Aller au contenu principal
Quel logiciel RGPD

Peut-on laisser une IA remplir le registre ?

Pour qui : Votre équipe veut gagner du temps : un logiciel promet de générer les fiches du registre en quelques minutes, ou quelqu’un propose de les demander à un assistant d’IA. Vous devez dire si cela se fait, et comment.

Oui pour un premier jet, à condition de faire confirmer chaque ligne par le service concerné. Le texte généré peut être bien écrit et faux. Il ne prouve rien sur ce qui se passe chez vous, et la responsabilité du registre reste à votre organisation.

Comparez trois lignes générées à ce que fait réellement le métier. Le résultat ne vous dispense pas de cette confirmation : il vous dit comment l’organiser. Si les écarts touchent les destinataires ou les transferts, reprenez chaque fiche en entretien avec le métier. Sinon, une validation écrite de chaque fiche par son responsable peut suffire.

Notre avis

Servez-vous de l’IA pour démarrer une fiche, jamais pour la clore. Le premier jet fait gagner du temps sur la rédaction, tandis que la confirmation par le métier reste entière. C’est elle qui donne sa valeur au registre.

Pourquoi

  • Un modèle sait ce qu’une organisation de votre secteur fait probablement. Il ignore si votre service paie un prestataire hors de l’Union européenne, sauf si vos documents le disent et qu’ils sont à jour.
  • Selon la CNIL, ces systèmes peuvent produire des résultats inexacts mais plausibles, et une bonne pratique consiste à ne jamais les reproduire tels quels.
  • Un éditeur qui vend des agents d’IA écrit dans ses conditions que le résultat peut être inexact, incomplet ou inventé et qu’il faut le vérifier sur les pièces d’origine. Fiez-vous au contrat plus qu’à la page d’accueil.

Ce qui change le choix

Si les écarts du test portent sur les destinataires ou les transferts, reprenez chaque fiche en entretien avec le métier avant tout usage. Si personne ne peut confirmer les fiches, l’IA déplace le problème : réglez d’abord qui tient le registre.

L’ordre à suivre

  1. Générer dans un outil sous contrat de sous-traitance, à partir de vos documents, puis faire confirmer chaque ligne par le métier.
  2. Utiliser un assistant grand public seulement pour la structure et la formulation, sans mesures de sécurité réelles ni données personnelles.
  3. Générer en masse et publier sans relecture : à refuser.

Le test de la ligne, à faire avant d’en générer cent

Ces repères sont les nôtres : aucun texte ne les fixe.

  1. Choisissez trois traitements : un courant, un confié à un prestataire, un rare. Générez leurs fiches avec l’outil envisagé.
  2. Sans montrer le résultat, posez quatre questions au responsable métier : qui reçoit ces données, dans quel pays, combien de temps les gardez-vous, avec quel outil ? Notez ses réponses mot à mot.
  3. Comparez champ par champ. Un écart sur les destinataires ou les transferts impose de reprendre chaque fiche en entretien avec le métier. Sans écart, une validation écrite de chaque fiche par son responsable peut suffire.
  4. Ajoutez à chaque fiche un statut : proposée par l’IA, ou confirmée par telle personne à telle date. Aucun texte lu ne l’impose. Cela vous permet de savoir ce qui a été vérifié.

Exemple fictif : une fiche plausible et fausse

Exemple fictif : une association de 40 salariés demande une fiche « gestion de la paie ». L’outil propose comme destinataires le service des ressources humaines et les organismes sociaux, sans transfert hors de l’Union européenne, avec une durée générique. La responsable répond que la paie passe par un prestataire, que ce prestataire utilise un support situé hors de l’Union et que les bulletins restent plus longtemps dans un coffre numérique. Trois champs de l’article 30 changent : destinataires, transferts et délais. La fiche générée semblait complète.

Champ par champ, à qui revient le dernier mot

L’article 30 liste ce que le registre doit contenir. Le partage ci-dessous est notre avis.

Ce que l’IA peut proposer et qui confirme
ChampL’IA peutLe dernier mot revient à
Finalité, catégories de personnes et de donnéesProposer un libellé clairResponsable métier
Destinataires et transfertsRappeler la question à poserResponsable métier, avec les contrats
Délais d’effacementSuggérer un référentiel à consulterRéférent ou DPO, puis vérification de ce qui est réellement supprimé
Mesures de sécuritéMettre en forme une description existanteResponsable informatique
Base légale, hors liste de l’article 30, conseillée par la CNILSuggérer une pisteRéférent ou DPO
Besoin d’une analyse d’impactSignaler un cas à examinerResponsable de traitement, avec l’avis du DPO s’il existe

Pages de vente et conditions ne disent pas la même chose

Witik annonce « ne remplissez plus jamais vos fiches Article 30 à la main » et des champs pré-remplis à partir de votre secteur et de vos services. Sa FAQ réserve toutefois au DPO la validation et l’arbitrage. Une génération partant du secteur décrit une organisation probable. Legiscope annonce partir de vos documents : ce sera votre réalité seulement s’ils sont à jour. Ses conditions préviennent que le résultat peut être « inaccurate, incomplete, inconsistent, fabricated » et demandent une vérification et une validation humaine compétente. La FAQ de Dastra parle de « propositions de départ », à relire et à valider. Lisez ces phrases avant toute démonstration.

Où part le contenu du registre

Un registre décrit vos prestataires et vos mesures de sécurité. Selon la CNIL, il ne faut pas partager de données personnelles ni d’informations confidentielles dans un service grand public. Avec un tel assistant, travaillez sur un modèle vide ou une fiche anonymisée. Même dans un logiciel RGPD, vérifiez ce qui est envoyé : Dastra indique que son option de réutilisation d’éléments existants transmet les libellés des mesures de sécurité.

Limites de cette page

Aucun outil n’a été essayé : nous ne savons pas quel taux d’erreur ils produisent. Nous n’avons lu aucune décision de la CNIL portant sur un registre généré par une IA. Le test sur trois lignes donne une indication, sans garantir le reste du registre.

Prochaine action

Prenez une ligne générée et comparez-la à ce que le service fait réellement, puis faites de même pour deux autres. Si le contenu part chez un prestataire d’IA ou touche à des données sensibles, posez d’abord à ce prestataire vos questions sur ses sous-traitants.

Preuves et sources

Lu le 5 novembre 2026 : les questions-réponses de la CNIL sur l’IA générative, du 18 juillet 2024 ; sa page sur le registre ; l’article 30 du RGPD publié par la CNIL ; les pages de Witik, Legiscope, Dastra et Adequacy sur la génération ; les conditions de Legiscope revues le 31 août 2026.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode

  • Fait lu. L’article 30 du RGPD demande au responsable de tenir un registre de ses activités de traitement, avec notamment les finalités, les catégories de personnes et de données, les destinataires, les transferts et, dans la mesure du possible, les délais d’effacement et une description générale des mesures de sécurité.

    Portée : RGPD, article 30, paragraphe 1, texte publié par la CNIL.

    Réserve : Dérogation étroite de l’article 30, paragraphe 5.

  • Fait lu. Le responsable du traitement doit être en mesure de démontrer le respect des principes et la conformité du traitement au RGPD.

    Portée : RGPD, articles 5, paragraphe 2, et 24.

    Réserve : Aucun format de preuve fixé par ces passages.

  • Déclaration de l’éditeur. Selon la CNIL, les systèmes d’IA générative peuvent produire des résultats inexacts qui paraissent plausibles, les utilisateurs devraient vérifier les sorties, et une bonne pratique consiste à ne jamais les reproduire telles quelles.

    Portée : Questions-réponses de la CNIL du 18 juillet 2024.

    Réserve : Doctrine générale sur l’IA générative, sans viser le registre.

  • Déclaration de l’éditeur. Selon la CNIL, dans le cas général, c’est l’organisme utilisateur qui engage sa responsabilité légale en cas de mauvaise utilisation de l’IA par son personnel.

    Portée : Questions-réponses de la CNIL.

    Réserve : Cas général.

  • Déclaration de l’éditeur. Selon la CNIL, les utilisateurs ne devraient pas partager d’informations confidentielles, dont des données personnelles, dans un service grand public d’IA générative.

    Portée : Question 7 des questions-réponses.

    Réserve : Les conditions du service et les réglages disponibles peuvent varier.

  • Déclaration de l’éditeur. Witik annonce « Ne remplissez plus jamais vos fiches Article 30 à la main », une génération à partir du secteur d’activité et des services internes avec finalités, bases légales, catégories de données et durées pré-remplies, et réserve au DPO la validation et l’arbitrage dans sa FAQ.

    Portée : Page produit lue le 5 novembre 2026.

    Réserve : Outil non essayé.

  • Fait lu. Les conditions de Legiscope revues le 31 août 2026 préviennent que le résultat peut être inexact, incomplet, incohérent ou inventé, et demandent de le vérifier sur les pièces d’origine et d’obtenir une validation humaine compétente avant un usage juridiquement significatif.

    Portée : Terms lues le 5 novembre 2026, section 7.

    Réserve : D’anciennes conditions restent en ligne sur un autre point : retenir les Terms datées.

  • Déclaration de l’éditeur. La FAQ de Dastra présente les résultats comme des propositions de départ à relire et à valider par une personne qualifiée, et indique que l’option d’utilisation d’éléments existants transmet les libellés des mesures de sécurité, des actifs et des champs de données.

    Portée : Documentation lue le 5 novembre 2026.

    Réserve : Outil non essayé.

  • Fait lu. Une analyse d’impact est obligatoire avant tout traitement susceptible d’engendrer un risque élevé ; le responsable la réalise en demandant conseil au délégué s’il en a un.

    Portée : RGPD, article 35, paragraphes 1 et 2.

    Réserve : Listes de la CNIL et exceptions non détaillées ici.

  • Déclaration de l’éditeur. La CNIL propose d’ajouter au registre la base légale, alors que la liste de l’article 30 ne la cite pas.

    Portée : Bonne pratique de la page CNIL.

    Réserve : Recommandation, sans obligation au titre de l’article 30.

  • Notre calcul ou déduction. Une génération partant du secteur décrit une organisation probable, et une génération à partir de documents reflète ces documents, sans établir ce que fait réellement le service.

    Portée : Déduction des descriptions lues.

    Réserve : Aucun outil n’a été essayé.

  • Notre méthode. Le test sur trois lignes, le statut de confirmation et le partage des champs sont une méthode et un avis proposés par cette page, sans valeur légale.

    Portée : Registre généré par un outil d’IA.

    Réserve : À ajuster au volume et aux risques.

    Daté du 5 novembre 2026.

  • Déclaration de l’éditeur. Legiscope annonce sur sa page d’accueil que ses agents rédigent à partir des documents du client et que l’équipe du client décide.

    Portée : Page d’accueil lue le 5 novembre 2026.

    Réserve : Outil non essayé.