cet article s'inscrit dans le plan éditorial du blog Willaw. Voir aussi : « Comment l'IA transforme le métier de DPO en 2026 : 5 cas d'usage concrets » (article pilier) et « RGPD et IA Act : ce qui change en 2026 ».

1. L'intérêt légitime : ce que dit le RGPD

L'article 6, paragraphe 1, point f) du RGPD autorise un traitement de données personnelles lorsqu'il est « nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée ».

Cette formulation implique trois conditions cumulatives, désormais connues sous le nom de « triple test ». Si l'une des trois conditions n'est pas remplie, l'intérêt légitime ne peut pas servir de base légale au traitement.

Le RGPD ne fournit pas de liste exhaustive des intérêts considérés comme légitimes. Les considérants 47, 48 et 49 donnent toutefois des illustrations : sécurité des réseaux et des systèmes d'information, prévention de la fraude, prospection commerciale auprès de clients existants, gestion administrative interne au sein d'un groupe.

La CNIL précise que le caractère légitime peut être présumé si l'intérêt est manifestement licite, déterminé de façon suffisamment claire et précise, et réel et présent pour l'organisme concerné. En revanche, un intérêt qui vise le développement ou le déploiement d'un système dont la finalité est interdite par une autre réglementation ne peut pas être considéré comme légitime.

⚠️ Point clé CEPD (octobre 2024)
Les Guidelines 1/2024 du CEPD sur l'article 6(1)(f), publiées en octobre 2024, précisent que l'évaluation des trois conditions doit être réalisée et documentée avant de procéder au traitement. Ce document, désormais appelé Legitimate Interest Assessment (LIA), fait partie de la documentation accountability que le responsable de traitement doit conserver. Ces Guidelines constituent la position de référence des autorités européennes de protection des données et sont appliquées comme telles dans les contrôles.
Source : Guidelines 1/2024 du CEPD (octobre 2024)

2. Les 5 erreurs les plus fréquentes sur l'intérêt légitime

2.1 Utiliser l'intérêt légitime « par défaut »

L'erreur la plus répandue consiste à choisir l'intérêt légitime comme base légale simplement parce que le consentement est difficile à obtenir ou parce qu'aucune autre base ne semble s'appliquer. La CNIL rappelle que le choix de la base légale doit résulter d'une analyse et non d'un raisonnement par élimination. Le CEPD parle explicitement d'un risque de « base légale fourre-tout ».

2.2 Ne pas documenter le triple test

Beaucoup d'organisations cochent « intérêt légitime » dans leur registre sans réaliser ni conserver l'analyse correspondante. Or, les Guidelines 1/2024 du CEPD (octobre 2024) confirment que la LIA est un document accountability à part entière, et les autorités de protection des données s'appuient déjà dessus dans leurs contrôles. En cas de contrôle, la CNIL peut demander la preuve que le triple test a été réalisé avant le début du traitement.

2.3 Sous-estimer le test de mise en balance

Le premier test (légitimité) est souvent évident. Le deuxième (nécessité) est généralement satisfait. C'est le troisième test, la mise en balance entre l'intérêt de l'organisme et les droits des personnes, qui est le plus complexe et le plus négligé. Il exige d'évaluer concrètement l'impact du traitement sur les personnes, en tenant compte de la nature des données, du contexte de la collecte, des attentes raisonnables des personnes, et de la vulnérabilité éventuelle des personnes concernées (enfants, salariés, patients).

2.4 Oublier les mesures compensatoires

Lorsque la mise en balance révèle un déséquilibre potentiel, le responsable de traitement peut mettre en place des mesures compensatoires pour rétablir l'équilibre : pseudonymisation renforcée, droit d'opposition facilité, limitation de la durée de conservation, restriction des destinataires. La CNIL précise que ces mesures doivent aller au-delà des obligations standard du RGPD : elles doivent être « premium », c'est-à-dire des garanties supplémentaires spécifiquement adaptées aux risques identifiés.

2.5 Confondre intérêt légitime et prospection électronique

Un piège classique : invoquer l'intérêt légitime pour de la prospection commerciale par email. Or, la prospection électronique directe (email, SMS) est encadrée par l'article L. 34-5 du Code des postes et des communications électroniques, qui exige en principe le consentement préalable. Des exceptions existent : la prospection vers des clients existants portant sur des produits ou services analogues (soft opt-in), et la prospection B2B sur des adresses email professionnelles. Mais en dehors de ces cas, l'intérêt légitime ne peut pas se substituer à l'exigence de consentement. La CNIL l'a rappelé à plusieurs reprises dans ses décisions de sanction.

🚩 L'intérêt légitime ne peut pas fonder le traitement lorsque :

• La prospection électronique directe (email, SMS) exige le consentement préalable, sauf exception : clients existants pour des produits/services analogues (soft opt-in) et prospection B2B sur adresses professionnelles
• Le traitement est mis en œuvre par une autorité publique dans l'exécution de ses missions
• La finalité du système est interdite par une autre réglementation (IA Act, DSA)
• Le traitement porte sur des données sensibles (art. 9) sans qu'une exception de l'article 9(2) soit également satisfaite

⚠️ Risque majeur en cas de contrôle :
L'absence de documentation du triple test ne rend pas la base légale invalide en soi, mais l'organisme ne pourra pas démontrer sa conformité face à la CNIL (manquement à l'obligation d'accountability, art. 5-2)

3. Méthode complète : réaliser une LIA en 5 étapes

Voici la méthode structurée pour réaliser une analyse d'intérêt légitime conforme aux exigences de la CNIL et du CEPD.

Étape 1 — Décrire le traitement

Identifiez précisément le traitement concerné : finalité, catégories de données collectées, catégories de personnes concernées, destinataires, durée de conservation prévue. Cette description doit être cohérente avec la fiche correspondante dans le registre des traitements.

Étape 2 — Identifier et qualifier l'intérêt (test de finalité)

Formulez explicitement l'intérêt poursuivi. Vérifiez qu'il est licite (pas interdit par une réglementation), déterminé (formulé de façon claire et précise) et réel (pas hypothétique). Si l'intérêt est celui d'un tiers, par exemple dans le cadre d'un groupe d'entreprises (considérant 48 du RGPD) ou pour l'établissement, l'exercice ou la défense de droits en justice, identifiez-le explicitement.

Étape 3 — Vérifier la nécessité du traitement (test de nécessité)

Démontrez que le traitement est strictement nécessaire pour atteindre l'objectif poursuivi. Existe-t-il une alternative moins intrusive pour la vie privée ? Si oui, vous devez privilégier cette alternative. Le traitement porte-t-il sur le volume minimal de données nécessaire ? La durée de conservation est-elle limitée au strict nécessaire ?

Étape 4 — Réaliser la mise en balance (test d'équilibre)

C'est l'étape la plus complexe. Évaluez l'impact du traitement sur les personnes concernées en analysant la nature des données traitées (données courantes, données sensibles, données de mineurs), le contexte de la collecte (directe, indirecte, accessible publiquement), les attentes raisonnables des personnes (le considérant 47 du RGPD insiste sur ce point), et les conséquences concrètes du traitement pour les personnes (profilage, exclusion d'un service, atteinte à la réputation).

Si la mise en balance révèle un déséquilibre, identifiez les mesures compensatoires susceptibles de le rétablir : pseudonymisation, limitation d'accès, droit d'opposition facilité sans avoir à justifier de motif particulier, mise en place de tableaux de bord permettant aux personnes de gérer leurs préférences.

Étape 5 — Documenter et conserver l'analyse

Rédigez la LIA dans un document structuré qui reprend les cinq étapes. Ce document doit être daté, rattaché au traitement concerné dans le registre, et conservé aussi longtemps que le traitement est en cours. Il doit être présentable à la CNIL sur demande.

⏱️ Temps de rédaction d'une LIA

• Méthode manuelle (recherche + rédaction + relecture) : 2 à 4 heures par traitement
• Avec IA (pré-génération + vérification + validation) : 15 à 30 minutes par traitement

Pour un DPO gérant 20 clients avec en moyenne 5 traitements fondés sur l'intérêt légitime par client, c'est la différence entre 200 à 400 heures et 25 à 50 heures de travail.

4. Le cas spécifique de l'IA : intérêt légitime et développement de systèmes d'IA

La CNIL a publié des recommandations spécifiques sur le recours à l'intérêt légitime pour le développement de systèmes d'IA. Ce point est particulièrement pertinent dans le contexte de l'IA Act.

La CNIL considère que l'intérêt légitime est la base légale « la plus couramment utilisée » pour le développement de systèmes d'IA, notamment lorsque la base de données d'entraînement ne repose pas sur le consentement des personnes. Les recommandations précisent les conditions pour que cette base légale soit valide, y compris en cas de moissonnage de données accessibles en ligne (web scraping).

Exemple concret donné par la CNIL : la réutilisation des conversations futures des utilisateurs d'un agent conversationnel pour améliorer le modèle d'IA peut se fonder sur l'intérêt légitime, à condition de mettre en place des garanties fortes (information des personnes, droit d'opposition discrétionnaire sans justification de motif, limitation du traitement à des données pseudonymisées ou anonymisées). Sans ces garanties, le recours à l'intérêt légitime n'est pas fondé.

Contre-exemple donné par la CNIL : une plateforme de coaching en ligne qui souhaite utiliser les échanges entre les personnes et leurs interlocuteurs pour procéder au réglage fin d'un modèle d'IA ne peut pas se fonder sur l'intérêt légitime. Les personnes s'attendent à un certain niveau de confidentialité de ces échanges, compte tenu de la sensibilité potentielle des informations partagées. Le consentement est alors requis.

📚 Source officielle CNIL

• cnil.fr/fr/base-legale-interet-legitime-developpement-systeme
• cnil.fr/fr/recommandations-developpement-ia-interet-legitime
• cnil.fr/fr/focus-interet-legitime-collecte-par-moissonnage

5. Comment l'IA assiste la rédaction des LIA

La rédaction d'une LIA est un exercice structuré qui se prête bien à l'assistance par IA. Chaque étape suit un cadre prédéfini, s'appuie sur des référentiels CNIL connus, et doit être adaptée au contexte spécifique du traitement.

5.1 Pré-génération contextualisée

Une plateforme de conformité équipée d'IA peut générer une LIA complète à partir des informations déjà présentes dans le registre des traitements : finalité, catégories de données, destinataires, durée de conservation. L'IA propose un argumentaire pour chacun des trois tests, adapté au secteur d'activité et à la nature du traitement.

5.2 Vérification croisée avec les référentiels CNIL

L'IA peut vérifier automatiquement que l'analyse est cohérente avec les recommandations de la CNIL : la finalité invoquée est-elle compatible avec les exemples donnés par les considérants du RGPD ? Le traitement ne tombe-t-il pas dans une catégorie où l'intérêt légitime est exclu (prospection électronique, autorité publique, IA interdite) ? Les mesures compensatoires proposées sont-elles proportionnées aux risques identifiés ?

5.3 Cohérence inter-documents

L'un des risques majeurs dans la production documentaire RGPD est l'incohérence entre les documents : la base légale mentionnée dans la LIA ne correspond pas à celle du registre, ou les mesures compensatoires décrites dans la LIA ne figurent pas dans la politique de confidentialité. L'IA vérifie la cohérence entre la LIA, la fiche de traitement, l'AIPD éventuelle et la politique de confidentialité.

Le rôle du DPO reste central : il valide l'analyse juridique, ajuste les arguments au contexte spécifique du client, et assume la responsabilité de la documentation. L'IA accélère la production, elle ne la délègue pas.

Conclusion

L'analyse d'intérêt légitime n'est plus un exercice optionnel. Les Guidelines 1/2024 du CEPD (octobre 2024), appliquées comme référence par les autorités européennes de protection des données, confirment qu'il s'agit d'un document accountability à part entière, exigible par la CNIL en cas de contrôle. Pour un DPO externe qui gère des dizaines de traitements fondés sur cette base légale, la rédaction manuelle de chaque LIA représente un volume de travail considérable.

L'IA ne remplace pas l'analyse juridique. Elle structure le raisonnement, vérifie la cohérence avec les référentiels CNIL, et produit un document complet en une fraction du temps. Le DPO conserve le dernier mot, mais il le prononce en 15 minutes au lieu de 3 heures.

🚀 Générez vos analyses d'intérêt légitime avec Willaw
Willaw intègre un module LIA natif. L'analyse est pré-générée à partir de votre registre, alignée sur les référentiels CNIL, et exportée en PDF pour vos clients.
Découvrez la plateforme : willaw.ai

Sources

• CNIL — L'intérêt légitime : comment fonder un traitement sur cette base légale
• CNIL — IA : mobiliser la base légale de l'intérêt légitime pour développer un système d'IA
• CNIL — Recommandations sur l'intérêt légitime et l'IA
• CNIL — Focus moissonnage et intérêt légitime
• CEPD — Guidelines 1/2024 sur l'article 6(1)(f) du RGPD (octobre 2024)
• Règlement (UE) 2016/679 — Article 6, paragraphe 1, point f) ; considérants 47, 48, 49