Ce que cela vous fait gagner
Chaque nouvel outil, en particulier chaque outil d'IA, déclenche une analyse d'impact, et les DPO sont saturés : la description du traitement, la matrice des risques et la mention d'information sont refaites à chaque fois à partir d'une page blanche. Ici, vous validez la description du traitement et les niveaux de risque ; le remplissage du modèle CNIL, la matrice avec mesures, la liste des questions au fournisseur et la mention sont produits à partir de la documentation existante.
Métier : Conformité · Thème : Protection des données Temps : ◷ environ 1 h 30 de votre temps · 3–6 h de travail de l'IA, en une ou deux sessions Outil : Copilot Cowork (Microsoft 365), ChatGPT Work, Claude Cowork ou Vibe Work (Mistral) · Sources : fichiers exportés : [ ] La description du traitement ou de l'outil : finalités, personnes concernées, données traitées, flux, accès, durées envisagées (même partielle : les manques seront listés) ; [ ] Le contrat, les conditions d'utilisation et la documentation sécurité et confidentialité du fournisseur, dont la liste des sous-traitants ultérieurs et la localisation des données ; [ ] Le registre des traitements existant et la politique interne de protection des données ; [ ] Le modèle d'AIPD de la CNIL en vigueur (et, si vous l'utilisez, l'export de l'outil PIA), déposé dans le dossier ; [ ] L'accord du DPO pour conduire l'analyse et un environnement validé par la DSI
Première fois avec un mode Cowork ?
Un mode Cowork est une IA qui enchaîne elle-même les étapes d'un travail au lieu de répondre message par message. Chaque outil a le sien : la bascule « Cowork » de Claude (application de bureau ou claude.ai), l'onglet « Cowork » de Microsoft 365 Copilot (licence requise), le mode « Work » de ChatGPT (Business ou Enterprise) et le mode « Work » de Vibe. La seule chose à savoir faire : lui donner accès à vos fichiers, par un dossier ou par pièces jointes. Le pas à pas ci-dessous vous guide, outil par outil.
Les noms de menus sont donnés tels qu'ils apparaissent dans les interfaces en anglais, les plus répandues en entreprise ; dans une interface en français, ils sont traduits littéralement (New task devient Nouvelle tâche).
Ce que vous obtenez
- AIPD [traitement].docx : l'analyse d'impact complète sur le modèle de la CNIL : contexte et description du traitement, finalités, données, durées, destinataires, principes fondamentaux et mesures, risques, validation ; chaque section indique sa source ou marque [À COMPLÉTER]
- Matrice des risques.xlsx : pour chaque risque (accès illégitime, modification non désirée, disparition des données) : les sources de risque, les menaces, les impacts potentiels, la gravité et la vraisemblance estimées avec leur justification, les mesures existantes et complémentaires, le risque résiduel
- Questions au fournisseur.docx : les questions dont la réponse manque dans la documentation : sous-traitants ultérieurs, localisation, durée de conservation, chiffrement, réversibilité, usage des données pour l'entraînement de modèles, journalisation, avec la clause ou le document où la réponse devrait figurer
- Projet de mention d'information.docx : la mention destinée aux personnes concernées, en langage clair, avec toutes les rubriques obligatoires et les points à confirmer signalés
Ce qu'il vous faut avant de commencer
[ ] La description du traitement ou de l'outil : finalités, personnes concernées, données traitées, flux, accès, durées envisagées (même partielle : les manques seront listés) [ ] Le contrat, les conditions d'utilisation et la documentation sécurité et confidentialité du fournisseur, dont la liste des sous-traitants ultérieurs et la localisation des données [ ] Le registre des traitements existant et la politique interne de protection des données [ ] Le modèle d'AIPD de la CNIL en vigueur (et, si vous l'utilisez, l'export de l'outil PIA), déposé dans le dossier [ ] L'accord du DPO pour conduire l'analyse et un environnement validé par la DSI
Pas à pas
Choisissez votre outil et suivez uniquement son bloc. Les quatre font la même chose : lire vos fichiers, enchaîner les étapes du brief, s'arrêter aux points de validation, produire les livrables. Comptez une session d'une à deux heures ; les missions annoncées à plus de trois heures se découpent en deux sessions, en reprenant la conversation.
Ouvrez Microsoft 365 Copilot (application ou m365.cloud.microsoft). En haut de la barre latérale, cliquez sur l'onglet « Cowork » (à côté de « Chat »), puis sur « New task ». Sous la zone « Start a task... », laissez le modèle sur « Auto » et l'effort sur « Medium » (curseur « Faster / Smarter » : un cran plus haut pour une mission longue, plus lent et plus de crédits).
Déposez d'abord [ ] La description du traitement ou de l'outil : finalités, personnes concernées, données traitées, flux, accès, durées envisagées (même partielle : les manques seront listés) ;
[ ]Le contrat, les conditions d'utilisation et la documentation sécurité et confidentialité du fournisseur, dont la liste des sous-traitants ultérieurs et la localisation des données ;[ ]Le registre des traitements existant et la politique interne de protection des données ;[ ]Le modèle d'AIPD de la CNIL en vigueur (et, si vous l'utilisez, l'export de l'outil PIA), déposé dans le dossier ;[ ]L'accord du DPO pour conduire l'analyse et un environnement validé par la DSI dans un dossier OneDrive ou SharePoint auquel vous avez accès. Dans la zone de tâche, cliquez sur « + » › « Attach cloud files and folders » (OneDrive, SharePoint, Teams) et sélectionnez ce dossier. Pour des fichiers locaux : « + » › « Upload images and files » (moins de 200 Mo par fichier). Pour ajouter des mails, des personnes ou des réunions : « + » › « Add work context ».Copiez le bloc « Le texte à copier-coller » avec le bouton « Copier », collez-le dans « Start a task... », remplacez les 3 champs
[traitement],[nom du dossier],[fournisseur], puis envoyez.Copilot s'arrête dès l'étape DESCRIPTION et vous demande de compléter ou confirmer les éléments manquants de la description du traitement (finalités, données, durées, destinataires, flux) avant d'évaluer les risques. Copilot affiche sa progression dans le panneau « Details » › « Steps » et demande votre accord avant toute action sensible (« Approve », ou « Approve & don't ask again » pour ne plus être sollicité sur la même action) ; répondez-lui dans la conversation, il reprend seul la suite. Vous pouvez mettre la tâche en pause et la reprendre plus tard. Copilot affiche sa progression dans le panneau « Details » › « Steps » et demande votre accord avant toute action sensible (« Approve », ou « Approve & don't ask again » pour ne plus être sollicité sur la même action) ; répondez-lui dans la conversation, il reprend seul la suite. Vous pouvez mettre la tâche en pause et la reprendre plus tard.
À la fin, AIPD
[traitement], Matrice des risques, Questions au fournisseur, Projet de mention d'information sont dans « Details » › « Output » : téléchargez-les un par un ou avec « Download All », puis rangez-les dans votre dossier OneDrive ou SharePoint (sous-dossier « AIPD [traitement] »). Relisez-les avant toute diffusion.
3–6 h · 3–6 h de travail de l’IA, en une ou deux sessions
Ouvrez ChatGPT avec votre compte professionnel. En haut de l'écran, cliquez sur « Work » dans la bascule Chat | Work, puis sur « New chat » : la page affiche « What should we work on? » et la zone « Work on anything ».
Cliquez sur « + » › « Add photos & files » (ou sur le chip « Files » sous la zone) pour joindre [ ] La description du traitement ou de l'outil : finalités, personnes concernées, données traitées, flux, accès, durées envisagées (même partielle : les manques seront listés) ;
[ ]Le contrat, les conditions d'utilisation et la documentation sécurité et confidentialité du fournisseur, dont la liste des sous-traitants ultérieurs et la localisation des données ;[ ]Le registre des traitements existant et la politique interne de protection des données ;[ ]Le modèle d'AIPD de la CNIL en vigueur (et, si vous l'utilisez, l'export de l'outil PIA), déposé dans le dossier ;[ ]L'accord du DPO pour conduire l'analyse et un environnement validé par la DSI (jusqu'à 20 fichiers par message). Si ces fichiers sont dans SharePoint, OneDrive ou Google Drive : barre latérale › « Plugins », connectez l'application, puis activez-la avec le chip « Plugins » sous la zone. Pour retrouver fichiers et consignes d'une fois sur l'autre, rattachez la conversation à un projet avec le chip « Project » (un projet partagé désactive le mode Work : gardez-le personnel).Copiez le bloc « Le texte à copier-coller » avec le bouton « Copier », collez-le dans « Work on anything », remplacez les 3 champs
[traitement],[nom du dossier],[fournisseur], puis envoyez avec la flèche. Le sélecteur en bas à droite (« GPT-5.6 Sol Light » par défaut) ouvre un curseur « Power » : laissez-le tel quel, ou montez d'un cran pour une mission longue.ChatGPT s'arrête dès l'étape DESCRIPTION et vous demande de compléter ou confirmer les éléments manquants de la description du traitement (finalités, données, durées, destinataires, flux) avant d'évaluer les risques. ChatGPT demande confirmation avant toute action d'écriture dans une application connectée (envoi, suppression, déplacement) ; répondez-lui dans la conversation, il reprend seul la suite et affiche sa progression étape par étape. Vous pouvez le laisser travailler et revenir plus tard dans la même conversation. ChatGPT demande confirmation avant toute action d'écriture dans une application connectée (envoi, suppression, déplacement) ; répondez-lui dans la conversation, il reprend seul la suite et affiche sa progression étape par étape. Vous pouvez le laisser travailler et revenir plus tard dans la même conversation.
À la fin, AIPD
[traitement], Matrice des risques, Questions au fournisseur, Projet de mention d'information apparaissent dans la conversation avec un lien de téléchargement et sont rangés dans « Library » : téléchargez-les et rangez-les dans votre dossier (sous-dossier « AIPD [traitement] »), puis relisez-les avant toute diffusion.
3–6 h · 3–6 h de travail de l’IA, en une ou deux sessions
Ouvrez Claude. En haut de la barre latérale, restez sur « Chat and Cowork » et cliquez sur « New ». Dans la zone de saisie, cliquez sur « Cowork » dans la bascule Chat | Cowork : la page devient « New task » et la zone affiche « Type / for skills ».
Sur l'application de bureau : cliquez sur « + » › « Add folder » et choisissez le dossier qui contient
[ ]La description du traitement ou de l'outil : finalités, personnes concernées, données traitées, flux, accès, durées envisagées (même partielle : les manques seront listés) ;[ ]Le contrat, les conditions d'utilisation et la documentation sécurité et confidentialité du fournisseur, dont la liste des sous-traitants ultérieurs et la localisation des données ;[ ]Le registre des traitements existant et la politique interne de protection des données ;[ ]Le modèle d'AIPD de la CNIL en vigueur (et, si vous l'utilisez, l'export de l'outil PIA), déposé dans le dossier ;[ ]L'accord du DPO pour conduire l'analyse et un environnement validé par la DSI ; c'est aussi là que Claude écrira les livrables. Sur claude.ai : « + » › « Devices » pour utiliser un dossier de l'ordinateur relié (l'application de bureau doit rester ouverte), ou « + » › « Add files or photos » pour joindre les fichiers ; les livrables sont alors proposés en téléchargement.Copiez le bloc « Le texte à copier-coller » avec le bouton « Copier », collez-le dans la zone « Type / for skills », remplacez les 3 champs
[traitement],[nom du dossier],[fournisseur], puis validez avec Entrée. Le sélecteur de modèle et d'effort (par exemple « Opus 5 High ») peut rester tel quel. Sous la zone, le bouton « Manual » (« Manually approve ») fait que Claude demande votre accord avant chaque action : gardez-le pour une première mission.Claude s'arrête dès l'étape DESCRIPTION et vous demande de compléter ou confirmer les éléments manquants de la description du traitement (finalités, données, durées, destinataires, flux) avant d'évaluer les risques. Répondez-lui dans la conversation ; il reprend seul la suite. Acceptez au passage les demandes d'autorisation de lecture ou d'écriture qu'il affiche. La tâche reste visible dans la colonne « Active » à droite et dans « Chats and tasks » avec une pastille non lue.
À la fin, ouvrez votre dossier : AIPD
[traitement], Matrice des risques, Questions au fournisseur, Projet de mention d'information sont dans le sous-dossier « AIPD [traitement] » créé dans votre dossier. Sur claude.ai sans dossier relié, téléchargez-les depuis la conversation. Relisez-les avant toute diffusion.
3–6 h · 3–6 h de travail de l’IA, en une ou deux sessions
Ouvrez Vibe (chat.mistral.ai). En haut de la barre latérale, cliquez sur « Work » dans la bascule Chat | Work | Code, puis sur « New Chat » : la page vous demande ce qu'il y a à faire (« what needs doing? ») et affiche la zone « Type / for quick access ».
Cliquez sur « + » à gauche de la zone, puis « Upload Files » pour joindre
[ ]La description du traitement ou de l'outil : finalités, personnes concernées, données traitées, flux, accès, durées envisagées (même partielle : les manques seront listés) ;[ ]Le contrat, les conditions d'utilisation et la documentation sécurité et confidentialité du fournisseur, dont la liste des sous-traitants ultérieurs et la localisation des données ;[ ]Le registre des traitements existant et la politique interne de protection des données ;[ ]Le modèle d'AIPD de la CNIL en vigueur (et, si vous l'utilisez, l'export de l'outil PIA), déposé dans le dossier ;[ ]L'accord du DPO pour conduire l'analyse et un environnement validé par la DSI (plusieurs fichiers ou un dossier entier). Si ces fichiers sont dans une application (SharePoint, Google Drive, Slack…) : « Context » › « Connectors » › « Add connector » › « Marketplace » › « Connect ». Pour réutiliser votre trame d'une fois sur l'autre, rangez-la dans une bibliothèque (« + » › « Libraries ») ; pour vos règles, créez une skill (« + » › « Skills »).Copiez le bloc « Le texte à copier-coller » avec le bouton « Copier », collez-le dans la zone de saisie, remplacez les 3 champs
[traitement],[nom du dossier],[fournisseur], puis envoyez. « Fast » convient ; choisissez « Think » pour une mission longue.Vibe s'arrête dès l'étape DESCRIPTION et vous demande de compléter ou confirmer les éléments manquants de la description du traitement (finalités, données, durées, destinataires, flux) avant d'évaluer les risques. Vibe affiche la liste de ses étapes (« todos ») à droite et demande votre approbation avant toute action sensible : « Continue » (cette fois), « Always allow » ou « Decline » ; répondez-lui dans la conversation, il reprend seul la suite. Le carré noir arrête la tâche. Vibe affiche la liste de ses étapes (« todos ») à droite et demande votre approbation avant toute action sensible : « Continue » (cette fois), « Always allow » ou « Decline » ; répondez-lui dans la conversation, il reprend seul la suite. Le carré noir arrête la tâche.
À la fin, AIPD
[traitement], Matrice des risques, Questions au fournisseur, Projet de mention d'information sont proposés en téléchargement ou ouverts dans le Canvas. Si un fichier n'arrive pas au format attendu, demandez « exporte-le en .docx » (ou .xlsx, .pptx) ou copiez le contenu depuis le Canvas ; rangez-les dans votre dossier (sous-dossier « AIPD [traitement] »), puis relisez-les avant toute diffusion. Traitez les sorties comme des brouillons : vérifiez chiffres, dates, noms et références.
3–6 h · 3–6 h de travail de l’IA, en une ou deux sessions
Ouvrez Microsoft 365 Copilot (application ou m365.cloud.microsoft). En haut de la barre latérale, cliquez sur l'onglet « Cowork » (à côté de « Chat »), puis sur « New task ». Sous la zone « Start a task... », laissez le modèle sur « Auto » et l'effort sur « Medium » (curseur « Faster / Smarter » : un cran plus haut pour une mission longue, plus lent et plus de crédits).
Déposez d'abord [ ] La description du traitement ou de l'outil : finalités, personnes concernées, données traitées, flux, accès, durées envisagées (même partielle : les manques seront listés) ;
[ ]Le contrat, les conditions d'utilisation et la documentation sécurité et confidentialité du fournisseur, dont la liste des sous-traitants ultérieurs et la localisation des données ;[ ]Le registre des traitements existant et la politique interne de protection des données ;[ ]Le modèle d'AIPD de la CNIL en vigueur (et, si vous l'utilisez, l'export de l'outil PIA), déposé dans le dossier ;[ ]L'accord du DPO pour conduire l'analyse et un environnement validé par la DSI dans un dossier OneDrive ou SharePoint auquel vous avez accès. Dans la zone de tâche, cliquez sur « + » › « Attach cloud files and folders » (OneDrive, SharePoint, Teams) et sélectionnez ce dossier. Pour des fichiers locaux : « + » › « Upload images and files » (moins de 200 Mo par fichier). Pour ajouter des mails, des personnes ou des réunions : « + » › « Add work context ».Copiez le bloc « Le texte à copier-coller » avec le bouton « Copier », collez-le dans « Start a task... », remplacez les 3 champs
[traitement],[nom du dossier],[fournisseur], puis envoyez.Copilot s'arrête dès l'étape DESCRIPTION et vous demande de compléter ou confirmer les éléments manquants de la description du traitement (finalités, données, durées, destinataires, flux) avant d'évaluer les risques. Copilot affiche sa progression dans le panneau « Details » › « Steps » et demande votre accord avant toute action sensible (« Approve », ou « Approve & don't ask again » pour ne plus être sollicité sur la même action) ; répondez-lui dans la conversation, il reprend seul la suite. Vous pouvez mettre la tâche en pause et la reprendre plus tard. Copilot affiche sa progression dans le panneau « Details » › « Steps » et demande votre accord avant toute action sensible (« Approve », ou « Approve & don't ask again » pour ne plus être sollicité sur la même action) ; répondez-lui dans la conversation, il reprend seul la suite. Vous pouvez mettre la tâche en pause et la reprendre plus tard.
À la fin, AIPD
[traitement], Matrice des risques, Questions au fournisseur, Projet de mention d'information sont dans « Details » › « Output » : téléchargez-les un par un ou avec « Download All », puis rangez-les dans votre dossier OneDrive ou SharePoint (sous-dossier « AIPD [traitement] »). Relisez-les avant toute diffusion.
3–6 h · 3–6 h de travail de l’IA, en une ou deux sessions
Chemins vérifiés le 5 septembre 2026 dans Microsoft 365 Copilot, ChatGPT Business, Claude et Vibe (Mistral).
À personnaliser avant d'envoyer
`[traitement]` : le traitement ou l'outil analysé, par exemple « assistant IA de synthèse des entretiens de recrutement » `[nom du dossier]` : le dossier qui contient la description, la documentation du fournisseur, le registre et le modèle CNIL `[fournisseur]` : le nom du fournisseur ou de l'éditeur, par exemple « éditeur X, contrat du 12 janvier 2027 »
Le texte à copier-coller
MISSION Conduis l'analyse d'impact relative à la protection des données du traitement [traitement], fourni par [fournisseur], à partir du dossier [nom du dossier], qui contient : la description du traitement, le contrat et la documentation du fournisseur, le registre des traitements, le modèle d'AIPD de la CNIL et la politique interne de protection des données. ÉTAPES 1. DESCRIPTION : remplis la partie descriptive du modèle CNIL (contexte, finalités, données, personnes concernées, durées, destinataires, flux, sous-traitants, localisation) à partir des documents. Marque [À COMPLÉTER] chaque élément absent et arrête-toi : demande-moi de compléter ou confirmer avant d'évaluer les risques. 2. PRINCIPES : pour chaque principe (finalité, minimisation, exactitude, durées, information, droits des personnes, sous-traitance, transferts), indique ce que les documents montrent, les mesures existantes et les écarts. 3. RISQUES : pour chaque risque du modèle (accès illégitime, modification non désirée, disparition), identifie les sources de risque et les menaces propres à ce traitement, les impacts potentiels pour les personnes, puis estime gravité et vraisemblance en justifiant chaque estimation par un élément du dossier. Liste les mesures existantes, propose les mesures complémentaires et le risque résiduel attendu. 4. FOURNISSEUR : liste chaque question sans réponse dans la documentation (sous-traitants ultérieurs, localisation, durée, chiffrement, réversibilité, réutilisation des données pour l'entraînement de modèles, journalisation, notification de violation) et indique où la réponse devrait figurer. 5. MENTION : rédige le projet de mention d'information aux personnes concernées, en langage clair, avec toutes les rubriques exigées, les points à confirmer signalés. 6. PRODUCTION : crée un sous-dossier "AIPD [traitement]" avec "AIPD [traitement].docx", "Matrice des risques.xlsx", "Questions au fournisseur.docx" et "Projet de mention d'information.docx". 7. SYNTHÈSE : termine par les 3 risques les plus élevés, les mesures qui conditionnent la mise en service et les questions à poser au fournisseur avant signature. RÈGLES - Suis le modèle CNIL déposé dans le dossier ; n'invente aucune rubrique et ne conclus jamais sur l'acceptabilité du traitement : c'est au DPO et au responsable de traitement de le faire. - Chaque estimation de gravité ou de vraisemblance cite l'élément qui la fonde ; sans élément, écris "à estimer". - Cite les clauses du contrat par leur numéro quand tu t'en sers. - Ne modifie aucun document source.