Faut-il une AIPD (DPIA) pour un agent conversationnel ?
Pas automatiquement : l'agent conversationnel exige une AIPD quand il est susceptible d'engendrer un risque élevé, comme tout traitement (article 35 du RGPD). Or il coche souvent d'emblée le critère « usage innovant » ; un second critère, comme des données sensibles, des personnes vulnérables ou un profilage, suffit alors en règle générale à rendre l'analyse obligatoire.
Ce que disent les textes
L'article 35 du RGPD vise expressément « le recours à de nouvelles technologies » parmi les éléments qui peuvent rendre un traitement à risque élevé.
Les lignes directrices WP248 rev.01 comptent l'usage innovant parmi les neuf critères, et retiennent qu'un traitement qui en réunit deux exige « dans la plupart des cas » une analyse.
Parmi ces neuf critères, les mêmes lignes directrices WP248 rev.01 retiennent « l'évaluation ou la notation, y compris le profilage » et « la prise de décision automatisée avec effet juridique ou effet similaire significatif » : un agent conversationnel qui profile ou décide réunit donc le plus souvent deux critères avec l'usage innovant. La CNIL publie par ailleurs des fiches pratiques sur l'intelligence artificielle.
Suis-je concerné ? Le test en une minute
- L'agent conversationnel reçoit-il des données personnelles (nom, courriel, contenu des échanges) ?
- Les personnes peuvent-elles y confier des données de santé, des opinions ou d'autres données sensibles, ou s'agit-il de personnes vulnérables (patients, enfants, salariés) ?
- Ses réponses servent-elles à évaluer une personne ou à décider à sa place ?
« Oui » à la première et à l'une des deux suivantes : traitez l'analyse comme due avant la mise en service. « Non » à la première : le RGPD ne s'applique pas à l'agent lui-même, mais vérifiez ce qu'il conserve des échanges.
Et ensuite
Une AIPD doit décrire les mesures de sécurité qui protègent le traitement (RGPD, article 35, paragraphe 7, point d). Si ce traitement passe par Microsoft 365 (messagerie, partages, Teams), SYAGA Audit, diagnostic gratuit dont l'ouverture est prochaine, mesurera la configuration réellement en place et vous donnera des faits utiles pour rédiger cette section. Ce diagnostic décrira des faits de configuration ; il ne garantira pas la conformité du traitement.
SYAGA Audit pour votre AIPD : obtenir le score gratuit
À lire aussi
Sur Microsoft 365 : comment savoir si votre Microsoft 365 est bien sécurisé, et la façon dont SYAGA Audit traite ce qu'il lit, décrite sur sa page sécurité. Pour la liste complète de la CNIL, la méthode PIA et le cas de la messagerie, de Teams et de Copilot : CNIL et DPIA, la synthèse.
Les obligations voisines : le RGPD pour une PME, NIS2, la politique de sécurité (PSSI) et la charte informatique.
Le rapport est un diagnostic : il dit ce qui est constaté, il ne corrige rien à votre place.
SYAGA Audit mesure votre environnement Microsoft 365 à une date donnée ; il ne se substitue pas à une démarche complète de mise en règle et ne garantit pas que vous respectiez une règle ou une réglementation. Les mesures reprennent les thèmes de l'ISO/IEC 27001 ; SYAGA n'a fait l'objet d'aucun audit par un organisme tiers sur cette norme.
Faits relus le 14/10/2026, complétés le 30/10/2026 sur les sources officielles citées (EUR-Lex, CNIL, Comité européen de la protection des données). Cette page informe ; elle ne constitue pas un conseil juridique.