Dans les grandes maisons, c’est un métier à part entière ; dans les PME, c’est souvent un chapeau de plus — sur la tête d’un prestataire, ou sur la vôtre. Le délégué à la protection des données veille sur ce que l’entreprise sait de ses clients, de ses salariés, de ses partenaires. Un métier de cartographe, longtemps : tenir le registre des traitements, documenter les finalités, répondre aux demandes. Puis l’IA est arrivée dans tous les services à la fois — et le poste a changé de nature en dix-huit mois. Pas parce que le RGPD aurait changé : parce que la donnée, elle, a changé de comportement. Elle ne dort plus. Elle voyage.
Le registre était vrai tant que la donnée dormait
Pendant vingt ans, protéger les données a consisté à tenir la carte d’un territoire à peu près stable. On savait où vivait la donnée : le fichier client dans le CRM, la paie chez le comptable, les dossiers dans le serveur. Le registre des traitements — la pièce maîtresse du RGPD — pouvait être juste, parce qu’il décrivait des bases identifiées, des accès connus, des durées maîtrisées. La donnée dormait ; on gardait les portes.
L’IA a mis le territoire en mouvement. Un dossier qu’on colle dans un chat pour « résumer », un enregistrement envoyé à une API pour être transcrit, une liste de clients soumise à un outil qui rédige les relances : chacun de ces gestes est un traitement, un voyage de la donnée hors de vos murs — et presque aucun ne figure au registre. Le problème du DPO d’aujourd’hui n’est pas que sa carte soit fausse. C’est que le territoire bouge désormais toutes les semaines.
Le vrai risque : l’IA que personne ne vous a déclarée
Il faut le dire sans détour : vos équipes utilisent déjà l’IA, que vous l’ayez décidé ou non. Le commercial qui fait réécrire une proposition, l’assistante qui demande le résumé d’un dossier, le comptable qui fait vérifier un tableau — aucune malveillance là-dedans, juste du temps gagné sur des journées trop pleines. On appelle ça le shadow AI, l’IA fantôme : des usages réels, quotidiens, invisibles de celui qui est censé les gouverner. Et chacun de ces gestes envoie des données — parfois nominatives, parfois sensibles — vers un tiers que personne n’a évalué.
Face à ça, le réflexe de l’interdiction est le pire des deux mondes. Interdire ne supprime pas l’usage : ça le rend clandestin. L’outil passe du poste de travail au téléphone personnel, et le DPO perd la seule chose qui lui restait — la visibilité. On ne gouverne pas un flux qu’on a poussé dans l’ombre. Le métier n’est donc plus d’autoriser ou d’interdire des outils ; il est de canaliser des usages. Et pour canaliser, il faut d’abord regarder la réalité en face, sans punir ceux qui la révèlent.
Les questions qui n’existaient pas il y a trois ans
Devant chaque outil d’IA, la grille de lecture du DPO s’est brutalement allongée. Où la donnée part-elle, et franchit-elle les frontières de l’Union ? Sert-elle à entraîner le modèle suivant — autrement dit, votre savoir devient-il le produit d’un autre ? Combien de temps le fournisseur la conserve-t-il, et pour quoi faire ? Et la plus vertigineuse : si un client exerce son droit à l’effacement, comment effacer d’un modèle qui a déjà appris ? Un modèle entraîné n’a pas de bouton « oublier ». Ajoutez l’analyse d’impact exigée pour les traitements à risque, et l’AI Act européen qui superpose désormais ses propres obligations à celles du RGPD : la pile de questions monte plus vite que les journées ne s’allongent.
On pourrait en conclure que le métier devient impossible. La vérité est plus précise : il devient impossible à tenir par le papier seul. Aucune charte, aucune clause, aucun avenant ne rattrape une architecture qui, par défaut, envoie tout dehors. Quand chaque réponse dépend des conditions générales d’un fournisseur — qui peuvent changer le mois prochain —, la conformité n’est plus un état : c’est une course. Et cette course-là, personne ne la gagne en courant plus vite. On la gagne en changeant de terrain.
La sortie par le haut : redevenir architecte, pas seulement gardien
Changer de terrain, c’est poser une question d’architecte avant les questions de juriste : cette donnée a-t-elle besoin de partir ? Quand l’IA travaille en local, chez vous — c’est ce qu’on installe avec AQUIFÈRE —, la grille de tout à l’heure se vide d’un coup. Transfert hors Union ? Il n’y a pas de transfert du tout. Entraînement par un tiers ? Personne d’autre ne touche le modèle. Durée de conservation ? La vôtre. Droits des personnes ? Exerçables, parce que la donnée n’a jamais quitté vos bases. Le registre redevient vrai — non par un effort de mise à jour, mais par construction.
Le second geste d’architecte, c’est de décider noir sur blanc ce qu’aucune IA ne verra jamais : les dossiers RH, le médical, le contentieux, ce que vous jugez intouchable. Pas une consigne dans une charte — une liste appliquée techniquement, vérifiable, qui tient même quand l’humain est pressé. C’est exactement le raisonnement de la privacy by design qu’on défendait ici il y a quelques semaines, appliqué au poste de travail de l’IA : la protection ne se surveille pas, elle s’installe. Pour le DPO, la différence est existentielle — il cesse de courir derrière les usages, parce que les usages naissent déjà dans le bon cadre.
Trois gestes pour commencer, sans usine à gaz
Premier geste : cartographiez les usages réels, pas les outils achetés. Demandez aux équipes ce qu’elles font vraiment avec l’IA — sans sanction, c’est la condition pour qu’on vous dise la vérité. En une semaine, vous aurez découvert votre shadow AI ; c’est inconfortable, et c’est le vrai point de départ. Deuxième geste : écrivez la règle des trois zones. Vert : ce qui peut aller dans une IA cloud sans dommage. Orange : ce qui ne se traite qu’en local, sur vos machines. Rouge : ce qu’aucune IA ne touche, jamais. Une page, affichable, comprise de tous — une règle courte qu’on applique bat une politique de quarante pages qu’on ignore.
Troisième geste, le plus décisif : offrez l’alternative avant d’interdire. Le shadow AI prospère quand le chemin interdit est le seul praticable ; il se tarit le jour où l’outil propre — une IA interne, locale, souveraine — est aussi simple que le chatbot public. Être DPO à l’ère de l’IA, ce n’est plus seulement garder un registre : c’est gouverner des flux, et choisir des architectures qui rendent la règle tenable. Que ce chapeau soit porté par un délégué désigné, un prestataire ou par vous-même, la question du soir est la même : savez-vous où vos données ont voyagé aujourd’hui ? Le jour où la réponse est « nulle part », le métier redevient ce qu’il aurait toujours dû être — non pas une course, mais une fondation.
Et si votre registre redevenait vrai — parce que la donnée ne bouge plus ?
On en parle 30 minutes : cartographier vos usages réels d’IA, décider noir sur blanc ce qu’aucune IA ne verra jamais, et poser l’alternative souveraine qui rend la règle tenable au quotidien. La conformité cesse d’être une course quand la donnée n’a plus de raison de partir.
Découvrir inIAccessible →