Automatiser l'AIPD RGPD : méthode et outils 2026

Au deuxième trimestre 2026, la CNIL a sanctionné une société dont les caméras filmaient en continu l’espace de vente et les accès du public : vidéosurveillance disproportionnée, absence de contrat de sous-traitance, et absence d’AIPD alors que le dispositif relevait de la surveillance systématique d’une zone accessible au public. Le manquement à l’article 35 était autonome — il n’a pas fallu de fuite de données pour le constater. Dans la plupart des organisations que j’accompagne, ce n’est pas la méconnaissance de l’obligation qui pose problème : c’est le fait que personne ne sache, à l’instant T, quels traitements en cours auraient dû en déclencher une.

Pourquoi l’AIPD résiste à l’industrialisation

L’analyse d’impact relative à la protection des données est le seul livrable RGPD qui combine trois natures de travail difficilement conciliables : une qualification juridique (le traitement franchit-il le seuil de « risque élevé » posé par l’article 35 RGPD ?), une évaluation technique des risques (vraisemblance et gravité), et un arbitrage de gouvernance (les mesures retenues ramènent-elles le risque résiduel à un niveau acceptable ?).

Résultat pratique : là où le registre des activités de traitement se maintient par mise à jour incrémentale, l’AIPD reste traitée comme un projet ponctuel. Elle est lancée trop tard — souvent après la mise en production, alors que l’article 35(1) exige qu’elle soit conduite avant le traitement —, mobilise trois ou quatre interlocuteurs pendant plusieurs semaines, produit un PDF de quarante pages, puis n’est jamais rouverte. L’article 35(11) impose pourtant un réexamen « si nécessaire » lorsque le risque évolue ; en pratique, personne ne sait quand ce moment arrive parce que rien ne le signale.

Il faut être clair sur ce qui peut être automatisé et ce qui ne peut pas l’être. L’appréciation du risque résiduel et l’avis du DPO ne sont pas automatisables — ce sont des jugements, et l’article 35(2) comme l’article 39(1)© les attribuent à des personnes. En revanche, tout ce qui entoure ce jugement — la détection du besoin, la collecte des éléments factuels, la réutilisation de l’existant, le suivi des mesures, le déclenchement des revues — relève de la mécanique pure. C’est là que se trouvent 70 à 80 % du temps réellement consommé.

Étape 1 : automatiser le déclencheur, pas l’analyse

Le point de départ n’est pas l’AIPD : c’est la question « faut-il en faire une ? ». Automatiser cette étape suppose de transformer trois référentiels en règles applicables à votre registre.

La liste positive de la CNIL. La délibération n° 2018-327 du 11 octobre 2018 fixe 14 types d’opérations pour lesquelles une AIPD est systématiquement requise : traitements de santé par les établissements, profilage à effet juridique, surveillance systématique des salariés, traitements de données biométriques de personnes vulnérables, gestion des alertes professionnelles, notation sociale, entre autres. Ce sont des règles binaires : si le traitement correspond au libellé, l’AIPD est due, sans discussion.

La liste négative. La délibération n° 2019-118 du 12 septembre 2019 énumère 12 types de traitements pour lesquels la CNIL considère qu’aucune AIPD n’est nécessaire — paie, gestion des contrôles d’accès simples, comptabilité fournisseurs, registre des membres d’une association, etc. Cette liste est le meilleur outil d’économie de temps disponible : elle permet de classer sans instruction une part importante du registre d’une PME.

Les 9 critères du CEPD. Les lignes directrices WP248 rev.01, reprises par la CNIL dans sa délibération n° 2018-326, retiennent neuf critères (évaluation/scoring, décision automatisée, surveillance systématique, données sensibles, grande échelle, croisement de jeux de données, personnes vulnérables, usage innovant, blocage d’un droit ou d’un contrat). Deux critères réunis créent une présomption de risque élevé. C’est une règle arithmétique — donc automatisable dès lors que chaque fiche de traitement porte les attributs correspondants.

Concrètement, cela signifie enrichir votre registre de quelques champs structurés (catégories de données, échelle, existence d’un profilage, publics concernés, technologie utilisée) et laisser un moteur de règles produire trois verdicts : AIPD requise, AIPD non requise, à instruire. Sur un registre de deux cents traitements, ce tri automatique isole en général une vingtaine de dossiers à traiter réellement — et surtout, il documente la décision de ne pas faire d’AIPD, qui est elle aussi une décision à justifier en cas de contrôle. C’est exactement le raisonnement détaillé dans notre guide quand faut-il faire une AIPD.

Étape 2 : réutiliser au lieu de recommencer

L’article 35(1), deuxième phrase, autorise expressément une seule analyse pour un ensemble d’opérations de traitement similaires présentant des risques élevés similaires. Cette disposition est massivement sous-exploitée, alors qu’elle est le principal gisement de productivité.

Trois schémas de mutualisation fonctionnent bien :

En pratique, on construit un modèle d’AIPD par famille, avec des blocs figés (finalité, base légale, mesures socles) et des blocs variables. Le gain est double : le temps de rédaction s’effondre, et la cohérence des évaluations de risque s’améliore — deux analystes différents ne notent plus le même risque 2 et 4 selon leur humeur.

Le logiciel PIA de la CNIL, gratuit et open source, permet précisément cela : depuis la version publiée le 7 avril 2026, il autorise la personnalisation de la base de connaissances pour y centraliser les éléments propres à votre secteur, et la duplication de modèles d’AIPD. C’est l’outil que je recommande à toute structure qui démarre. Ses limites apparaissent en revanche dès qu’on veut le connecter au registre, gérer un workflow de validation multi-acteurs ou suivre des plans d’action dans le temps : il n’est pas conçu pour cela.

Étape 3 : transformer l’AIPD en processus vivant

Une AIPD n’a de valeur probatoire que si elle reflète la réalité au moment du contrôle. Trois automatismes suffisent à maintenir cette fraîcheur.

Le rattachement au cycle de vie du traitement. Toute modification structurante d’une fiche du registre — nouvelle finalité, nouveau sous-traitant, nouvelle catégorie de données, changement d’hébergement — doit rouvrir automatiquement l’AIPD associée. C’est la traduction opérationnelle de l’article 35(11). Sans lien technique entre registre et AIPD, cette réouverture n’a jamais lieu. La cartographie automatisée des traitements est le prérequis : on ne peut pas déclencher sur un registre qu’on ne maintient pas.

Le suivi des mesures correctrices. Une AIPD se conclut presque toujours par des mesures « à mettre en œuvre ». Chacune devrait porter un responsable, une échéance et un statut, et remonter dans un tableau de bord. Dans les dossiers de contrôle, l’écart entre les mesures annoncées dans l’AIPD et les mesures effectivement déployées est l’un des points que la CNIL relève le plus volontiers — il transforme un document de conformité en aveu documenté. Les mesures techniques renvoient d’ailleurs directement aux exigences de l’article 32 RGPD et aux 12 mesures de sécurité recommandées par la CNIL.

La revue périodique calendarisée. À défaut d’événement déclencheur, une revue annuelle des AIPD relatives aux traitements à risque élevé constitue une pratique défendable. Elle se planifie, se notifie et se trace automatiquement.

Le seuil de la consultation préalable. Si le risque résiduel demeure élevé malgré les mesures, l’article 36(1) impose de consulter la CNIL avant la mise en œuvre — l’autorité dispose alors de huit semaines, prorogeables de six. Un outil qui calcule le risque résiduel peut signaler ce seuil automatiquement, au lieu de le laisser découvrir trois mois plus tard. Le mécanisme est détaillé dans notre analyse de l’article 36 RGPD.

Ce que l’automatisation ne dispensera jamais de faire

Quatre obligations resteront manuelles, et il est important de ne pas les perdre de vue en s’équipant.

L’avis du DPO (article 35(2)) doit être formalisé, daté et conservé — y compris lorsqu’il diverge de la décision finale du responsable de traitement, auquel cas la motivation du désaccord doit figurer au dossier. C’est un point que les contrôleurs vérifient systématiquement, et un logiciel ne peut que l’héberger, pas le produire. Voir sur ce point les missions du DPO à l’article 39.

Le recueil de l’avis des personnes concernées (article 35(9)) est prévu « le cas échéant » : la CNIL admet qu’on le documente par une consultation des représentants du personnel, d’un panel d’usagers ou d’associations. Ne pas le faire est acceptable ; ne pas expliquer pourquoi on ne l’a pas fait l’est moins.

La validation par le responsable de traitement, enfin, engage l’organisation. Elle doit être identifiée, datée, et portée par une personne disposant du pouvoir de décision.

Et le contrôle de proportionnalité lui-même (article 35(7)(b)) — la nécessité et la proportionnalité du traitement au regard des finalités — reste un raisonnement juridique. Aucun moteur de règles ne dira à votre place si géolocaliser des véhicules en dehors des heures de service est proportionné : ce raisonnement s’appuie sur la doctrine CNIL, la jurisprudence et le contexte social de l’entreprise.

Quand l’outillage devient rentable

L’arbitrage est assez net. En dessous d’une vingtaine de traitements et de deux ou trois AIPD, le logiciel PIA de la CNIL avec des modèles maison suffit largement, et l’investissement dans un outil dédié ne se justifie pas.

Au-delà — registre de plus de cinquante traitements, plusieurs entités juridiques, systèmes d’information mouvants, ou obligation de rendre compte à un comité — le coût du maintien manuel dépasse rapidement celui de l’outil. Le calcul n’est d’ailleurs pas seulement financier : dans une organisation multi-sites, l’homogénéité des évaluations de risque a plus de valeur défensive que la qualité de chaque AIPD prise isolément. Notre analyse du coût de la mise en conformité RGPD détaille les ordres de grandeur.

C’est précisément cette mécanique que Legiscope prend en charge : le moteur applique les listes CNIL et les critères CEPD à votre registre pour signaler les traitements qui déclenchent une AIPD, propose des modèles réutilisables par famille de traitements, suit les mesures correctrices avec leurs échéances, et rouvre l’analyse quand la fiche de traitement évolue. Le DPO conserve l’appréciation du risque et l’avis ; l’outil absorbe la détection, la saisie et le suivi. La même logique s’applique au registre et aux demandes de droits, qui constituent l’autre moitié de la charge documentaire.

Le cas particulier des systèmes d’IA

Depuis l’entrée en application progressive de l’AI Act, un même projet peut déclencher deux analyses distinctes. L’article 27 du règlement (UE) 2024/1689 impose une analyse d’impact sur les droits fondamentaux (FRIA) à certains déployeurs de systèmes d’IA à haut risque — organismes publics, entités privées fournissant des services publics, et opérateurs de scoring de crédit ou de tarification en assurance vie et santé. Cette FRIA ne remplace pas l’AIPD : elle s’y ajoute, avec un périmètre plus large (impact sur les droits fondamentaux, pas seulement sur les données).

L’article 26(9) de l’AI Act prévoit heureusement que le déployeur tenu de réaliser une AIPD peut s’appuyer sur les informations transmises par le fournisseur au titre de l’article 13. En pratique, cela signifie qu’un outillage commun aux deux analyses évite de dupliquer 60 % du travail. Les deux exercices sont détaillés dans nos guides sur l’AIPD appliquée à l’IA et sur la FRIA.

Ce qu’il faut retenir

• L’absence d’AIPD est un manquement autonome, sanctionnable jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial au titre de l’article 83(4)(a) — la CNIL l’a encore retenu au deuxième trimestre 2026 dans un dossier de vidéosurveillance.
• Le déclencheur s’automatise : les 14 types de la délibération 2018-327, les 12 types exemptés de la délibération 2019-118 et les 9 critères du CEPD sont des règles binaires applicables à un registre correctement structuré.
• L’article 35(1) autorise une AIPD unique pour des traitements similaires — c’est le principal gisement de gain, largement sous-exploité.
• Ce qui ne s’automatise pas : l’avis du DPO, le contrôle de proportionnalité de l’article 35(7)(b), la validation par le responsable de traitement et la consultation des personnes concernées.
• En dessous de 20 traitements, le logiciel PIA de la CNIL suffit ; au-delà de 50 traitements ou de plusieurs entités, l’outillage intégré au registre devient rentable.

FAQ

Peut-on utiliser un logiciel pour rédiger une AIPD à la place du DPO ?

Non. Un outil peut détecter le besoin d’AIPD, pré-remplir la description du traitement et proposer des mesures types, mais l’article 35(2) impose que l’avis du délégué à la protection des données soit sollicité, et l’article 39(1)© en fait une de ses missions propres. Cet avis doit être formalisé et conservé — il est vérifié en contrôle.

Le logiciel PIA de la CNIL suffit-il pour une PME ?

Dans la grande majorité des cas, oui. Il est gratuit, open source, disponible en 20 langues, et sa version d’avril 2026 permet de personnaliser la base de connaissances et de dupliquer des modèles. Ses limites apparaissent lorsqu’il faut le connecter au registre, gérer un circuit de validation entre plusieurs acteurs ou suivre des plans d’action dans la durée.

À quelle fréquence faut-il réviser une AIPD ?

L’article 35(11) impose un réexamen lorsque le risque évolue, sans fixer de périodicité. La pratique défendable consiste à combiner deux déclencheurs : une revue automatique à chaque modification structurante du traitement (nouvelle finalité, nouveau sous-traitant, nouvel hébergement) et une revue calendaire annuelle pour les traitements à risque élevé.

Une seule AIPD peut-elle couvrir plusieurs traitements ?

Oui, l’article 35(1) l’autorise expressément pour un ensemble d’opérations similaires présentant des risques élevés similaires. C’est le cas typique d’un dispositif de vidéoprotection déployé sur plusieurs sites ou d’un même outil SaaS utilisé par plusieurs filiales. Il reste nécessaire de documenter les spécificités locales qui modifient l’analyse de risque.

Faut-il refaire une AIPD si un sous-traitant change ?

Pas systématiquement, mais la question doit être posée. Si le nouveau prestataire modifie l’architecture technique, le lieu d’hébergement ou les mesures de sécurité, les risques changent et l’analyse doit être mise à jour. Le changement s’accompagne en tout état de cause de la révision du contrat de sous-traitance exigé par l’article 28 RGPD.

Combien de vos traitements auraient dû déclencher une AIPD ? Legiscope applique automatiquement les listes CNIL et les critères du CEPD à votre registre, signale les analyses manquantes et suit vos plans d’action dans le temps. Demander une démo Legiscope.