Analyse d'impact (AIPD) d'un outil d'IA

Comment l'outil fonctionne

1. L'examen préalable. Les cas obligatoires de l'art. 35, § 3, du RGPD, les huit types de la liste de l'APD, puis les neuf critères de la liste WP248 que l'APD applique. L'IA générative compte comme usage innovant : le critère est coché d'office, à décocher pour un outil classique.
2. Le résultat. Un cas obligatoire : AIPD obligatoire. Deux critères ou plus : AIPD requise. Un critère : AIPD recommandée. Aucun critère, mais des données de clients : AIPD courte recommandée avant la première utilisation. Sinon, l'AIPD n'est pas requise. Lorsque le cabinet peut y renoncer, l'outil demande d'en consigner les raisons.
3. Le contexte. L'outil, le fournisseur, l'usage (rédaction, résumés, traduction, transcription, recherche, documents du cabinet), les données, les personnes concernées, le flux, l'hébergement, la conservation et l'entraînement. Avec le coffre ouvert, ces informations se reprennent du registre des outils d'IA.
4. Les principes. Nécessité et proportionnalité, base légale, minimisation et pseudonymisation, exactitude, conservation, information, droits des personnes, sous-traitant, transferts.
5. Les risques. Dix risques préremplis (violation du secret professionnel, réutilisation par le fournisseur, accès d'autorités étrangères ou du personnel du fournisseur, fuite entre dossiers, incident de sécurité, résultat inexact, biais, perte de maîtrise, modèle illicite), avec leurs mesures et une gravité et une vraisemblance sur les échelles à quatre niveaux de la CNIL, à ajuster.
6. La validation. Le risque résiduel, l'avis du délégué à la protection des données s'il y en a un, la consultation préalable de l'APD si un risque reste élevé (art. 36), la décision, le plan d'action et la signature.

L'AIPD s'exporte en PDF et en Word, dans la langue choisie. Avec une adresse vérifiée, elle porte l'en-tête de votre cabinet, dont le nom est repris comme responsable du traitement.

Ce que disent les textes

• RGPD, art. 35 : une AIPD est requise avant un traitement susceptible d'engendrer un risque élevé, « en particulier par le recours à de nouvelles technologies ». Le considérant 91 précise que les données des clients d'un avocat individuel ne sont pas traitées à grande échelle.
• Décision 01/2019 de l'APD : la liste belge des traitements soumis à une AIPD. L'IA générative n'y figure pas, ce qui n'exclut pas une AIPD au titre de l'art. 35.
• Guide de l'APD : dans la plupart des cas, deux critères de la liste WP248 appellent une AIPD.
• Fiche IA de la CNIL : l'IA générative est un usage innovant. Méthode PIA de la CNIL : contexte, principes fondamentaux, risques, validation.
• La Tribune d'AVOCATS.BE (n° 280) estime l'AIPD incontournable en pratique avant la première utilisation d'un outil d'IA générative.

Points d'attention

• L'AIPD n'est pas automatiquement obligatoire pour un cabinet : l'outil la recommande par défaut avant la première utilisation avec des données de clients, et permet de documenter un refus motivé.
• Une AIPD peut couvrir plusieurs traitements semblables et être reprise d'un traitement similaire.
• Les niveaux de gravité et de vraisemblance proposés sont un point de départ, à revoir pour votre cas.

Ce que l'outil ne fait pas

• Il ne consulte pas l'APD pour vous et ne vérifie pas les déclarations du fournisseur.
• Il n'envoie rien : vos réponses restent dans la mémoire de cet onglet.

Vérification

Les sources ont été vérifiées le 7 octobre 2026. L'outil assiste l'avocat, qui reste responsable de l'analyse et de la décision.