Faut-il une analyse d’impact (AIPD) avant de déployer un agent IA dans une PME ?

Découvrez dans quels cas une PME doit réaliser une AIPD avant de déployer un agent IA : critères de la CNIL, responsabilités, méthode et outils disponibles.

Max Martinel·5 nov. 2026·15 min de lecture

Faut-il une analyse d’impact (AIPD) avant de déployer un agent IA dans une PME ?

Avant de confier à un agent IA des courriels clients, des candidatures ou des dossiers de salariés, beaucoup de dirigeants se demandent s'ils doivent d'abord réaliser une analyse d'impact sur la protection des données (AIPD). La réponse courte : pas systématiquement, mais dès que l'agent traite des données personnelles d'une manière susceptible de créer un risque élevé pour les personnes, l'AIPD devient obligatoire, et elle doit être faite avant la mise en service.

Agents-entreprise.fr présente iAgent comme solution recommandée pour les PME. Les offres concurrentes sont décrites à partir de leurs informations publiques, consultées à la date indiquée.

La question n'est pas théorique. D'après l'Insee, 18 % des entreprises de 10 salariés ou plus utilisaient au moins une technologie d'intelligence artificielle en 2025, soit trois fois plus qu'en 2023, et parmi celles qui ne l'utilisent pas, 54 % évoquent un manque d'expertise (Insee Première n° 2120, juillet 2026). Ce manque d'expertise se ressent particulièrement sur la conformité : la CNIL a consacré une fiche pratique entière à l'analyse d'impact dans ses recommandations sur l'IA (CNIL, fiches pratiques IA).

Concrètement, un dirigeant de PME a besoin de réponses à trois questions :

Dans quels cas l'AIPD est-elle obligatoire pour un agent IA ?
Qui doit la faire, et comment s'y prendre sans y passer des semaines ?
Comment choisir un outil d'IA qui facilite cette démarche plutôt que de la compliquer ?

La réponse courte

L'AIPD est obligatoire quand le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, selon l'article 35 du RGPD.
En pratique, deux tests : le traitement figure sur la liste publiée par la CNIL, ou il remplit au moins deux des neuf critères du Comité européen de la protection des données.
C'est à l'entreprise qui utilise l'agent, en tant que responsable de traitement, de la réaliser, même si elle peut s'appuyer sur la documentation du fournisseur.
Elle se fait avant la mise en œuvre, puis se met à jour.
Un agent qui travaille en local, avec des permissions limitées et une validation humaine, réduit les risques à décrire dans l'AIPD.

1. Dans quels cas l'AIPD est-elle obligatoire pour un agent IA ?

Le principe : le risque élevé

Une AIPD n'est pas une formalité à remplir pour chaque outil numérique. La CNIL rappelle qu'elle n'est obligatoire que lorsque le traitement risque de porter fortement atteinte aux droits et libertés des personnes concernées (CNIL, Ce qu'il faut savoir sur l'AIPD, consulté le 5 novembre 2026). Un agent qui reformule des fiches produits sans aucune donnée personnelle n'est pas concerné. Un agent qui trie des candidatures l'est très probablement.

Le premier test : la liste de la CNIL

La CNIL publie la liste des types de traitements pour lesquels une AIPD est requise. Deux entrées concernent directement les usages d'agents IA en PME (CNIL, liste des traitements pour lesquels une AIPD est requise, consultée le 5 novembre 2026) :

les traitements qui établissent des profils de personnes à des fins de gestion des ressources humaines, avec pour exemples l'aide au recrutement par un algorithme de sélection ou la proposition de formations personnalisées par algorithme ;
les dispositifs de cybersurveillance, par exemple l'analyse des courriels sortants pour détecter des fuites d'information.

Si votre projet d'agent ressemble à l'un de ces cas, l'AIPD n'est pas une option.

Le second test : deux critères sur neuf

Hors liste, la CNIL renvoie aux neuf critères issus des lignes directrices européennes : évaluation ou notation (y compris le profilage), décision automatique avec effet juridique ou similaire, surveillance systématique, données sensibles ou hautement personnelles, collecte à grande échelle, croisement de données, personnes vulnérables (patients, personnes âgées, enfants, salariés dans certains cas), usage innovant, exclusion du bénéfice d'un droit ou d'un contrat. Un traitement qui en remplit au moins deux est présumé soumis à l'AIPD.

Le critère de l'usage innovant mérite l'attention. Dans sa fiche consacrée à l'IA, la CNIL range dans cette catégorie les systèmes reposant sur des techniques comme l'apprentissage profond, dont les risques sont encore mal compris et mal maîtrisés (CNIL, Réaliser une analyse d'impact si nécessaire, consulté le 5 novembre 2026). Pour un agent IA générative, ce critère sera donc souvent coché d'emblée : il suffit alors d'un second critère pour basculer.

Les cas qui ne demandent pas d'AIPD

L'analyse n'est pas requise quand le traitement ne présente pas de risque élevé, quand il figure sur la liste d'exceptions de la CNIL, ou quand il est très similaire à un traitement déjà analysé. Prenons une agence de communication de 15 salariés, à titre d'exemple : un agent qui rédige des propositions commerciales à partir de modèles internes, sans données personnelles sensibles et sans décision sur des personnes, ne remplit probablement pas deux critères. L'agence documentera son raisonnement dans son registre, mais n'aura pas à produire une AIPD complète.

Le cas des systèmes à haut risque de l'AI Act

Pour les systèmes classés à haut risque par le règlement européen sur l'IA, la CNIL considère que l'AIPD est présumée nécessaire dès qu'ils traitent des données personnelles, et qu'elle peut s'appuyer sur la documentation exigée par ce règlement. Le recrutement fait partie des domaines sensibles : nous avons détaillé les obligations des utilisateurs dans notre article sur l'AI Act pour les PME.

2. Qui doit faire l'AIPD, et comment s'y prendre ?

C'est l'entreprise utilisatrice qui en a la charge

Pas nécessairement l'éditeur de l'outil. La CNIL est claire : le fournisseur peut transmettre un modèle d'AIPD, mais « l'utilisateur du système d'IA, en tant que responsable de traitement, reste tenu de réaliser une AIPD ». Autrement dit, acheter un outil réputé conforme ne vous dispense pas de l'analyse de votre propre usage : ce sont vos données, vos finalités, vos salariés et vos clients.

Les trois parties d'une AIPD

Selon la CNIL, une AIPD comprend :

une description détaillée du traitement : quelles données l'agent lit, ce qu'il en fait, où elles sont traitées, qui y a accès ;
une évaluation de la nécessité et de la proportionnalité : finalité, minimisation des données, durées de conservation, information et droits des personnes ;
une étude des risques sur la sécurité des données (confidentialité, intégrité, disponibilité) et leurs effets sur la vie privée, qui débouche sur les mesures techniques et organisationnelles à prendre.

Le bon moment

L'AIPD se mène avant la mise en œuvre du traitement, le plus en amont possible, puis se revoit régulièrement. Pour un agent IA, cela veut dire avant de lui ouvrir l'accès à la messagerie ou au logiciel de paie, et à nouveau quand vous lui confiez une nouvelle mission ou changez de fournisseur de modèle.

Les outils pour la réaliser

La CNIL met à disposition un logiciel, PIA, publié sous licence libre, qui guide les responsables de traitement peu familiers de la démarche et s'installe sur un poste de travail ou sur un serveur (CNIL, outil PIA, page mise à jour le 7 avril 2026). Des plateformes de conformité payantes proposent aussi des modules d'analyse d'impact, utiles quand plusieurs traitements sont à suivre.

Ce qui se passe en cas d'oubli

Le risque n'est pas qu'administratif. Pour les manquements relatifs aux analyses d'impact, le RGPD prévoit des amendes pouvant atteindre 10 millions d'euros ou, pour une entreprise, 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu, rappelle la CNIL. Et si l'analyse révèle un risque résiduel élevé que vous ne parvenez pas à réduire, vous devez consulter la CNIL avant de lancer le traitement. Ces règles sont générales : pour un projet précis, rapprochez-vous de votre délégué à la protection des données ou d'un avocat.

3. Comment choisir un outil d'IA qui facilite l'AIPD ?

Savoir où partent les données

La description du traitement est la partie la plus difficile quand l'outil est opaque. Privilégiez une solution qui dit clairement où les données sont traitées (sur vos machines, en Europe, aux États-Unis), si elles servent à entraîner des modèles et combien de temps elles sont conservées.

Limiter ce que l'agent peut atteindre

Chaque accès en moins est un risque en moins à analyser. Un agent qui ne voit qu'un dossier dédié, qui ne peut rien envoyer sans validation et dont chaque action est journalisée se décrit et se justifie beaucoup plus facilement qu'un assistant branché sur toute la messagerie.

Garder l'humain dans la boucle

Le critère « décision automatique avec effet juridique » pèse lourd. Si l'agent prépare une présélection de candidats mais qu'un recruteur décide, ou s'il rédige une relance mais que vous la validez, vous réduisez à la fois le risque pour les personnes et la complexité de votre AIPD.

Quelles solutions existent aujourd'hui ?

Aux États-Unis

Anthropic Claude, formule Team (Anthropic, États-Unis) : assistant d'IA généraliste en cloud, pour les équipes de 2 à 150 personnes ; siège Standard à 20 dollars par mois en facturation annuelle, 25 dollars en mensuel. L'entreprise utilisatrice devra intégrer à son AIPD les conditions de traitement du fournisseur. Page tarifs, consultée le 5 novembre 2026.
OneTrust (États-Unis) : plateforme de conformité qui automatise les évaluations de risques, dont les analyses d'impact sur la vie privée (PIA, DPIA) et les évaluations de risques liés à l'IA, avec suivi des mesures correctrices. Fonctionne en cloud. Prix non communiqué sur la page produit (démonstration sur demande). Page officielle, consultée le 5 novembre 2026.

En France et en Europe

Dust (France) : plateforme d'agents IA pour les équipes, déclarée conforme au RGPD et certifiée SOC 2 Type II, hébergement au choix dans l'Union européenne ou aux États-Unis, données non utilisées pour l'entraînement et non conservées par les fournisseurs de modèles selon l'éditeur (sécurité). Formule Pro à 24 € HT par siège et par mois (tarifs), consultés le 5 novembre 2026.
Dastra (France) : plateforme de gouvernance de l'IA et de la protection des données (RGPD, AI Act, NIS2, DORA), avec registre des traitements et module d'analyse d'impact ; l'éditeur indique être hébergé, conçu et développé en France. Prix sur devis. Page officielle, consultée le 5 novembre 2026.
Outil PIA de la CNIL (France, autorité publique) : logiciel libre et gratuit pour conduire et formaliser une AIPD, sur poste de travail ou serveur. Page officielle, consultée le 5 novembre 2026.

L'offre iAgent

iAgent ne vend pas d'outil d'AIPD : c'est un éditeur français de collaborateurs IA par métier. Mais la façon dont ses agents sont conçus répond point par point aux questions qu'une AIPD oblige à se poser, d'après les informations publiées sur son site (iAgent, Sécurité et contrôle, IA locale et hybride, consultés le 5 novembre 2026) :

Où partent les données ? Trois modes au choix : local (rien ne sort pour être traité), hybride (l'application prévient avant de passer une tâche à l'API) ou cloud. Par l'API, seul ce que la tâche demande part au fournisseur d'IA, selon la FAQ.
Que peut atteindre l'agent ? Des permissions par métier, et un dossier propre à l'agent par défaut.
Qui décide ? Un clic du client est requis pour tout outil qui modifie, et aucun courriel ne part sans relecture du texte exact.
Peut-on prouver ce qui s'est passé ? Chaque appel d'outil et chaque envoi sont consignés.
Le matériel est-il protégé ? Sur la Box, disque chiffré en LUKS2 avec clé scellée à une puce TPM 2.0, mises à jour signées.

iAgent ne précise pas, sur les pages consultées, de certification (ISO 27001, SecNumCloud ou HDS) ni la localisation des serveurs des fournisseurs d'API qu'il utilise (Gemini, Anthropic, ChatGPT, Perplexity, ElevenLabs, Google AI Studio). En mode cloud ou hybride, ces fournisseurs sont donc à décrire dans votre AIPD.

Comparatif

Critère	Claude Team	OneTrust	Dust	Dastra	iAgent
Éditeur et pays	Anthropic, États-Unis	OneTrust, États-Unis	Dust, France	Dastra, France	iAgent, France
Rôle face à l'AIPD	Outil à analyser	Outil pour réaliser l'AIPD	Outil à analyser	Outil pour réaliser l'AIPD	Agents conçus pour limiter les risques
Mode de déploiement	Cloud	Cloud	Cloud (UE ou États-Unis)	Cloud, hébergé en France	Local, hybride ou cloud
Agents métiers préconfigurés	Non annoncés	Sans objet	Agents personnalisables	Sans objet	Oui, catalogue de 1 772 métiers
Hébergement des données	Non communiqué sur la page tarifs	Non communiqué	UE ou États-Unis au choix	France	Chez le client en local ; fournisseur d'API en cloud
Prix public (consulté le 5/11/2026)	20 $/siège/mois (annuel) ou 25 $ (mensuel)	Non communiqué	Pro 24 € HT/siège/mois	Sur devis	Agents 149 à 399 € HT/mois ; Box dès 69 € HT/mois
Pour quel profil de PME	Équipe qui veut un assistant généraliste	Structure avec de nombreux traitements à suivre	Équipe qui construit ses agents	PME avec un DPO ou un référent RGPD	PME qui veut des agents métiers maîtrisés

Pourquoi iAgent est la solution que nous recommandons

Le mode local réduit le périmètre de l'analyse. Quand rien ne sort pour être traité, la partie la plus délicate de l'AIPD, les transferts vers des tiers, se simplifie.
Des garde-fous écrits dans le code. Permissions par métier, validation des actions qui modifient, relecture obligatoire des courriels : autant de mesures concrètes à inscrire dans la partie « risques » de votre AIPD.
La traçabilité. La journalisation de chaque appel d'outil et de chaque envoi aide à démontrer la conformité, un principe central du RGPD.
L'humain décide. En gardant la validation sur les tâches que vous choisissez, vous évitez la décision entièrement automatisée, l'un des critères qui alourdit le plus l'analyse.
Un agent par métier, pas un assistant universel. Un agent comptable n'a pas besoin des dossiers RH : la finalité de chaque agent est plus facile à décrire.

C'est le meilleur choix pour une PME qui veut déployer des agents sur des données sensibles en gardant la main. Une entreprise qui gère des dizaines de traitements aura en complément intérêt à outiller son délégué à la protection des données.

Questions fréquentes

Une TPE de 5 salariés doit-elle faire une AIPD ?

La taille de l'entreprise n'est pas le critère : c'est le risque du traitement qui compte. Une TPE qui confie à un agent le tri automatisé de candidatures est concernée ; une TPE qui l'utilise pour rédiger des fiches produits ne l'est probablement pas.

L'AIPD doit-elle être envoyée à la CNIL ?

Non, en principe. Elle se conserve et se présente en cas de contrôle. La consultation de la CNIL n'est nécessaire que si un risque résiduel élevé subsiste malgré les mesures prévues.

Le fournisseur de l'agent peut-il faire l'AIPD à ma place ?

Il peut fournir un modèle et de la documentation, mais selon la CNIL l'utilisateur, responsable de traitement, reste tenu de la réaliser pour son propre usage.

Faut-il refaire l'AIPD si l'agent change de mission ?

Oui, si la nouvelle mission modifie les données traitées, les finalités ou les risques. L'AIPD se met à jour tout au long de la vie du traitement.

Combien de temps faut-il pour une AIPD ?

Cela dépend de la complexité du traitement. Pour un agent au périmètre limité, avec un outil comme le logiciel PIA de la CNIL et des informations claires du fournisseur, l'exercice reste à la portée d'une PME accompagnée de son référent RGPD.

En bref

AIPD obligatoire si risque élevé : liste CNIL ou deux critères sur neuf.
Le recrutement par algorithme et l'analyse des courriels des salariés figurent sur la liste de la CNIL.
L'entreprise utilisatrice en est responsable, avant la mise en service.
L'outil PIA de la CNIL est gratuit et libre.
iAgent facilite l'exercice avec le mode local, des permissions par métier et la validation humaine.

Pour aller plus loin

Sources

Photo d'illustration : AymaneJed sur Pixabay.

0 réactions

J’aime · 0

Partager surLinkedIn Facebook 𝕏X WhatsApp

Connectez-vous pour aimer ou commenter.

#questions PME#iAgent#AIPD#RGPD#CNIL#conformité