La checklist RGPD & IA Act en 17 points

Partie 1 — Avant le déploiement (5 points)

1. 1. L'outil IA traite-t-il des données personnelles ? Si oui, identifier les catégories (CV, médicales, salariales, etc.).
2. 2. Une AIPD (Analyse d'Impact) a-t-elle été réalisée ? Obligatoire pour tout traitement à risque élevé.
3. 3. Le contrat avec le fournisseur IA inclut-il les clauses DPA ? Sous-traitant RGPD, zero data retention, localisation des serveurs.
4. 4. Les utilisateurs internes ont-ils été formés à l'utilisation conforme ? Quoi mettre, quoi ne pas mettre, signalement d'incident.
5. 5. Une charte d'utilisation IA a-t-elle été validée par votre DPO ? Périmètre autorisé, outils approuvés, escalade.

Partie 2 — Pendant l'usage (7 points)

6. 6. Un registre des traitements IA est-il tenu à jour ? Article 30 RGPD.
7. 7. Les durées de conservation sont-elles définies et respectées ? Sortie automatique des données après X mois.
8. 8. Les droits RGPD des personnes concernées sont-ils opérationnels ? Accès, rectification, effacement, portabilité.
9. 9. Une supervision humaine est-elle prévue pour les décisions sensibles ? RGPD art. 22 — pas de décision purement automatisée.
10. 10. Les biais discriminatoires ont-ils été testés ? Audit anti-biais sur les critères protégés (genre, origine, âge).
11. 11. La procédure d'incident est-elle documentée ? Notification CNIL sous 72 h en cas de violation.
12. 12. Le CSE/CSST a-t-il été informé/consulté ? Article L2312-8 du Code du travail si impact sur les conditions de travail.

Partie 3 — Conformité IA Act 2026 (5 points)

13. 13. Le système IA est-il classifié selon l'IA Act ? Risque inacceptable / élevé / limité / minimal.
14. 14. La transparence vis-à-vis des utilisateurs finaux est-elle assurée ? Information claire qu'une IA est utilisée.
15. 15. L'explicabilité est-elle documentée ? Pour les usages haut risque, capacité à expliquer chaque décision.
16. 16. Un audit régulier est-il prévu ? Annuel minimum pour les systèmes haut risque.
17. 17. La gouvernance IA est-elle structurée ? Comité IA, responsable IA désigné, processus d'arbitrage.