Logiciel AIPD / DPIA : automatiser les analyses d'impact

Un logiciel d’AIPD (analyse d’impact relative à la protection des données, ou DPIA en anglais) structure, documente et fait vivre les analyses d’impact exigées par l’article 35 du RGPD pour les traitements à risque élevé. Deux grandes options existent : l’outil PIA de la CNIL, gratuit, open source et parfaitement valable pour réaliser une AIPD isolée ; et les plateformes intégrées, qui relient l’AIPD au registre des traitements, gèrent le workflow de validation par le DPO et maintiennent l’analyse à jour dans le temps. Le choix dépend du volume d’AIPD à produire et du besoin de traçabilité : une AIPD ponctuelle se fait très bien avec l’outil CNIL ; une organisation qui en réalise plusieurs par an, reliées à son registre, gagne à passer sur une plateforme.

Voici comment fonctionnent ces outils, quand l’AIPD est obligatoire, et comment choisir entre l’application gratuite de la CNIL et une plateforme intégrée.

Points clés

• L’article 35 RGPD impose une AIPD quand un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes.
• L’outil PIA de la CNIL est gratuit, open source et suffisant pour une AIPD ponctuelle.
• Les plateformes intégrées apportent le lien avec le registre, le workflow de validation et la mise à jour continue.
• La CNIL publie une liste de traitements soumis à AIPD obligatoire : c’est le premier réflexe avant tout projet.

Quand l’AIPD est-elle obligatoire

L’AIPD n’est pas une formalité universelle. L’article 35 du RGPD la déclenche lorsqu’un traitement est « susceptible d’engendrer un risque élevé » pour les droits et libertés des personnes concernées. Trois critères la rendent en pratique obligatoire : l’évaluation ou la notation systématique (scoring, profilage), le traitement à grande échelle de données sensibles au sens de l’article 9, et la surveillance systématique d’une zone accessible au public.

Au-delà de ces critères, la CNIL publie une liste de types de traitements pour lesquels une AIPD est obligatoire — traitements de données de santé par les établissements, traitements de profilage à impact juridique, dispositifs d’alerte, entre autres. Consulter cette liste avant de lancer un projet est le premier réflexe. Notre guide complet sur l’analyse d’impact RGPD détaille la méthode d’évaluation et les seuils de déclenchement.

Le point crucial : l’AIPD doit être menée avant le traitement, pas après. C’est une obligation d’anticipation. Un logiciel aide précisément à ne pas rater ce moment, en déclenchant l’analyse dès la création d’un traitement dans le registre.

Outil PIA de la CNIL ou plateforme intégrée

La CNIL met à disposition un logiciel PIA gratuit, en open source, qui déroule la méthode officielle : description du traitement, évaluation de la nécessité et de la proportionnalité, analyse des risques (accès illégitime, modification non désirée, disparition de données), plan d’action. Pour une AIPD isolée, il est excellent et sans coût.

Ses limites apparaissent à l’échelle. L’outil PIA traite chaque analyse comme un fichier indépendant : pas de lien natif avec le registre, pas de workflow de validation multi-acteurs, pas d’alerte de réexamen. Une organisation qui produit dix AIPD par an, mobilise plusieurs métiers et doit prouver la validation par le DPO se retrouve à gérer manuellement une collection de fichiers.

Critère	Outil PIA CNIL	Plateforme intégrée
Coût	Gratuit, open source	Inclus dans la plateforme RGPD
AIPD ponctuelle	Excellent	Bon
Lien avec le registre	Manuel	Automatique
Workflow de validation DPO	Aucun	Intégré
Réexamen / alertes	Manuel	Planifié
Volume élevé d’AIPD	Fastidieux	Adapté

Le bon arbitrage : l’outil CNIL pour une organisation simple qui réalise une AIPD de temps en temps ; une plateforme dès que le volume, la validation multi-acteurs et la traçabilité deviennent structurants. Une plateforme comme Legiscope relie l’AIPD à la fiche de traitement du registre et conserve l’historique des versions, ce qui évite de retrouver une AIPD orpheline lors d’un contrôle.

Ce qu’un logiciel d’AIPD doit apporter

Au-delà de la simple saisie, cinq fonctions distinguent un outil utile.

Le déclenchement depuis le registre. L’AIPD ne doit pas être un silo. Quand un traitement à risque élevé est créé, l’analyse doit se lancer automatiquement depuis sa fiche. C’est le meilleur moyen de respecter l’obligation d’antériorité de l’article 35.

Le workflow de validation. Une AIPD implique le métier, le DPO et parfois le RSSI. Un logiciel trace qui a rédigé, qui a évalué le risque et qui a validé — la preuve d’accountability au sens de l’article 5(2).

La bibliothèque de risques et de mesures. Un bon outil propose des scénarios de menace et des mesures de traitement du risque, alignés sur la méthode CNIL, plutôt que de laisser l’utilisateur devant une page blanche.

Le suivi du plan d’action. L’AIPD conclut sur des mesures. Le logiciel doit suivre leur mise en œuvre, pas seulement les lister.

Le réexamen. L’AIPD n’est pas figée : elle se révise quand le traitement change. Un outil qui planifie ce réexamen évite les analyses périmées.

Pour cadrer votre première analyse, notre modèle d’AIPD fournit une trame prête à l’emploi, et le rôle du délégué à la protection des données dans la validation est détaillé dans notre guide dédié.

L’AIPD dans une démarche outillée globale

L’AIPD n’a de sens que reliée au reste de la conformité. Elle s’alimente du registre, elle informe la sécurité, elle documente les traitements les plus sensibles. C’est pourquoi le choix d’un logiciel d’AIPD se pose rarement isolément : il fait partie du choix d’une plateforme de conformité. Pour élargir la réflexion, voir notre comparatif des logiciels RGPD, qui situe l’AIPD parmi les autres modules attendus.

L’enjeu n’est pas cosmétique. Une AIPD mal menée — ou absente là où elle était obligatoire — est un manquement direct à l’article 35, que la CNIL sanctionne. L’EDPB a publié des lignes directrices sur l’AIPD qui précisent les critères de risque élevé et la méthode attendue. Un logiciel qui structure l’analyse selon ces référentiels réduit à la fois le risque juridique et le temps passé.

Sur le plan pratique, l’écart de temps est considérable. Une AIPD menée à la main, en repartant d’un document vierge et en cherchant les scénarios de risque, mobilise facilement plusieurs jours répartis entre le métier et le DPO. La même analyse, lancée depuis une fiche de traitement pré-remplie et appuyée sur une bibliothèque de menaces et de mesures, se boucle en quelques heures. Sur une organisation qui produit dix analyses par an, ce gain se chiffre en semaines de travail — et surtout en analyses effectivement menées plutôt que reportées faute de temps.

AIPD et intelligence artificielle : le nouveau terrain

L’essor des systèmes d’IA déplace le centre de gravité de l’AIPD. Un traitement fondé sur un algorithme de scoring, de profilage ou de décision automatisée coche presque toujours les critères de risque élevé de l’article 35. À cela s’ajoute désormais l’AI Act, qui impose sa propre logique d’évaluation pour les systèmes à haut risque, sans se substituer au RGPD : les deux régimes s’appliquent en parallèle.

Concrètement, une organisation qui déploie un outil d’IA traitant des données personnelles doit mener une AIPD au titre du RGPD et respecter les obligations de l’AI Act. Un logiciel qui articule ces deux analyses évite de dupliquer le travail et de laisser des angles morts. C’est aussi l’intérêt de relier l’AIPD à un registre des systèmes d’IA, qui inventorie les usages algorithmiques et leur niveau de risque.

Le profilage et les décisions automatisées encadrés par l’article 22 du RGPD sont précisément les traitements où l’AIPD est la plus scrutée. Un contrôleur regardera si l’analyse a documenté la logique du modèle, les mesures contre les biais et les garanties offertes aux personnes. Un outil qui structure ces rubriques met l’organisation en position de démontrer sa maîtrise, plutôt que de reconstruire l’analyse dans l’urgence d’un contrôle.

Cette convergence RGPD–IA est l’une des raisons pour lesquelles l’AIPD ne peut plus être traitée comme un document isolé : elle devient un point de rencontre entre protection des données, sécurité et gouvernance de l’IA. Le logiciel qui la porte doit donc dialoguer avec le registre, la cartographie et l’inventaire des systèmes d’IA.

FAQ

L’outil PIA de la CNIL suffit-il ?

Pour une AIPD ponctuelle, oui : il est gratuit, open source et déroule la méthode officielle. Ses limites apparaissent à l’échelle — pas de lien avec le registre, pas de workflow de validation, pas d’alerte de réexamen. Une organisation qui produit plusieurs AIPD par an gagne à passer sur une plateforme intégrée.

Quand une AIPD est-elle obligatoire ?

Quand un traitement est susceptible d’engendrer un risque élevé pour les droits des personnes : profilage ou scoring systématique, traitement à grande échelle de données sensibles, surveillance systématique d’un lieu public. La CNIL publie aussi une liste de types de traitements soumis à AIPD obligatoire, à consulter avant tout projet.

Un logiciel d’AIPD est-il obligatoire ?

Non. L’article 35 impose de réaliser l’AIPD, pas d’utiliser un logiciel. L’outil PIA de la CNIL ou même un document structuré suffisent juridiquement. Le logiciel apporte la fiabilité, la traçabilité et la mise à jour, décisives dès que le volume d’analyses augmente.

Faut-il refaire l’AIPD quand le traitement change ?

Oui. L’AIPD doit être réexaminée lorsque le risque évolue — nouvelle finalité, nouvelle catégorie de données, nouveau sous-traitant, nouvelle technologie. Un logiciel qui planifie ce réexamen évite de conserver des analyses périmées qui ne protègent plus l’organisation.