Où en est votre structure avec ses données et l'IA ?

Le RGPD protège plus fortement certaines catégories de données (santé, opinions, convictions religieuses, appartenance syndicale) et certaines personnes vulnérables, dont les mineurs. Plus vos publics sont exposés, plus une fuite ou un mauvais usage de l'IA a des conséquences graves pour eux, et plus les exigences légales sont fortes.

RGPD, articles 8 et 9 · CNIL, guide « Associations »

Les questions du bloc IA restent pertinentes même si vous répondez « pas du tout ». Dans beaucoup de structures, salariés et bénévoles utilisent déjà ces outils à titre individuel, sur leur compte personnel, sans que la structure le sache. C'est souvent là que le risque est le plus élevé.

La double authentification (un code en plus du mot de passe) bloque l'essentiel des piratages de comptes. Le RGPD impose de garantir la sécurité des données (article 32) : un mot de passe partagé ou réutilisé est un défaut de sécurité au sens de la loi.

RGPD art. 32 · CNIL, recommandation mots de passe (2022)

Un ancien bénévole qui garde l'accès au fichier des adhérents, c'est une fuite potentielle dont l'association reste responsable. Les comptes génériques empêchent en plus de savoir qui a fait quoi.

RGPD art. 5.1.f et 32

Un outil en ligne n'est pas une sauvegarde : une suppression par erreur, un compte piraté ou un rançongiciel se propage au cloud. La règle de base est d'avoir une copie ailleurs, et de vérifier qu'on sait la restaurer.

Cybermalveillance.gouv.fr · RGPD art. 32.1.c (rétablir la disponibilité des données)

L'hameçonnage reste la première porte d'entrée des attaques. Les faux virements visent particulièrement les associations, où la confiance est forte et les circuits de validation courts.

Cybermalveillance.gouv.fr, état de la menace

Toute violation de données présentant un risque pour les personnes doit être notifiée à la CNIL dans les 72 heures, et les personnes concernées doivent être informées si le risque est élevé. Toutes les violations, même mineures, doivent être consignées dans un registre interne.

RGPD art. 33 et 34

Bénévoles et petites équipes travaillent souvent sur leurs appareils personnels. Un téléphone perdu avec la liste des bénéficiaires téléchargée, c'est une violation de données.

RGPD art. 32 · CNIL, guide de la sécurité des données personnelles

Le registre liste ce que vous faites des données : fichier des adhérents, dons, suivi des bénéficiaires, newsletter… L'exemption pour les structures de moins de 250 personnes ne vaut que pour des traitements occasionnels et sans données sensibles. Une association qui gère ses adhérents ou bénéficiaires en continu doit donc le tenir. La CNIL fournit un modèle simplifié.

RGPD art. 30 · CNIL, modèle de registre simplifié

Chaque personne doit savoir qui collecte ses données, pourquoi, combien de temps elles sont gardées, avec qui elles sont partagées et comment exercer ses droits.

RGPD art. 12, 13 et 14

Garder des données sans limite est interdit : chaque donnée a une durée de conservation liée à son usage. Moins on garde de données, moins on prend de risques en cas de fuite.

RGPD art. 5.1.e · CNIL, référentiels de durées de conservation

Chaque outil qui traite vos données pour votre compte est un sous-traitant : un contrat doit encadrer ce qu'il en fait. Quand les données partent hors de l'Union européenne, notamment aux États-Unis, des garanties spécifiques sont nécessaires.

RGPD art. 28 et chapitre V (transferts)

Ces données exigent une protection renforcée. Une analyse d'impact relative à la protection des données (AIPD) est obligatoire pour les traitements à risque élevé, par exemple le suivi de personnes vulnérables à grande échelle.

RGPD art. 9 et 35 · CNIL, liste des traitements soumis à AIPD

Toute personne peut accéder à ses données, les faire corriger, s'opposer à leur usage ou demander leur effacement. Vous avez un mois pour répondre. La difficulté est souvent de retrouver les données éparpillées dans plusieurs outils.

RGPD art. 12 à 22

Un délégué à la protection des données (DPO) est obligatoire si vous traitez à grande échelle des données sensibles ou suivez des personnes de façon régulière et systématique. Dans les autres cas, nommer un référent reste la meilleure garantie que le sujet avance.

RGPD art. 37 à 39

On ne peut pas maîtriser ce qu'on ne voit pas. L'inventaire est aussi la base de vos obligations : registre RGPD, information des personnes, maîtrise de l'IA.

AI Act art. 4 et 26 · RGPD art. 30

Coller le compte rendu d'entretien d'un bénéficiaire dans un outil d'IA grand public, c'est transférer ses données à un tiers, souvent hors de l'Union européenne, sans base légale ni information de la personne. C'est l'un des risques les plus fréquents et les moins visibles.

RGPD art. 5, 6, 28 et 44 · CNIL, recommandations IA (2024-2025)

Sur beaucoup d'offres gratuites ou individuelles, les conversations peuvent par défaut servir à améliorer les modèles. Les offres professionnelles excluent en général cet usage par contrat. Le réglage dépend du compte, pas de l'association : un compte personnel échappe à vos règles.

Conditions d'utilisation des fournisseurs · CNIL, fiches pratiques IA

Votre savoir-faire est un bien commun construit dans le temps : méthodes d'accompagnement, connaissance fine des publics, analyses de terrain. Le verser dans un outil qui peut s'en nourrir, c'est l'exposer à la réutilisation et à la perte de maîtrise.

Protection du savoir-faire · secret des affaires (loi 2018-670)

Depuis le 2 février 2025, l'AI Act oblige les organisations qui déploient des systèmes d'IA à prendre des mesures pour que leur personnel ait un niveau suffisant de maîtrise de l'IA. La révision de 2026 a confirmé cette obligation de moyens, proportionnée au contexte. Les bénévoles qui utilisent l'IA pour l'association sont concernés.

AI Act art. 4 · Digital Omnibus 2026

Depuis le 2 août 2026, il faut signaler qu'une personne échange avec une IA, et signaler les images, sons ou vidéos réalistes générés ou modifiés (deepfakes). Un texte généré publié pour informer le public sur un sujet d'intérêt général doit aussi être signalé, sauf s'il a fait l'objet d'une relecture humaine sous la responsabilité éditoriale de l'association.

AI Act art. 50

Le RGPD interdit déjà de soumettre une personne à une décision entièrement automatisée qui l'affecte de façon importante. L'AI Act classe à haut risque l'IA utilisée pour le recrutement ou l'accès aux prestations sociales essentielles : obligations renforcées à partir du 2 décembre 2027. Certaines pratiques sont interdites depuis février 2025, comme la notation sociale.

RGPD art. 22 · AI Act art. 5, 26 et annexe III

C'est le cœur de la posture « fin de traîne ». Le gain de temps promis par l'outil ne dit pas ce qui mérite d'être fait. Si l'outil précède la décision, c'est lui qui redessine le travail, et souvent vers ce qui est facile à automatiser plutôt que vers ce qui compte pour vos publics.

Parti pris Rouge le fil

Une IA qui écrit le fond d'un plaidoyer ou analyse la situation d'une personne déplace la réflexion hors de l'équipe. Placée en fin de traîne, elle libère du temps pour ce qui fait la valeur de l'association : la relation, le jugement, la décision collective.

Parti pris Rouge le fil