En bref — Une DPIA (ou AIPD, analyse d’impact relative à la protection des données) est une analyse préventive imposée par l’article 35 du RGPD pour tout traitement susceptible d’engendrer un risque élevé pour les droits des personnes. Pour une collectivité qui déploie de l’IA, c’est la pierre angulaire de la gouvernance : elle cartographie les risques avant qu’ils ne deviennent des incidents. La CNIL fournit gratuitement un logiciel pour la réaliser.
Dernière mise à jour : 20 juillet 2026 — temps de lecture : 9 min.
L’essentiel en 30 secondes
- La DPIA n’est pas optionnelle dès qu’un traitement présente un risque élevé pour les droits des personnes. En cas de doute, la CNIL recommande de la faire par précaution.
- La base légale se choisit avant le déploiement, pas après. La CNIL insiste : changer de base légale en cours de traitement est généralement impossible.
- L’AIPD reste l’outil central à l’ère de l’IA. L’EDPB l’a confirmé fin 2024 : elle articule RGPD et AI Act.
- Un outil gratuit existe. Le logiciel PIA de la CNIL déroule toute la méthode, en français, sans coût de licence.
- La DPIA n’est qu’une brique. La gouvernance IA d’une collectivité repose aussi sur une charte, un comité, la traçabilité et la formation.
Qu’est-ce qu’une DPIA (AIPD) et quand est-elle obligatoire ?
La DPIA — on parle aussi d’AIPD en français, ou de PIA — est une analyse structurée et préventive prévue par l’article 35 du RGPD. Elle vise à identifier, évaluer et réduire les risques qu’un traitement de données personnelles fait peser sur les droits et libertés des personnes concernées.
Elle est obligatoire dès lors qu’un traitement est susceptible d’engendrer un risque élevé. Dans le monde des collectivités, cela vise typiquement les usages qui touchent des données sensibles ou des publics vulnérables : dispositifs de vidéoprotection, traitements sociaux, croisements de fichiers, ou systèmes d’IA analysant des demandes d’usagers.
Quand le niveau de risque n’est pas évident, la règle de prudence prévaut : mieux vaut réaliser une DPIA à titre de précaution. Et même lorsqu’aucune DPIA formelle n’est requise, la collectivité, en tant que responsable du traitement, reste tenue de respecter l’ensemble des obligations du RGPD — licéité, minimisation, transparence, sécurité.
À retenir — DPIA obligatoire n’est pas la seule question. Si le risque est incertain, on la fait quand même ; si elle n’est pas requise, le RGPD s’applique toujours.
Faut-il une DPIA pour un chatbot ou un outil d’IA en collectivité ?
C’est la question pratique que se posent les équipes. La réponse dépend de ce que l’IA fait des données, pas de l’étiquette « IA ». Voici la logique de décision à appliquer.
Si l’outil ne traite aucune donnée personnelle — par exemple un assistant de rédaction utilisé sur des contenus totalement anonymes — la DPIA au titre du RGPD n’est pas requise, mais les principes de sécurité et de confidentialité restent à respecter.
Si l’outil traite des données personnelles avec un risque élevé — un chatbot citoyen qui collecte des demandes nominatives, un système qui pré-instruit des dossiers — la DPIA est obligatoire et doit être menée avant la mise en production.
Entre les deux, si le risque est incertain, la DPIA est fortement recommandée. Elle devient alors votre première ligne de défense : elle documente vos choix et démontre votre responsabilisation.
Tableau : dois-je faire une DPIA ?
| Situation | DPIA ? | Réflexe |
|---|---|---|
| Pas de données personnelles | Non requise | Sécurité + confidentialité |
| Données personnelles, risque incertain | Recommandée | Faire par précaution |
| Risque élevé (données sensibles, publics vulnérables) | Obligatoire | Avant le déploiement |
À retenir — Une DPIA se fait avant la mise en production, jamais après l’incident. Elle est une méthode de cartographie du risque, pas une formalité de dossier.
Comment réaliser une DPIA IA : la méthode CNIL
La CNIL ne fournit pas un formulaire figé, mais structure sa méthode autour de quatre volets que toute analyse conforme doit couvrir. C’est le squelette d’une DPIA d’IA.
Le premier volet est la description du traitement : finalités, base légale au titre de l’article 6 du RGPD, catégories de données et de personnes concernées, durées de conservation, destinataires et éventuels transferts hors Union européenne. C’est le socle factuel — et c’est là que le choix de la base légale, fait en amont, est déterminant.
Le deuxième volet évalue la nécessité et la proportionnalité : le traitement est-il justifié, les données sont-elles minimisées, les droits des personnes garantis ?
Le troisième volet identifie les risques pour les personnes (accès illégitime, modification, disparition des données) et leur gravité.
Le quatrième volet définit les mesures qui réduisent ces risques : mesures techniques, mais aussi mesures de gouvernance recommandées par la CNIL — comité éthique, traçabilité des actions pour expliquer les comportements anormaux, documentation interne comme une charte.
Bonne nouvelle pour les collectivités aux moyens limités : une seule DPIA peut couvrir plusieurs traitements similaires, ce qui permet de mutualiser l’effort sur des usages proches.
Quels outils gratuits pour démarrer ?
Pas besoin d’un budget de licence pour commencer. La CNIL met à disposition son logiciel PIA en open source, disponible en français, qui déroule l’intégralité de sa méthode. C’est le point de départ idéal pour une première DPIA, y compris pour une petite commune.
À noter pour la suite : la France a choisi une gouvernance « éclatée » de l’AI Act, et la CNIL se prépare à devenir l’une des autorités de surveillance du marché au titre du règlement. Autrement dit, votre interlocuteur historique sur les données devient aussi un interlocuteur IA. S’appuyer sur ses outils et ses fiches pratiques est le choix le plus sûr.
À retenir — Commencer par le logiciel PIA de la CNIL évite de réinventer la méthode et aligne d’emblée votre collectivité sur les attentes du régulateur.
Au-delà de la DPIA : les 5 briques d’une gouvernance IA de collectivité
La DPIA traite un usage. La gouvernance traite l’ensemble. Pour une collectivité, cinq briques structurent une gouvernance IA solide et proportionnée.
- Un registre des usages d’IA — la cartographie vivante de qui utilise quoi, sur quelles données. C’est le socle qui rend le reste possible.
- Une charte d’utilisation — les règles claires : usages permis, données interdites de saisie, bons réflexes. Elle satisfait aussi une attente forte de la CNIL.
- Un comité IA — une instance légère qui arbitre les cas d’usage, valide les déploiements et suit les risques. Plusieurs collectivités l’ont déjà créé.
- La traçabilité — journaliser les actions pour pouvoir expliquer, et le cas échéant corriger, un comportement anormal du système.
- La formation — sans montée en compétence des agents, aucune règle ne tient. C’est aussi une obligation au titre de la littératie IA de l’AI Act.
À retenir — DPIA + registre + charte + comité + traçabilité + formation : c’est le passage d’une IA subie à une IA gouvernée. Aucune de ces briques ne coûte cher ; leur absence, si.
Une précision utile : DPIA n’est pas FRIA
Deux analyses d’impact coexistent et se confondent souvent. La DPIA relève du RGPD (article 35) et protège les données personnelles. La FRIA — analyse d’impact sur les droits fondamentaux — relève de l’AI Act et concerne les déployeurs du secteur public utilisant certains systèmes à haut risque ; son application est attendue avec le calendrier haut risque (reporté au 2 décembre 2027). Pour la plupart des usages courants d’une collectivité, c’est la DPIA qui prime aujourd’hui ; la FRIA s’anticipe pour les usages sensibles à venir.
FAQ — DPIA et gouvernance IA en collectivité
Qu’est-ce qu’une DPIA (AIPD) ? C’est une analyse préventive imposée par l’article 35 du RGPD, qui identifie et réduit les risques qu’un traitement de données personnelles fait peser sur les droits des personnes. On l’appelle aussi AIPD ou PIA.
Une DPIA est-elle obligatoire pour l’IA d’une collectivité ? Elle est obligatoire dès que le traitement présente un risque élevé pour les droits des personnes. En cas de doute sur le niveau de risque, la CNIL recommande de la réaliser par précaution.
Quand faut-il réaliser la DPIA ? Avant la mise en production du traitement, jamais après. La base légale doit également être choisie en amont, car en changer en cours de traitement est généralement impossible.
Existe-t-il un outil gratuit pour réaliser une DPIA ? Oui. La CNIL met à disposition un logiciel PIA open source, en français, qui déroule l’intégralité de sa méthode.
Une seule DPIA peut-elle couvrir plusieurs outils ? Oui, à condition que les traitements soient suffisamment similaires. C’est un moyen de mutualiser l’effort pour les collectivités aux moyens limités.
Quelle différence entre DPIA et FRIA ? La DPIA relève du RGPD et protège les données personnelles. La FRIA relève de l’AI Act, concerne les déployeurs publics de certains systèmes à haut risque, et s’anticipe avec le calendrier haut risque reporté à décembre 2027.
Passer de la conformité subie à la gouvernance choisie
La DPIA a mauvaise réputation : perçue comme une contrainte, elle est en réalité l’outil qui permet à une collectivité de déployer l’IA sereinement, en sachant ce qu’elle fait et en pouvant le démontrer. Couplée à une charte, un registre et de la formation, elle transforme la conformité en avantage : la confiance des usagers et des élus.
Teriagen accompagne les collectivités dans la mise en place de leur gouvernance IA : réalisation des DPIA, rédaction de la charte d’utilisation, mise en place du comité IA et formation des agents. Structurez votre gouvernance IA →
Pour les obligations qui arrivent au 2 août 2026, voir « Chatbot citoyen et AI Act ». Pour cadrer les usages non maîtrisés, voir « Shadow AI en mairie : de qui est-ce la responsabilité ? ».
Cet article a une vocation informative et pédagogique ; il ne constitue pas un conseil juridique. Pour une analyse adaptée à votre collectivité, rapprochez-vous de votre DPO ou de votre conseil. Rédigé par l’équipe Teriagen, spécialiste de l’accompagnement des collectivités à l’IA générative.
