L’essentiel
Métier : Conformité · Thème : Conformité et données personnelles
Livrables : AIPD [traitement].docx, Matrice des risques.xlsx, Questions au fournisseur.docx, Projet de mention d'information.docx
Votre temps : environ 2 h · Travail de l’IA : 3–6 h
Outils : Copilot Cowork (Microsoft 365), ChatGPT Work, Claude Cowork ou Vibe Work (Mistral)
Ce que vous obtenez
- AIPD [traitement].docx : l'analyse d'impact complète sur le modèle de la CNIL : contexte et description du traitement, finalités, données, durées, destinataires, principes fondamentaux et mesures, risques, validation ; chaque section indique sa source ou marque [À COMPLÉTER]
- Matrice des risques.xlsx : pour chaque risque (accès illégitime, modification non désirée, disparition des données) : les sources de risque, les menaces, les impacts potentiels, la gravité et la vraisemblance estimées avec leur justification, les mesures existantes et complémentaires, le risque résiduel
- Questions au fournisseur.docx : les questions dont la réponse manque dans la documentation : sous-traitants ultérieurs, localisation, durée de conservation, chiffrement, réversibilité, usage des données pour l'entraînement de modèles, journalisation, avec la clause ou le document où la réponse devrait figurer
- Projet de mention d'information.docx : la mention destinée aux personnes concernées, en langage clair, avec toutes les rubriques obligatoires et les points à confirmer signalés
Ce qu'il vous faut avant de commencer
- Un compte IA payant donnant accès au mode Cowork : licence Microsoft 365 Copilot avec Copilot Cowork activé par l'administrateur, ChatGPT Business ou Enterprise (Plus et Pro en usage personnel), Claude Pro, Max, Team ou Enterprise, ou Vibe (Team ou Enterprise conseillé).
- La description du traitement ou de l'outil : finalités, personnes concernées, données traitées, flux, accès, durées envisagées (même partielle : les manques seront listés)
- Le contrat, les conditions d'utilisation et la documentation sécurité et confidentialité du fournisseur, dont la liste des sous-traitants ultérieurs et la localisation des données
- Le registre des traitements existant et la politique interne de protection des données
- Le modèle d'AIPD de la CNIL en vigueur (et, si vous l'utilisez, l'export de l'outil PIA), déposé dans le dossier
- L'accord du DPO pour conduire l'analyse et un environnement validé par la DSI
Pas à pas
Ouvrez le mode Cowork de votre outil, démarrez une nouvelle tâche et donnez-lui accès à Un compte IA payant donnant accès au mode Cowork : licence Microsoft 365 Copilot avec Copilot Cowork activé par l'administrateur, ChatGPT Business ou Enterprise (Plus et Pro en usage personnel), Claude Pro, Max, Team ou Enterprise, ou Vibe (Team ou Enterprise conseillé) ; La description du traitement ou de l'outil : finalités, personnes concernées, données traitées, flux, accès, durées envisagées (même partielle : les manques seront listés) ; Le contrat, les conditions d'utilisation et la documentation sécurité et confidentialité du fournisseur, dont la liste des sous-traitants ultérieurs et la localisation des données ; Le registre des traitements existant et la politique interne de protection des données ; Le modèle d'AIPD de la CNIL en vigueur (et, si vous l'utilisez, l'export de l'outil PIA), déposé dans le dossier ; L'accord du DPO pour conduire l'analyse et un environnement validé par la DSI, par un dossier ou en pièces jointes.
Copiez le bloc « Le texte à copier-coller », collez-le dans la zone de tâche, remplacez les 3 champs [traitement], [nom du dossier], [fournisseur], puis envoyez.
L'outil s'arrête une fois : au STOP 1, les éléments manquants de la description du traitement (finalités, données, durées, destinataires, flux) à compléter ou confirmer avant d'évaluer les risques. Répondez-lui dans la conversation : il reprend seul la suite.
À la fin, récupérez AIPD [traitement].docx, Matrice des risques.xlsx, Questions au fournisseur.docx, Projet de mention d'information.docx dans le sous-dossier « AIPD [traitement] » créé dans votre dossier, puis relisez-les avant toute diffusion.
Temps : environ 2 h de votre temps, 3–6 h de travail de l’IA, en une ou deux sessions.
Où cliquer dans Copilot Cowork, ChatGPT Work, Claude Cowork et Vibe Work, limites de volume et reprise d’une mission : guide Lancer une mission Cowork
À personnaliser avant d'envoyer
- [traitement] : le traitement ou l'outil analysé, par exemple « assistant IA de synthèse des entretiens de recrutement »
- [nom du dossier] : le dossier qui contient la description, la documentation du fournisseur, le registre et le modèle CNIL
- [fournisseur] : le nom du fournisseur ou de l'éditeur, par exemple « éditeur X, contrat du 12 janvier 2027 »
Le texte à copier-coller
MISSION Conduis l'analyse d'impact relative à la protection des données du traitement [traitement], fourni par [fournisseur], à partir du dossier [nom du dossier], qui contient : la description du traitement, le contrat et la documentation du fournisseur, le registre des traitements, le modèle d'AIPD de la CNIL et la politique interne de protection des données. ÉTAPES 1. DESCRIPTION : remplis la partie descriptive du modèle CNIL (contexte, finalités, données, personnes concernées, durées, destinataires, flux, sous-traitants, localisation) à partir des documents. Marque [À COMPLÉTER] chaque élément absent et STOP 1 : demande-moi de compléter ou confirmer avant d'évaluer les risques. 2. PRINCIPES : pour chaque principe (finalité, base légale, minimisation, exactitude, durées, information, droits des personnes, sous-traitance, transferts), indique ce que les documents montrent, les mesures existantes et les écarts. 3. RISQUES : pour chaque risque du modèle (accès illégitime, modification non désirée, disparition), identifie les sources de risque et les menaces propres à ce traitement, les impacts potentiels pour les personnes, puis estime gravité et vraisemblance en justifiant chaque estimation par un élément du dossier. Liste les mesures existantes, propose les mesures complémentaires et le risque résiduel attendu. 4. FOURNISSEUR : liste chaque question sans réponse dans la documentation (sous-traitants ultérieurs, localisation, durée, chiffrement, réversibilité, réutilisation des données pour l'entraînement de modèles, journalisation, notification de violation) et indique où la réponse devrait figurer. 5. MENTION : rédige le projet de mention d'information aux personnes concernées, en langage clair, avec toutes les rubriques exigées, les points à confirmer signalés. 6. PRODUCTION : crée un sous-dossier "AIPD [traitement]" avec "AIPD [traitement].docx", "Matrice des risques.xlsx", "Questions au fournisseur.docx" et "Projet de mention d'information.docx". 7. SYNTHÈSE : termine par les 3 risques les plus élevés, les mesures qui conditionnent la mise en service et les questions à poser au fournisseur avant signature. RÈGLES - Suis le modèle CNIL déposé dans le dossier ; n'invente aucune rubrique et ne conclus jamais sur l'acceptabilité du traitement : c'est au DPO et au responsable de traitement de le faire. - Chaque estimation de gravité ou de vraisemblance cite l'élément qui la fonde ; sans élément, écris "à estimer". - Cite les clauses du contrat par leur numéro quand tu t'en sers. - Ne modifie aucun document source. - Les questions au fournisseur et le projet de mention restent des brouillons : rien n'est envoyé ni publié avant la validation du DPO.
Quand l’utiliser, quand s’en passer
Ce que vous y gagnez : Chaque nouvel outil, en particulier chaque outil d'IA, déclenche une analyse d'impact, et les DPO sont saturés : la description du traitement, la matrice des risques et la mention d'information sont refaites à chaque fois à partir d'une page blanche. Ici, vous validez la description du traitement et les niveaux de risque ; le remplissage du modèle CNIL, la matrice avec mesures, la liste des questions au fournisseur et la mention sont produits à partir de la documentation existante.
À utiliser
- Avant de signer avec un fournisseur d'outil (SaaS, IA, RH) dont le traitement remplit les critères d'une AIPD obligatoire.
- Quand le DPO reçoit une documentation fournisseur volumineuse et doit repérer rapidement les réponses qui manquent.
- Pour remettre à jour une AIPD ancienne après un changement de fournisseur, de finalité ou de localisation des données.
À éviter
- Pour vérifier un seul message ou une page au regard du RGPD : utilisez le prompt « Contrôler une communication au regard du RGPD ».
- Si vous attendez de l'outil qu'il conclue sur l'acceptabilité du traitement : cette conclusion appartient au DPO et au responsable de traitement.
- Si vous ne pouvez déposer que des données personnelles réelles pour décrire le traitement : la description fonctionnelle suffit, sans fichier nominatif.
Erreurs fréquentes et comment les corriger
Les estimations de gravité et de vraisemblance ne citent aucun élément du dossier.
Relance à envoyer :
Pour chaque risque de la matrice, cite l'élément du dossier qui fonde la gravité et la vraisemblance ; quand il n'y en a pas, remplace l'estimation par « à estimer ».
Les questions au fournisseur oublient la réutilisation des données pour l'entraînement de modèles ou les sous-traitants ultérieurs.
Relance à envoyer :
Reprends la liste des questions au fournisseur et vérifie chaque point de l'étape 4, dont l'entraînement de modèles et les sous-traitants ultérieurs, avec la clause où la réponse devrait figurer.
Le projet de mention d'information omet une rubrique obligatoire, comme la durée de conservation ou le droit d'introduire une réclamation auprès de la CNIL.
Relance à envoyer :
Contrôle le projet de mention rubrique par rubrique au regard des articles 13 et 14 du RGPD et ajoute chaque rubrique manquante, signalée « à confirmer » si le dossier ne la renseigne pas.
Questions fréquentes
Quand une AIPD est-elle obligatoire ?
L'article 35 du RGPD impose une AIPD lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. La CNIL publie une liste des types d'opérations concernées, et les lignes directrices européennes retiennent neuf critères : un traitement qui en remplit au moins deux doit en principe faire l'objet d'une analyse.
Quelles sont les étapes d'une analyse d'impact sur la protection des données ?
La méthode de la CNIL suit quatre temps : décrire le contexte du traitement, vérifier le respect des principes fondamentaux (finalité, minimisation, durées, droits des personnes), apprécier les risques d'accès illégitime, de modification non désirée et de disparition des données, puis valider le plan d'action et documenter la décision.
Qui valide une AIPD ?
Le responsable de traitement porte l'AIPD et décide de mettre en œuvre le traitement. Il doit demander conseil au DPO lorsqu'il en a désigné un. Si le risque résiduel reste élevé malgré les mesures, la CNIL doit être consultée avant la mise en œuvre, conformément à l'article 36 du RGPD.