Accueil›Ressources›Checklist RGPD & AI Act
Checklist · Lead magnet

Checklist conformité RGPD et AI Act pour votre déploiement IA.

30 questions à se poser avant de mettre une IA en production dans une PME française. Couvre les obligations RGPD, AI Act, et bonnes pratiques de souveraineté. Imprimable et utilisable comme support de réunion DSI/DPO.

Cette checklist est volontairement publique et gratuite. Vous pouvez la copier, la partager, l'adapter à votre contexte. Si vous voulez qu'on l'applique à votre projet en concret, c'est l'objet d'un appel de 30 minutes, gratuit aussi.

Bloc A, Identification des données traitées (5 questions)

  1. Avez-vous recensé toutes les données personnelles traitées par votre système IA (clients, salariés, fournisseurs, candidats, prospects) ?
  2. Pour chaque catégorie de données, la finalité du traitement est-elle clairement documentée ?
  3. La minimisation est-elle appliquée (vous ne traitez que ce qui est strictement nécessaire) ?
  4. La durée de conservation de chaque catégorie est-elle définie et justifiée ?
  5. Avez-vous identifié les éventuelles données sensibles (santé, religion, opinion politique, biométrique) ?

Bloc B, Base légale et information (4 questions)

  1. La base légale du traitement est-elle documentée pour chaque finalité (intérêt légitime, contrat, consentement) ?
  2. Si intérêt légitime : la mise en balance avec les droits des personnes a-t-elle été tracée ?
  3. Les personnes concernées sont-elles informées de l'usage d'IA (mention CGV, notice, message en début d'interaction) ?
  4. Une procédure d'exercice des droits (accès, rectification, effacement, opposition) est-elle en place ?

Bloc C, Sous-traitance et transferts (5 questions)

  1. Avez-vous la liste exhaustive des sous-traitants dans la chaîne IA (prestataire, hébergeur, services tiers) ?
  2. Pour chaque sous-traitant, un contrat conforme à l'article 28 RGPD est-il signé ?
  3. Les éventuels transferts hors UE sont-ils encadrés (DPF, CCT, dérogations) ?
  4. Avez-vous une cartographie des flux de données entre les acteurs ?
  5. Une clause de notification des sous-traitants ultérieurs est-elle en place ?

Bloc D, Sécurité et conservation (5 questions)

  1. Les données sont-elles chiffrées au repos et en transit (TLS, AES-256) ?
  2. Qui détient les clés de chiffrement ? Sont-elles séparées des données ?
  3. Les accès sont-ils journalisés (qui a accédé à quoi, quand) ?
  4. Une procédure de gestion des incidents et notification CNIL (72h) existe-t-elle ?
  5. La suppression effective des données à terme est-elle vérifiable ?

Bloc E, DPIA et AI Act (6 questions)

  1. L'usage IA tombe-t-il dans une catégorie obligeant une DPIA (article 35 RGPD) ?
  2. Si oui, la DPIA est-elle produite et tenue à jour ?
  3. Le système IA est-il classé selon les 4 catégories AI Act (interdit / haut risque / limité / minimal) ?
  4. Pour les usages à risque élevé : la documentation technique conforme est-elle disponible ?
  5. La supervision humaine est-elle effective (la décision finale reste humaine, pas seulement validation automatique) ?
  6. Une procédure de recours pour les personnes concernées est-elle en place ?

Bloc F, Souveraineté et choix techniques (5 questions)

  1. Le modèle d'IA utilisé est-il open-weight ou européen (Mistral, Llama déployé localement, Qwen on-prem) ?
  2. L'hébergement est-il sur cloud souverain européen (OVH, Scaleway, Outscale) ou on-premise ?
  3. Aucune donnée identifiante n'est transmise hors UE sans encadrement juridique documenté ?
  4. Le code, les prompts et la configuration sont-ils la propriété du client (pas de lock-in) ?
  5. Une procédure de migration vers un autre prestataire est-elle documentée ?

Scoring de votre conformité

Comptez vos « OUI » :

Vous voulez en parler ?

30 minutes au téléphone, sans engagement. Si on n'est pas le bon partenaire, on vous le dit.

Réserver un appel →