Modèle de traitement de données RGPDUtilisation d'outils d'IA générative par les salariés ou agents

Par: bc4946f8-1de1-4b70-bb67-62a0ce536160

Organisme : PrivéOrganisme : PublicFonction : Systèmes d'information

Ce modèle de traitement est relatif à la mise à disposition d'un outil d'IA générative (assistant conversationnel, aide à la rédaction ou à l'analyse) aux salariés ou agents d'un organisme, à la gestion de leurs comptes, à l'encadrement et à la traçabilité des usages, à la sécurité et à l'information des utilisateurs.

Finalités (4)

La finalité d'un traitement est l'objectif principal de l'utilisation des données personnelles. Ces données doivent être collectées pour un but bien déterminé et légitime et ne doivent pas être traitées ultérieurement de façon incompatible avec cet objectif initial

Gestion des comptes et des accès à l'outil d'IA générative

Création, habilitation et suppression des comptes des utilisateurs de l'outil, selon leur profil.

Intérêts légitimes du responsable du traitement ou d'un tiers

Gouvernance et encadrement des usages

Application de la charte d'usage, suivi des usages autorisés et interdits, retours des utilisateurs. La CNIL recommande une charte interne qui fixe les usages autorisés et interdits et les données à exclure.

Intérêts légitimes du responsable du traitement ou d'un tiers

Sécurité et journalisation des usages

Traçabilité des accès et des actions sur l'outil pour détecter les incidents et les usages détournés. La CNIL rattache la journalisation à la sécurité des traitements (articles 5 et 32 du RGPD).

Obligation légale

Information et formation des utilisateurs

Information sur l'outil, ses limites et la journalisation, formation des équipes, recueil de la prise de connaissance de la charte.

Intérêts légitimes du responsable du traitement ou d'un tiers

Données (4)

L’article 30 du RGPD exige l’inscription des catégories de données traitées. Il s’agit ici de définir les catégories de données traitées. Celles-ci peuvent être dites courantes ou sensibles.

Comptes utilisateurs

Détails des données

Nom, prénom et adresse électronique professionnelleoptionel

Service, fonction et profil d'habilitationoptionel

Identifiant de connexionoptionel

Règles de conservation

Base active:

Pendant la durée d'ouverture du compte, jusqu'au départ de l'utilisateur ou au retrait de son habilitation.

Aucune durée imposée.

Sort final

Contenus saisis et générés

Détails des données

Requêtes saisies (textes, documents joints)optionel

Réponses générées par l'outiloptionel

Règles de conservation

Base active:

Durée indicative, à fixer par l'organisme, à vérifier aussi côté fournisseur (réutilisation éventuelle des données saisies).

Aucune durée imposée par les sources consultées.

Sort final

Journaux d'usage

Détails des données

Identifiant de l'utilisateuroptionel

Date et heure d'utilisation, type d'opérationoptionel

Adresse IP ou identifiant du posteoptionel

Règles de conservation

Base active:

6 mois à 1 an dans le cas général (recommandation CNIL sur la journalisation), plus longtemps seulement si c'est justifié et documenté.

Recommandation CNIL (délibération n° 2021-122 du 14 octobre 2021), non une obligation légale.

Sort final

Suivi de la charte et de la formation

Détails des données

Date d'acceptation de la charte d'usageoptionel

Formation suivie sur l'IA générativeoptionel

Règles de conservation

Base active:

Durée indicative, par exemple pendant la durée du contrat de travail de l'utilisateur.

Aucune durée imposée.

Sort final

Personnes concernées (3)

Une personne concernée est toute personne dont les données sont collectées, retenues ou traitées par le traitement de données en question. Ex : Dans le cadre d'un traitement de gestion du recrutement, n'importe quel candidat pour le poste concerné constitue une personne concernée

Employés
Agents administratifs
Utilisateurs

Auteur:

bc4946f8-1de1-4b70-bb67-62a0ce536160

Créé le:02/10/2026

Mis à jour le:02/10/2026

Nombre d'utilisations:0