Université AFCDP des DPO 2025 : la gouvernance des données face à l’IA

La gestion des données n’est plus un sujet réservé aux services juridiques ou informatiques. À mesure que les entreprises déploient des outils d’intelligence artificielle, automatisent des décisions ou partagent davantage d’informations avec leurs partenaires, elles doivent répondre à une question concrète : qui décide des usages des données, selon quelles règles et avec quels contrôles ? C’est le fil directeur de la 19e Université AFCDP des DPO, annoncée les 7 et 8 février 2025 à la Maison de la Chimie, à Paris.

Le rendez-vous, porté par l’Association française des correspondants à la protection des données, entend réunir près de 1 000 professionnels : délégués à la protection des données, juristes, responsables de la conformité, spécialistes de la cybersécurité et acteurs de la transformation numérique. L’intelligence artificielle y occupe une place importante, car elle rend les obligations de protection des données à la fois plus techniques et plus opérationnelles.

Un rendez-vous à un moment charnière pour le RGPD et l’IA

Le cadre européen de la protection des données a été adopté en avril 2016 et s’applique depuis le 25 mai 2018. Le Règlement général sur la protection des données, ou RGPD, reste la référence dès lors qu’une organisation collecte, analyse, conserve ou transmet des données permettant d’identifier une personne, directement ou indirectement.

En janvier 2025, la conformité ne se résume toutefois plus à publier une politique de confidentialité ou à répondre à une demande d’accès. Les organisations doivent documenter leurs traitements, réduire les données collectées à ce qui est nécessaire, protéger les informations contre les accès non autorisés et encadrer leurs sous-traitants. Elles doivent aussi être capables d’expliquer leurs choix si une autorité de contrôle ou une personne concernée les interroge.

L’essor de l’IA générative et des systèmes d’analyse automatisée ajoute une couche de difficulté. Une donnée personnelle peut se trouver dans les documents versés à un assistant conversationnel, dans les historiques d’utilisation d’un outil, dans les jeux de données employés pour entraîner un modèle ou encore dans les résultats qu’il produit. Le sujet ne concerne donc pas uniquement les grands groupes technologiques : toute structure expérimentant ou déployant une IA est susceptible d’être concernée.

Que recouvre vraiment la gouvernance des données ?

La gouvernance des données désigne l’ensemble des règles, des rôles et des mécanismes qui permettent à une organisation de gérer ses informations de façon cohérente. Il ne s’agit pas d’une simple formalité administrative, ni d’un concept juridique défini de manière rigide par le RGPD. C’est une méthode de pilotage : savoir quelles données existent, où elles sont stockées, qui peut y accéder, pourquoi elles sont utilisées et combien de temps elles doivent être conservées.

Pour un public non spécialiste, la distinction est importante. Une entreprise peut être techniquement capable d’exploiter une masse de données sans disposer d’une gouvernance solide. Dans ce cas, elle risque de multiplier les fichiers redondants, de laisser des droits d’accès trop larges, de conserver des informations devenues inutiles ou de ne plus savoir quelle version d’une donnée est fiable.

Une démarche de gouvernance cherche notamment à répondre à plusieurs questions très concrètes :

• quelles catégories de données sont manipulées, y compris les données personnelles ou sensibles ;
• quelle équipe est responsable de leur qualité et de leur mise à jour ;
• à quelles finalités ces informations servent-elles ;
• quels partenaires ou sous-traitants y ont accès ;
• quels contrôles existent avant la mise en service d’un nouvel outil ;
• comment les données sont-elles supprimées, anonymisées ou archivées lorsque leur conservation n’est plus justifiée.

Cette organisation est particulièrement utile quand plusieurs métiers utilisent les mêmes données. Les équipes commerciales, les ressources humaines, le marketing, la sécurité et l’informatique peuvent poursuivre des objectifs différents tout en travaillant sur des informations relatives aux mêmes personnes. Sans règles communes, les risques de mauvaise interprétation, de fuite ou d’usage excessif augmentent.

L’IA en production, un test décisif pour la conformité

Parmi les thèmes annoncés figure la conformité des systèmes d’intelligence artificielle en production. L’expression est essentielle : elle distingue une expérimentation limitée d’un outil réellement employé au quotidien, par des salariés, des clients ou des utilisateurs externes.

Dans la phase d’essai, une organisation peut travailler sur un échantillon de données fictives ou strictement encadrées. Une fois le système déployé, les enjeux changent d’échelle. Les flux de données deviennent réguliers, les usages évoluent, de nouveaux collaborateurs obtiennent des accès et les décisions prises à partir des résultats de l’outil peuvent avoir des conséquences réelles.

Pour un système d’IA utilisant des données personnelles, plusieurs points doivent être examinés avant et après son déploiement. L’organisation doit notamment identifier la finalité du traitement, vérifier sur quelle base juridique il repose, limiter les données utilisées à celles qui sont nécessaires et définir des durées de conservation. Elle doit aussi connaître le rôle de chaque intervenant : responsable du traitement, sous-traitant, fournisseur de modèle, hébergeur ou intégrateur.

La qualité des données est un autre enjeu majeur. Une IA n’évalue pas spontanément la fiabilité, l’actualité ou le caractère représentatif des informations qui lui sont fournies. Des données incomplètes ou mal catégorisées peuvent produire des réponses erronées, des classements biaisés ou des recommandations difficiles à justifier. La gouvernance ne consiste donc pas seulement à empêcher un incident de sécurité : elle contribue aussi à la pertinence des résultats.

Conformité RGPD et gouvernance : deux approches complémentaires

La conformité au RGPD est indispensable, mais elle ne suffit pas à elle seule à organiser tous les usages d’une donnée dans une structure. La gouvernance fournit le cadre de gestion quotidien qui rend cette conformité plus durable, tout en couvrant des données qui ne sont pas nécessairement personnelles.

Le DPO, un repère entre les métiers, le droit et la technique

Le délégué à la protection des données, ou DPO, occupe une place centrale dans cet environnement. Sa mission ne consiste pas à valider mécaniquement chaque outil, ni à remplacer les équipes de sécurité, les juristes ou les responsables opérationnels. Le RGPD prévoit notamment qu’il informe et conseille l’organisation, contrôle le respect du règlement, accompagne les analyses d’impact lorsque nécessaire et coopère avec l’autorité de contrôle.

Avec l’IA, ce rôle exige un dialogue encore plus étroit avec les métiers. Le DPO doit pouvoir comprendre, à un niveau adapté, ce que fait un système : quelles données lui sont transmises, où elles sont traitées, si elles sont réutilisées par un fournisseur, si des personnes peuvent être affectées par ses résultats et quelles mesures permettent de limiter les risques.

Cela suppose également d’intervenir suffisamment tôt. Lorsqu’un outil est déjà intégré à des processus internes, que des données y circulent et que les utilisateurs ont pris de nouvelles habitudes, modifier son fonctionnement peut devenir coûteux et complexe. Associer la protection des données dès la conception d’un projet permet au contraire de poser les bonnes questions avant le déploiement.

L’Université AFCDP des DPO doit ainsi aborder le rôle du DPO dans le renseignement en sources ouvertes, ou OSINT. Ce sujet illustre un malentendu fréquent : l’accès public à une information ne fait pas disparaître les obligations de responsabilité, de proportionnalité et de sécurité liées à son traitement.

Des intervenants issus de la sécurité, de l’administration et de la recherche

La programmation annoncée réunit des profils venant d’horizons complémentaires. Emmanuel Naegelen, directeur général adjoint de l’Agence nationale de la sécurité des systèmes d’information, l’ANSSI, est annoncé parmi les intervenants. Sa présence souligne le lien étroit entre protection des données et cybersécurité : une gouvernance défaillante peut faciliter une fuite, tandis qu’un incident de sécurité peut exposer des données personnelles.

L’événement doit également accueillir Fabrice Mattatia, DPO du ministère de l’Intérieur, ainsi que Benoit Rottembourg, responsable REGALIA à l’Institut national de recherche en sciences et technologies du numérique, Inria. La diversité de ces parcours est significative. Les enjeux ne sont pas identiques dans une administration, un organisme de recherche ou une entreprise privée, mais tous sont confrontés à la nécessité de concilier innovation, sécurité et respect des droits des personnes.

L’ambition de rassembler près de 1 000 participants fait de cette rencontre un temps d’échange notable pour la communauté française de la conformité. Au-delà des conférences, ce type de rendez-vous permet aux professionnels de comparer leurs difficultés concrètes : cartographie de données incomplète, encadrement d’un prestataire, déploiement d’un outil d’IA, gestion des demandes des personnes ou arbitrage entre rapidité opérationnelle et exigences de contrôle.

Pourquoi la gouvernance devient un sujet de direction générale

Longtemps, les données ont été considérées avant tout comme une ressource technique. Elles sont désormais un actif stratégique, mais aussi une source de responsabilité. Une mauvaise maîtrise peut entraîner une perte de confiance, des difficultés opérationnelles, une exposition accrue aux incidents de sécurité et, pour les données personnelles, un risque de non-conformité.

La gouvernance implique donc bien plus que le DPO. La direction doit fixer les priorités, les équipes métiers doivent expliciter leurs besoins, les responsables informatiques doivent organiser les accès et les flux, tandis que les équipes de sécurité protègent les environnements. Le DPO aide à inscrire ces décisions dans le cadre de la protection des personnes.

Pour les organisations qui s’équipent d’outils d’IA, la question centrale n’est pas seulement « peut-on utiliser cette technologie ? ». Elle devient : « dans quelles conditions, sur quelles données, pour quel objectif, avec quel niveau de contrôle humain et quelle capacité à rendre des comptes ? ». C’est cette évolution, de la simple collecte à la maîtrise de tout le cycle de vie de la donnée, qui explique l’importance prise par la gouvernance.

Ce qu’il faut surveiller après l’événement

Les discussions de l’Université AFCDP des DPO interviennent alors que les règles européennes sur l’IA commencent à s’appliquer progressivement. Les organisations devront suivre à la fois l’évolution de leurs usages et celle de leurs obligations. Elles devront surtout éviter de traiter l’IA comme un outil isolé : son déploiement touche aux données, à la cybersécurité, aux achats, aux ressources humaines, à la relation client et à la responsabilité de la direction.

La priorité pratique sera de maintenir une vision claire des flux de données. Cela passe par une cartographie régulièrement actualisée, des contrats adaptés avec les fournisseurs, des règles d’accès compréhensibles, une documentation utile et des processus permettant de détecter puis corriger les problèmes. Ces éléments peuvent sembler moins spectaculaires qu’un nouveau modèle d’IA, mais ils conditionnent la capacité d’une organisation à innover sans perdre le contrôle.

Les 7 et 8 février 2025, à Paris, la 19e édition de l’Université AFCDP des DPO doit offrir un espace pour mettre ces enjeux en perspective. Pour les professionnels de la donnée, l’intérêt du rendez-vous tient autant à l’actualité réglementaire qu’aux retours d’expérience sur un métier devenu l’un des points de rencontre entre droits fondamentaux, technologie et stratégie d’entreprise.