Le logiciel PIA de la CNIL suffit-il pour une analyse d’impact ?
Pour qui : Vous êtes référent ou délégué, vous devez mener seul une analyse d’impact (l’étude préalable des risques d’un traitement) et vous hésitez à payer un module pour cela.
Oui, si vous travaillez seul sur quelques analyses et si vous sauvegardez vous-même. Le logiciel est gratuit, sous licence libre, et fonctionne sur Windows, Linux et Mac. Il ne dit pas si une analyse est obligatoire pour votre traitement : ce point se tranche avant, et un outil payant ne vous en dispensera pas.
La vraie limite tient au stockage. La CNIL indique que la version portable range ses données dans un dossier local du profil utilisateur. Si ce dossier disparaît, vos analyses disparaissent avec lui.
Notre avis
Oui pour une personne qui mène quelques analyses. La condition porte sur la sauvegarde : en version portable, vos analyses vivent dans un dossier de votre poste, et cette copie dépend de vous.
Pourquoi
- Le logiciel suit pas à pas la méthode de la CNIL, avec une base de connaissances et un rapport final.
- Il est maintenu : version 4.1.0 du 2 avril 2026, dépôt actif en octobre 2026.
- Ce qu’un éditeur comme Adequacy annonce en plus pour son module, le travail à plusieurs ou le lien avec le registre, ne sert pas à une analyse menée seul.
Ce qui change le choix
Plusieurs relecteurs sur plusieurs analyses par an, ou une analyse que vous ne pouvez pas reprendre si votre poste tombe en panne.
L’ordre à suivre
- Une personne, quelques analyses : logiciel PIA en version portable.
- Plusieurs contributeurs : voir l’arbitrage entre serveur et module payant.
- Installation impossible sur le poste : modèle du Comité européen.
Quatre gestes pour ne pas perdre une analyse
La CNIL ne décrit pas de sauvegarde automatique sur la page lue. Voici notre méthode, à adapter à vos sauvegardes existantes.
- Vérifiez que le dossier local entre dans la sauvegarde de votre poste. Windows : dossier PIA dans AppData\Roaming. Mac : Library/Application Support/PIA. Linux : dossier de configuration de l’utilisateur.
- Exportez chaque analyse en JSON à chaque étape validée. Rangez le fichier avec le dossier de l’analyse, hors du poste.
- Gardez aussi le rapport lisible. Le résultat de l’export PDF varie selon l’environnement, d’après la CNIL. En cas de problème, elle conseille l’export au format texte.
- Sauvegardez avant toute mise à jour. La version portable propose les mises à jour et vous pouvez les refuser le temps de faire la copie.
Maintenu, avec un rythme irrégulier
La CNIL annonce une nouvelle version tous les 4 à 6 mois. La liste des versions dit autre chose : 31 mois séparent la 3.2.2 du 30 août 2023 et la 4.1.0 du 2 avril 2026. Le dépôt n’est pas archivé et son dernier commit lu date du 12 octobre 2026, avec surtout des montées de dépendances.
N’en concluez pas à un abandon. Ne comptez pas non plus sur une évolution rapide pour combler un manque : choisissez l’outil pour ce qu’il fait aujourd’hui.
Ce qui vous manquera, et quand cela compte
L’article 35 prévoit, si nécessaire, un examen pour vérifier que le traitement suit l’analyse, au moins quand le risque change. Ces repères sont les nôtres : aucun texte ne fixe un nombre d’analyses à partir duquel un logiciel devient nécessaire.
| Limite lue | Sans importance si | Signal qui change l’avis |
|---|---|---|
| Données sur un seul poste | Une seule personne écrit, et le dossier est sauvegardé | Un collègue doit modifier l’analyse |
| Aucun lien avec un registre trouvé dans ce que nous avons lu | Quelques analyses, reprises à la main dans le registre | Une modification de fiche oubliée dans une analyse |
| Aucun rappel de réexamen trouvé dans ce que nous avons lu | Vous notez la date de réexamen dans votre registre | Plusieurs analyses à réexaminer sans vue d’ensemble |
Si votre poste bloque l’installation
La CNIL signale qu’un logiciel tiers peut bloquer la version portable et renvoie alors vers le service informatique. Demandez d’abord l’autorisation. Si la réponse est non, le modèle du Comité européen ne demande aucune installation.
Limites de cette page
Aucune analyse n’a été menée dans le logiciel : ces limites viennent de la documentation et du dépôt. Le temps de prise en main reste inconnu. Pour le savoir, menez un traitement réel de bout en bout.
Prochaine action
Installez la dernière version, menez une analyse sur un traitement réel, puis exportez-la en JSON et rouvrez-la depuis cette copie. Si un collègue doit y écrire, lisez l’arbitrage à plusieurs avant d’aller plus loin.
Preuves et sources
Lu le 5 novembre 2026 : la page CNIL de l’outil PIA, datée du 7 avril 2026, avec sa foire aux questions ; la liste des versions du dépôt et ses derniers commits ; un article de blog d’Adequacy sur son propre module d’analyse d’impact. Le logiciel n’a pas été installé.
Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode
Déclaration de l’éditeur. La CNIL présente le logiciel PIA comme un outil open source, disponible en version logicielle pour Windows, Linux et Mac, qui déroule sa méthode d’analyse d’impact avec une base de connaissances.
Portée : Page CNIL datée du 7 avril 2026.
Réserve : Logiciel non essayé.
- CNIL : Outil PIA : téléchargez et installez le logiciel de la CNIL | CNIL Page datée du 7 avril 2026. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon la CNIL, les données de la version portable sont stockées dans un dossier du profil utilisateur, propre au système d’exploitation.
Portée : Foire aux questions de la page CNIL.
Réserve : Emplacements cités par la CNIL, non vérifiés sur un poste.
- CNIL : Outil PIA : téléchargez et installez le logiciel de la CNIL | CNIL Page datée du 7 avril 2026. Lu le 5 novembre 2026. Document d’origine.
Notre calcul ou déduction. La sauvegarde de la version portable est à la charge de l’utilisateur, puisque ses données restent dans un dossier local et que la page lue ne décrit aucune sauvegarde automatique.
Portée : Version portable.
Réserve : Déduction d’une lecture, sans essai du logiciel.
- CNIL : Outil PIA : téléchargez et installez le logiciel de la CNIL | CNIL Page datée du 7 avril 2026. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. La CNIL écrit que les exports PDF peuvent grandement varier d’un environnement à un autre et conseille en cas de problème l’export au format texte ; elle mentionne aussi l’import et l’export d’analyses en JSON.
Portée : Rubrique des bugs connus.
Réserve : Formats non essayés.
- CNIL : Outil PIA : téléchargez et installez le logiciel de la CNIL | CNIL Page datée du 7 avril 2026. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon la CNIL, la version locale vérifie si une nouvelle version existe et l’utilisateur peut accepter ou refuser la mise à jour, la version web se mettant à jour manuellement.
Portée : Foire aux questions.
Réserve : Comportement non essayé.
- CNIL : Outil PIA : téléchargez et installez le logiciel de la CNIL | CNIL Page datée du 7 avril 2026. Lu le 5 novembre 2026. Document d’origine.
Fait lu. Trente et un mois séparent les versions 3.2.2 du 30 août 2023 et 4.1.0 du 2 avril 2026 du logiciel PIA, alors que la CNIL annonce une version tous les 4 à 6 mois.
Portée : Liste des versions du dépôt LINCnil/pia.
Réserve : Les corrections hors version publiée ne sont pas comptées.
- CNIL : Outil PIA : téléchargez et installez le logiciel de la CNIL | CNIL Page datée du 7 avril 2026. Lu le 5 novembre 2026. Document d’origine.
- CNIL (LINC), dépôt GitHub LINCnil : Releases · LINCnil/pia · GitHub date non trouvée sur les pages lues le 5 novembre 2026. Lu le 5 novembre 2026. Document d’origine.
- CNIL (LINC), dépôt GitHub LINCnil : Réponse JSON API GitHub : releases de LINCnil/pia v4.1.0, 2 avril 2026. Lu le 5 novembre 2026. Document d’origine.
Fait lu. Le dépôt du logiciel PIA n’est pas archivé ; son dernier commit lu date du 12 octobre 2026, et les derniers commits lus sont surtout des montées de dépendances.
Portée : Réponses de l’API GitHub.
Réserve : Ne dit rien de la feuille de route.
- CNIL (LINC), dépôt GitHub LINCnil : Réponse JSON API GitHub : dépôt LINCnil/pia pushed_at 4 novembre 2026. Lu le 5 novembre 2026. Document d’origine.
- CNIL (LINC), dépôt GitHub LINCnil : Réponse JSON API GitHub : commits de LINCnil/pia Dernier commit lu : 12 octobre 2026. Lu le 5 novembre 2026. Document d’origine.
Fait lu. Si nécessaire, le responsable du traitement examine si le traitement est effectué conformément à l’analyse d’impact, au moins quand le risque présenté par les opérations de traitement change.
Portée : Article 35, paragraphe 11, texte publié par la CNIL.
Réserve : Numéro de paragraphe rétabli d’après l’ordre du texte.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Déclaration de l’éditeur. Selon la CNIL, un logiciel tiers peut bloquer la version portable, et il faut alors contacter le service informatique ou se référer à la documentation de ce logiciel.
Portée : Foire aux questions.
Réserve : Cas de votre poste non évalué.
- CNIL : Outil PIA : téléchargez et installez le logiciel de la CNIL | CNIL Page datée du 7 avril 2026. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. L’éditeur Adequacy annonce pour son module d’analyse d’impact un travail collaboratif et une synchronisation avec le registre.
Portée : Article de blog de l’éditeur, cité comme exemple de promesse.
Réserve : Module non essayé. L’exemple ne vaut pas pour tous les éditeurs.
- Infhotep (Adequacy) : Benchmark logiciel RGPD et AI Act : guide d’achat 2026 date non relevée. Lu le 5 novembre 2026. Déclaration de l’éditeur.
Notre avis. Le logiciel PIA suffit à une personne qui mène quelques analyses : c’est notre avis, sans seuil légal, et la méthode de sauvegarde proposée ici est la nôtre.
Portée : Usage solo.
Réserve : Aucun texte ne fixe de nombre d’analyses.
Daté du 5 novembre 2026.