Une AIPD se fait rarement une seule fois. Le traitement évolue, un sous-traitant change, une nouvelle brique d’intelligence artificielle arrive dans le logiciel métier, et l’article 35.11 du RGPD impose de réexaminer l’analyse. Sur un tableur ou dans un document Word, ce réexamen tourne vite à l’archéologie : quelle version a été validée, qui a donné l’avis du DPO, quelles mesures ont réellement été mises en place.
En accompagnant une trentaine de services de santé au travail, des établissements de santé et des collectivités, j’ai vu beaucoup d’AIPD bien rédigées le jour de leur signature, puis jamais rouvertes. Un logiciel AIPD sert d’abord à éviter ce scénario. Il doit garder l’analyse vivante, reliée au registre et au plan d’action, et prouvable le jour où la CNIL la demande.
Quand une AIPD devient obligatoire
L’article 35 du RGPD impose une analyse d’impact avant tout traitement susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Pour s’y retrouver, la CNIL s’appuie sur les critères dégagés par les autorités européennes, comme l’évaluation ou la notation, la décision automatisée, la surveillance systématique, les données sensibles, le traitement à grande échelle, le croisement de données, les personnes vulnérables, l’usage innovant ou l’exclusion du bénéfice d’un droit. Deux critères réunis suffisent en général à rendre l’AIPD nécessaire.
La CNIL publie aussi une liste des types d’opérations pour lesquels l’analyse est toujours requise, et une liste de ceux qui en sont dispensés. Un bon logiciel AIPD fait ce tri dès le départ. Le détail des critères figure dans notre article Quand faire une AIPD ? Les 9 critères de la CNIL.
Le logiciel PIA de la CNIL : un bon point de départ
La CNIL met à disposition gratuitement son logiciel PIA, en code source ouvert. Il reprend fidèlement sa méthode et beaucoup de DPO ont fait leurs premières AIPD avec lui. Je le recommande volontiers pour apprendre la démarche.
Ses limites se font sentir quand le nombre d’analyses grandit. L’outil traite chaque AIPD comme un dossier isolé : il ignore votre registre des traitements, vos sous-traitants, vos incidents, et il ne suit pas l’avancement des mesures dans le temps. Un DPO qui gère plusieurs organismes finit par jongler entre des fichiers exportés et un tableau de suivi à part.
Les points à vérifier avant de choisir
La méthode suivie
Le logiciel doit dérouler la méthode de la CNIL sans la réinventer : description du contexte, principes fondamentaux (finalités, base légale, minimisation, durées de conservation, droits des personnes), étude des risques, puis validation. Les risques s’apprécient sur l’accès illégitime aux données, leur modification non désirée et leur disparition, les événements redoutés retenus par la CNIL. Pour chacun, la gravité et la vraisemblance se cotent de 1 à 4, avec une justification écrite. Une note sans justification ne tiendra pas devant un contrôleur.
Si vos équipes sécurité travaillent déjà avec EBIOS Risk Manager, l’outil doit permettre de reprendre leurs scénarios plutôt que de tout refaire. Nous détaillons cette articulation dans EBIOS Risk Manager et AIPD.
Le risque résiduel et sa preuve
Beaucoup d’outils calculent un score de risque après mesures et s’arrêtent là. Or un risque résiduel « faible » n’a de valeur que si les mesures existent vraiment. Vérifiez que le logiciel distingue le niveau cible du niveau constaté, et qu’il garde la trace de la preuve. Sans cette distinction, l’AIPD affiche un risque maîtrisé sur le papier pendant que le chiffrement prévu attend toujours son budget.
Le plan d’action
Chaque mesure doit avoir un responsable, une échéance, une priorité et un niveau de difficulté. Elle doit aussi être rattachée au scénario de risque qu’elle traite, faute de quoi le réexamen ne dira pas ce qui a bougé.
Le lien avec le registre
Une AIPD porte sur un traitement. Si le logiciel ne la relie pas à la fiche du registre, vous ressaisissez les catégories de données, les destinataires et les durées de conservation, avec le risque d’écarts entre les deux documents. Le jour du contrôle, la CNIL compare.
L’avis du DPO et des personnes concernées
L’article 35.2 exige de recueillir l’avis du DPO, et l’article 35.9 prévoit de demander, s’il y a lieu, l’avis des personnes concernées ou de leurs représentants. Dans un SPST, un hôpital ou une collectivité, ce sont souvent le CSE ou les représentants du personnel. L’outil doit garder ces avis datés et attachés à la version validée.
L’historique des versions et la consultation préalable
Quand le risque résiduel reste élevé, l’article 36 impose de consulter la CNIL avant la mise en œuvre. Le logiciel doit le signaler clairement et conserver chaque version horodatée. Une AIPD sans historique ne permet pas de démontrer qu’elle a été réexaminée.
La réversibilité
Vos analyses vous appartiennent. Demandez un export dans un format exploitable, et idéalement réimportable dans le logiciel PIA de la CNIL. Si vous changez d’outil ou de DPO, rien ne doit être perdu.
L’hébergement et l’usage de l’IA
Une AIPD décrit vos failles de sécurité. Elle mérite le même soin que les données qu’elle protège : hébergement en France, sauvegardes, contrôle des accès. Si l’éditeur propose une assistance par IA, posez deux questions simples : quel modèle, et quelles données lui sont envoyées.
DPO SUITE : l’AIPD reliée au reste de la conformité
Nous avons conçu DPO SUITE entre DPO, à partir de ce que nos missions nous obligeaient à refaire à la main. Le module AIPD reprend la méthode de la CNIL et l’intègre au pilotage de la conformité :
- l’analyse est rattachée au traitement du registre, sans double saisie ;
- chaque scénario de risque est coté en gravité et en vraisemblance de 1 à 4, avec le niveau résiduel visé, qui reste « non vérifié » tant que les mesures ne sont pas prouvées ;
- le plan d’action relie chaque mesure à son scénario, avec responsable, échéance, priorité et difficulté ;
- un mode guidé accompagne les responsables de traitement qui débutent, un mode expert laisse le DPO circuler librement entre les sections ;
- chaque export produit un fichier réimportable dans le logiciel PIA de la CNIL, et une version horodatée est conservée ;
- ALIX, l’assistant intégré, propose des menaces, des mesures et des formulations que le DPO accepte ou non ; le modèle est français (Mistral) et ne reçoit ni données personnelles ni informations sur la structure cliente.
L’application est hébergée chez Amazon Web Services, en région de Paris, avec des sauvegardes conservées huit mois. Elle est aujourd’hui utilisée par 95 DPO.
L’AIPD n’est qu’une partie de DPO SUITE. Le même outil tient le registre, les sous-traitants, les incidents, les demandes de droits et les audits (SPEC 2217, NIS2, IA Act). La direction voit où en est la conformité, le DPO garde la main sur la méthode, et l’analyse d’impact évolue avec le traitement qu’elle décrit.
Les abonnements commencent à 210 € par mois, ou 180 € par mois en engagement annuel. Toutes les fonctions sont comprises dans chaque offre, IA incluse ; les offres se distinguent par le niveau d’accompagnement par un DPO expérimenté.
Pour aller plus loin
- AIPD (PIA) : guide complet de l’analyse d’impact RGPD
- AIPD : modèle et exemples
- Caméras de surveillance : réaliser une AIPD conforme
- Logiciels de conformité RGPD : comparatif et guide de choix
Questions fréquentes
Un logiciel AIPD est-il obligatoire ?
Non. Le RGPD impose de réaliser l’analyse et laisse libre le choix du support. Un logiciel devient utile dès que vous avez plusieurs AIPD à réexaminer ou plusieurs organismes à suivre.
Le logiciel PIA de la CNIL suffit-il ?
Pour une première analyse isolée, oui. Il ne relie pas l’AIPD au registre ni au suivi des mesures, ce qui devient un problème quand les analyses se multiplient.
Peut-on reprendre dans DPO SUITE une AIPD faite ailleurs ?
Oui, en reprenant ses éléments dans le module AIPD, rattachés au traitement concerné. L’export vers le format du logiciel PIA de la CNIL permet aussi de repartir dans l’autre sens.
Qui valide l’AIPD ?
Le responsable de traitement, après avoir recueilli l’avis du DPO. Le logiciel prépare le dossier et garde la trace de la décision.
Vous voulez voir une AIPD réalisée dans DPO SUITE sur un traitement proche du vôtre ? Laissez vos coordonnées dans le formulaire « Être rappelé » : un DPO du réseau vous fait la démonstration.
