Mon entreprise n'est pas dans la santé. Suis-je quand même concerné par les « données sensibles » ?

Oui, plus souvent qu'on ne le pense. L'article 9 du RGPD vise les données de santé, mais aussi les données biométriques utilisées à des fins d'identification, l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses, l'appartenance syndicale, la vie sexuelle, l'orientation sexuelle, et les données génétiques. Une entreprise qui gère des dossiers RH (arrêts maladie, restrictions médicales), un cabinet d'avocats qui traite un dossier de discrimination, un assureur, une plateforme RH : tous traitent à un moment des données sensibles. La règle pratique : dès qu'un document mentionne directement ou indirectement la santé, l'origine ou les convictions d'une personne identifiable, vous êtes sur le terrain de l'article 9.

Faut-il faire une AIPD avant chaque usage d'IA générative ?

Non, pas avant chaque usage. L'AIPD (analyse d'impact relative à la protection des données, article 35 du RGPD) est obligatoire lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. La CNIL considère qu'un traitement est probablement à risque élevé dès qu'il combine au moins deux critères parmi neuf — par exemple, traitement de données sensibles + traitement à grande échelle + utilisation d'une technologie nouvelle. Un usage d'IA générative sur des données sensibles à grande échelle remplit ces critères. En pratique : un cabinet de 5 personnes qui utilise une IA confidentielle pour analyser ponctuellement des dossiers RH peut s'en dispenser sur le fondement d'une analyse de risque documentée. Une plateforme SaaS qui propose à ses 10 000 utilisateurs d'analyser leurs données par IA n'a pas le choix : AIPD obligatoire.

Quelle est la différence entre « confidentialité contractuelle » et « confidentialité technique » ?

La confidentialité contractuelle, c'est la promesse écrite : le DPA, l'engagement de non-réutilisation, le registre des sous-traitants. Elle vous protège a posteriori si le fournisseur viole sa parole — vous pouvez l'attaquer, demander des dommages, faire valoir une rupture. La confidentialité technique, c'est l'impossibilité physique pour le fournisseur d'accéder aux contenus, indépendamment de sa bonne volonté. Elle vous protège a priori : il ne peut pas violer un engagement qu'il est techniquement incapable d'enfreindre. Sur des données sensibles, la CNIL et l'EDPB raisonnent de plus en plus sur la combinaison des deux. Le contrat seul devient insuffisant. La technique seule, sans contrat, ne couvre pas le cadre RGPD. Les deux ensemble forment le standard exigible.

Mon DPO me demande une « base légale » pour utiliser l'IA. Que répondre ?

La base légale au sens de l'article 6 du RGPD est l'une des six justifications qui rendent un traitement licite. Pour les usages d'IA en entreprise, deux bases sont les plus fréquentes : (1) l'exécution d'un contrat avec la personne concernée — par exemple analyser le dossier d'un client pour lui rendre un service prévu au contrat ; (2) l'intérêt légitime de l'entreprise, sous réserve que cet intérêt l'emporte sur les droits et libertés des personnes concernées (test de mise en balance documenté). Le consentement reste possible mais fragile : il doit être libre, spécifique, éclairé, univoque, et révocable. Pour les données sensibles (article 9), la base légale doit être renforcée : consentement explicite, ou disposition légale spécifique, ou défense en justice, ou autres cas listés. C'est cette base légale renforcée qui rend les usages d'IA générative sur données sensibles plus difficiles à justifier sans cadre technique étanche.

Comment apporter la preuve, en cas de contrôle CNIL, qu'on a respecté le RGPD ?

La preuve s'organise sur trois niveaux, du moins fort au plus fort. Sur des données sensibles, les autorités convergent vers l'exigence du niveau 3 — preuve technique opposable. C'est exactement ce que produit notre infrastructure.

Le contrôleur (ou son expert) peut vérifier le niveau 3 contre les clés publiques du fabricant du processeur, sans dépendre du fournisseur ni de votre cabinet. C'est cette indépendance de la vérification qui fait la différence devant un régulateur.