Ressources

Où l’IA entre dans votre registre des traitements

Un outil d’IA en ligne ajoute un sous-traitant à votre chaîne. Un système qui tourne chez vous n’en ajoute aucun.

Par Pablo Goffinet, fondateur d’OSERIA · 5 septembre 2026

Le registre des traitements est l’obligation la plus concrète du RGPD, et la plus souvent tenue à jour une fois par an dans l’urgence. L’arrivée d’outils d’IA le rend faux plus vite, parce que ces outils entrent par les usages avant d’entrer par les achats.

La question à trancher n’est pas « faut-il inscrire l’IA au registre ». C’est de savoir si l’outil ajoute un intervenant à la chaîne, parce que c’est cela que le registre décrit.

Vérifié le 5 septembre 2026. Le cadre décrit ici évolue : si vous lisez cette page longtemps après cette date, recoupez avec les sources citées en bas.

Ce que le registre décrit réellement

Le registre recense les traitements : leur finalité, les catégories de données et de personnes, les destinataires, les durées de conservation, les mesures de sécurité. Il ne recense pas les logiciels. Un même outil peut servir trois traitements distincts, et trois outils peuvent servir un seul traitement.

C’est pourquoi la bonne question n’est jamais « où j’inscris ChatGPT ». Elle est : ce que je fais avec change-t-il une finalité existante, ou en crée-t-il une nouvelle, et qui reçoit les données au passage.

La double casquette du cabinet

Un cabinet est responsable de traitement pour ses propres données, celles de ses salariés et de sa gestion. Il est sous-traitant au sens de l’article 28 pour les données que ses clients lui confient, puisqu’il les traite pour leur compte et sur leurs instructions.

Cette seconde casquette est celle qui pèse dans une décision d’outillage. Un sous-traitant ne recrute pas librement un sous-traitant ultérieur : l’autorisation du responsable de traitement est requise, et le contrat doit prévoir la chaîne.

Introduire un service d’IA en ligne dans le traitement des dossiers clients revient donc, presque toujours, à ajouter un sous-traitant ultérieur. Ce n’est pas interdit, c’est encadré, et l’encadrement suppose de prévenir.

Ce qui change selon l’endroit du traitement

Un système qui s’exécute sur les machines du cabinet ne fait entrer personne. Il n’y a pas de sous-traitant supplémentaire à déclarer, pas d’autorisation à demander, pas de transfert à documenter. Le traitement existe toujours et doit toujours figurer au registre, mais la chaîne ne s’allonge pas.

Un service en ligne, lui, ajoute au minimum un intervenant, parfois davantage si l’éditeur s’appuie lui-même sur une infrastructure tierce. La question à poser au fournisseur est celle de la chaîne complète, pas seulement de son propre nom.

C’est aussi la raison pour laquelle ce point se cadre avant la construction. Il ne change pas la façon de présenter le projet : il change ce qu’il est possible de construire.

Sources

Cet article expose un cadre, il ne remplace pas un avis. Sur une situation précise, la question se pose à votre conseil ou à votre ordre.

Questions fréquentes

Faut-il une analyse d’impact ?

Elle s’impose quand le traitement est susceptible d’engendrer un risque élevé pour les personnes. L’usage d’un outil d’IA ne la déclenche pas à lui seul : c’est la nature du traitement qui compte, pas la technologie employée.

Un traitement à grande échelle de données sensibles, ou une décision automatisée produisant des effets juridiques, la rendent nécessaire. Une aide à la saisie, non.

Faut-il informer les clients du cabinet ?

Oui, si un sous-traitant s’ajoute à la chaîne : c’est le sens même de l’article 28. En pratique, cela passe par un avenant ou par une information contractuelle prévoyant les sous-traitants ultérieurs.

Un cabinet qui découvre après coup que ses collaborateurs utilisent un outil en ligne sur des dossiers clients se trouve dans la situation inverse : le sous-traitant est déjà là, sans autorisation.