Quand une AIPD est-elle obligatoire ? Guide de décision

Savoir quand une AIPD est obligatoire commence par une question de risque, pas par le nom d’un logiciel, car le RGPD impose l’analyse avant le traitement lorsque les opérations envisagées sont susceptibles d’engendrer un risque élevé pour les droits et libertés ¹. Cette appréciation porte sur le traitement proposé, avec sa nature, sa portée, son contexte et ses finalités.

L’article 35 désigne aussi trois familles de cas qui appellent directement une AIPD ¹. En dehors de ces cas, les critères issus de la guidance WP248 aident à reconnaître les combinaisons de facteurs qui rendent le risque élevé probable, sans créer un seuil légal mécanique ². Le résultat utile est une décision motivée, positive ou négative, prise avant le démarrage et reliée à un propriétaire, à des preuves et à un réexamen.

Réponse rapide — Une AIPD est obligatoire quand un traitement projeté est susceptible d’engendrer un risque élevé pour les droits et libertés. Examinez les cas de l’article 35, les critères pertinents et les listes de l’autorité compétente, puis consignez un oui ou un non motivé avant de commencer le traitement ¹.

Une réponse positive ouvre un travail précis sur les finalités, la proportionnalité, les risques et les mesures. Une réponse négative ne ferme pas le dossier sans trace: elle exige d’indiquer pourquoi les faits observés ne rendent pas le risque élevé probable et ce qui déclenchera une nouvelle analyse.

Cette méthode donne aussi une prochaine action à chaque branche: le oui lance l’analyse d’impact, le non produit une justification réutilisable et une information encore absente suspend la conclusion jusqu’à ce que le responsable du projet l’obtienne.

Dernière mise à jour : 26 août 2026

Le risque probable vient avant la technologie

Le point de départ est le traitement dans son ensemble. L’article 35 demande si les opérations envisagées, notamment par leur nature, leur portée, leur contexte et leurs finalités, sont susceptibles d’engendrer un risque élevé ¹. Une technologie nouvelle peut rendre certaines conséquences plus plausibles ou plus étendues, mais son caractère récent ne constitue pas, seul, le déclencheur juridique.

Décrivez donc d’abord ce qui sera réellement fait: quelles données entrent dans le processus, quelles personnes sont concernées, à quelle échelle les opérations se déroulent et quelles décisions ou observations en résultent. L’analyse n’a pas pour objet d’étiqueter un produit comme risqué, puisqu’elle relie des opérations concrètes à leurs effets possibles sur les droits et libertés ¹.

Le test reste conditionnel. Il ne demande pas de prouver qu’un dommage surviendra; il demande si le projet est susceptible d’engendrer un risque élevé compte tenu de ses caractéristiques ¹. Cette formulation évite deux raccourcis opposés: déclarer toute automatisation dangereuse, ou attendre une certitude impossible avant de lancer l’analyse.

Le calendrier fait partie de la réponse puisque l’AIPD doit précéder le traitement projeté ¹. L’équipe peut alors revoir une finalité, réduire une portée ou prévoir des garanties pendant qu’un choix reste possible. Une analyse commencée après la mise en service ne remplit pas ce rôle préventif, même si elle peut encore révéler des actions correctives nécessaires.

Pour rendre ce calendrier praticable, placez l’écran AIPD au moment où les finalités et les grandes caractéristiques du traitement sont connues, mais avant qu’elles ne soient figées par le lancement. Le responsable de l’activité apporte le fonctionnement envisagé; les personnes qui connaissent les données et les effets complètent les faits. La réponse peut alors influencer le projet au lieu de seulement le décrire.

Trois cas rendent l’analyse incontournable

L’article 35 présente trois cas dans lesquels une AIPD est notamment requise: ils doivent être vérifiés séparément, car chacun repose sur des faits différents. Une description générale comme « nous utilisons de l’IA » ne permet de confirmer ni d’écarter aucun de ces cas.

Les lignes du tableau sont des tests cumulatifs propres à chaque cas, pas une collection de mots-clés. Par exemple, « automatisé » ne remplace pas l’examen de l’évaluation, de son caractère systématique et approfondi, puis de l’effet de la décision. De même, la présence d’une donnée relevant de l’article 9 ne permet pas de sauter la question de l’échelle.

La guidance WP248 apporte un écran complémentaire lorsque le projet ne se laisse pas classer immédiatement ². Son approbation par le CEPD maintient ce cadre d’interprétation disponible pour l’analyse ³. Les cas obligatoires de l’article 35 restent néanmoins l’entrée la plus directe: lorsqu’un cas est confirmé, l’équipe n’a pas à transformer la suite en vote informel sur l’opportunité de documenter le risque.

Le parcours commence par les cas obligatoires, puis passe aux critères et aux listes si aucun cas n’est établi ¹. Un risque probablement élevé conduit à l’AIPD; l’absence de ce risque conduit à une justification écrite ². Après l’analyse, un risque résiduel élevé peut mener à une consultation préalable, tandis que les autres branches fixent toutes un déclencheur de réexamen.

Une vérification disciplinée distingue ainsi les faits, le test et la conséquence. Elle évite qu’un nom de technologie remplace l’examen prévu par l’article 35 et rend la conclusion contrôlable par une personne qui n’a pas participé au projet.

Cette personne doit pouvoir retrouver la branche suivie: quel cas a été testé, quel élément manquait ou était présent, et pourquoi la conséquence a été retenue ¹. Lorsque les faits ne permettent pas encore de fermer une branche, la bonne réponse consiste à obtenir la preuve manquante, non à présumer le résultat le plus commode ².

Neuf critères pour structurer le dépistage

Lorsque les trois cas ne donnent pas une réponse immédiate, les neuf critères de la guidance organisent le dépistage. Deux critères indiquent ordinairement qu’une AIPD devrait être envisagée et un nombre supérieur la rend plus probable, mais cette indication n’est pas un seuil inscrit dans le RGPD ². Le contexte peut rendre un seul critère suffisant; inversement, compter deux coches sans analyser leur portée n’établit pas le risque.

Le tableau doit produire des preuves, pas seulement neuf réponses oui ou non, car une coche sans phrase explicative ne montre ni l’intensité du facteur, ni son interaction avec les autres. La même activité peut combiner une notation, un croisement et des personnes vulnérables; la conclusion doit alors expliquer ce que cette combinaison change dans la probabilité et la gravité des effets.

L’écran devient plus utile lorsque chaque réponse nomme l’opération correspondante. Pour l’échelle, indiquez ce qui a été observé; pour le croisement, identifiez les ensembles concernés; pour la vulnérabilité, décrivez le rapport qui limite le choix ². La même discipline s’applique à l’innovation: expliquez quelle solution ou organisation est nouvelle et quelle incertitude en découle. Enfin, reliez l’accès à un droit, à un service ou à un contrat à la décision qui pourrait effectivement le limiter.

La guidance approuvée reste une aide d’interprétation, pas un substitut au test de l’article 35 ³. Elle donne une méthode cohérente pour ne pas oublier un facteur. La décision finale revient toutefois à la question complète: sur les faits proposés, le traitement est-il susceptible d’engendrer un risque élevé pour les droits et libertés ?

Les listes complètent l’analyse sans la remplacer

Après les cas obligatoires et les critères, vérifiez les listes de l’autorité de contrôle compétente. Le RGPD prévoit des listes relatives aux types d’opérations pour lesquels une AIPD est requise ou peut ne pas l’être ¹. Leur contenu doit être lu dans sa version applicable, et une liste résumée, attribuée à aucun contexte, ne suffit pas.

Consignez le nom de la liste consultée, sa version ou sa date disponible, le passage pertinent et les faits du projet qui correspondent. Selon le résultat, faites apparaître clairement l’AIPD exigée ou, lorsqu’une liste négative semble pertinente, expliquez pourquoi le projet entre réellement dans son champ au lieu de transformer l’existence de la liste en dispense générale.

Cette étape ne doit jamais devenir une liste nationale fabriquée dans un article commun. Les autorités peuvent publier des formulations et des périmètres qui leur sont propres. Le dossier opérationnel, lui, identifie l’autorité compétente pour l’organisation et vérifie ses documents sans importer une règle d’un autre territoire.

Une conclusion solide combine donc trois couches: le texte de l’article 35, l’écran des critères et les listes applicables. Aucune couche ne doit être effacée parce qu’une autre paraît plus simple à communiquer.

Si les listes semblent pointer dans des directions différentes, revenez au champ de chaque document et aux faits du traitement. La résolution doit apparaître dans la motivation. Une mention comme « liste vérifiée » ne permet ni de savoir quelle liste a été lue ni de comprendre pourquoi elle a ou non modifié le résultat.

Le non est une branche réelle, jamais une dispense automatique

Une décision négative est possible, car le RGPD ne transforme pas tout traitement ordinaire en opération à risque élevé et la guidance conserve un espace pour conclure qu’une AIPD n’est pas nécessaire lorsque les faits ne rendent pas ce risque probable ¹. Cette branche protège la qualité de la méthode: si chaque écran aboutissait mécaniquement à oui, l’examen des faits serait fictif.

La taille de l’organisation ne crée cependant aucune exemption universelle. Une petite structure peut porter un traitement à grande échelle ou combiner des facteurs graves; une organisation plus grande peut examiner une opération limitée qui n’atteint pas le test. Le raisonnement doit porter sur l’activité proposée, non sur une étiquette générale appliquée à l’entreprise ².

Une liste de diffusion limitée illustre la prudence nécessaire. Si elle sert uniquement des communications ordinaires, avec peu de données et sans surveillance, notation, croisement ou effet sur l’accès à un service, ces faits peuvent soutenir un non. Ils ne constituent pas une zone sûre: un changement d’échelle, de données ou d’usage peut modifier la conclusion ².

Il en va de même pour une publicité limitée aux propres activités de l’organisation. L’expression ne suffit pas à écarter l’analyse. Il faut regarder les personnes visées, les données utilisées, la manière dont elles ont été combinées, l’existence d’un suivi et les effets possibles. Le dossier retient la conclusion qui correspond à ces faits, avec ses limites ².

Le non doit enfin conduire quelque part en produisant une justification datée et un déclencheur de réexamen, afin qu’une évolution du traitement ne reste pas protégée par une décision devenue obsolète.

Pour écrire cette justification, commencez par les éléments qui auraient pu faire basculer la réponse. Indiquez qu’aucun cas obligatoire n’a été établi, quels critères ont été repérés, comment leur intensité et leur combinaison ont été appréciées, puis ce que les listes ont ajouté. Cette structure montre que le non résulte d’un examen, et non d’une préférence pour éviter le travail.

Séparez ensuite la conclusion de ses conditions, car une opération limitée peut le rester seulement tant que son volume, ses données, ses destinataires et sa finalité ne changent pas. Le dossier nomme donc les hypothèses factuelles qui soutiennent le non. Dès que l’une d’elles devient fausse, le propriétaire sait qu’il ne peut plus citer l’ancienne conclusion sans la revoir.

Une information manquante ne doit pas être rangée dans la branche négative: si l’équipe ignore l’échelle, l’effet d’une décision ou la manière dont des jeux sont rapprochés, elle n’a pas encore les faits nécessaires pour exclure le risque élevé. Le statut intermédiaire consiste à compléter l’écran avant le démarrage, avec une personne chargée d’obtenir la réponse.

Cette branche réelle n’est donc ni une faveur ni une zone sûre. Elle est la conséquence révisable d’un périmètre précis. Présentée ainsi, elle permet aux projets ordinaires d’avancer sans banaliser ceux dont les caractéristiques appellent une analyse d’impact.

La décision tient dans un dossier que quelqu’un peut reprendre

Le dossier nomme l’activité et les faits examinés, puis les relie au test de l’article 35, aux critères et aux listes consultées. Cette chaîne permet de comprendre pourquoi un élément a compté ou non ².

La conclusion doit être explicite: AIPD requise ou AIPD non requise. Pour chacune, notez le raisonnement, le propriétaire de la décision, la date et le déclencheur de réexamen. Lorsque l’avis du DPO est applicable, le dossier indique cet avis et la façon dont il a été pris en compte. L’article 35 donne au DPO un rôle de conseil lorsqu’il est désigné ¹.

Une preuve utile est vérifiable: au lieu d’écrire « petite échelle », conservez les éléments qui fondent cette appréciation et, plutôt que « pas de surveillance », décrivez le fonctionnement contrôlé. La guidance pousse vers une analyse des caractéristiques du traitement plutôt que vers une formule passe-partout ².

Le propriétaire n’a pas besoin d’être la personne qui a fourni toutes les données du dossier, mais il doit pouvoir obtenir les éléments manquants, faire arbitrer les désaccords et rouvrir l’analyse lorsque le déclencheur survient. Sans cette responsabilité, la date de réexamen devient une mention sans effet.

Présentez les preuves dans le même ordre que le raisonnement: une fiche d’activité fixe le périmètre, les pièces relatives aux trois cas montrent les premières vérifications, puis l’écran des neuf critères et les extraits de listes complètent l’analyse. La note de conclusion renvoie à ces éléments au lieu de les recopier sans contexte.

Le DPO apporte son avis lorsque cela est applicable, mais le dossier garde distincts l’avis, la décision et son propriétaire. Cette séparation permet de voir qui a conseillé, qui a conclu et sur quels faits. Si l’avis n’est pas suivi, la motivation doit rester assez précise pour que l’écart puisse être examiné au prochain réexamen.

Terminez par une version courte de la décision que le responsable opérationnel peut appliquer: oui, non, ou faits à compléter avant de conclure. Ajoutez la date, le propriétaire et le déclencheur sur la même fiche. Le détail demeure disponible derrière cette synthèse, sans obliger l’équipe suivante à reconstruire toute l’histoire.

Une réponse positive ouvre les quatre travaux de l’AIPD

Lorsque la réponse est oui, l’analyse doit couvrir quatre ensembles de contenu prévus par l’article 35 ¹. Leur ordre peut suivre le travail réel, mais aucun ne doit être réduit à un titre vide:

• une description systématique des opérations envisagées et des finalités du traitement, y compris l’intérêt légitime poursuivi lorsqu’il est pertinent ²;
• une évaluation de la nécessité et de la proportionnalité des opérations au regard de ces finalités ¹;
• une évaluation des risques pour les droits et libertés des personnes concernées;
• les mesures prévues pour traiter les risques, dont les garanties, dispositifs de sécurité et mécanismes permettant d’assurer la protection des données et de démontrer la conformité.

Ces parties forment une seule démonstration: la description fixe ce qui est évalué, la nécessité et la proportionnalité interrogent le choix des opérations, l’analyse des risques montre les effets possibles et les mesures y répondent. Une liste de contrôles sans lien avec un risque identifié ne suffit pas à rendre la décision intelligible.

Les points de vue des personnes concernées ou de leurs représentants sont recherchés lorsque cela est approprié, compte tenu du traitement et des intérêts en jeu ². Cette étape ne remplace ni l’analyse interne ni la responsabilité du responsable du traitement. Elle apporte une perspective qui peut révéler un effet pratique absent de la description du projet.

Après les mesures, évaluez le risque résiduel qui, lorsqu’il demeure élevé, peut mener à une consultation préalable avant le traitement ¹. Si le risque n’est plus élevé, le dossier fixe tout de même un déclencheur de réexamen, car la conclusion dépend des opérations et mesures effectivement maintenues.

La description systématique doit être assez concrète pour que les trois autres travaux portent sur le même objet. Si une finalité ou une opération change en cours d’analyse, actualisez cette base avant de continuer. Autrement, l’équipe pourrait juger la proportionnalité d’un périmètre, les risques d’un second et les mesures d’un troisième.

L’examen de nécessité et de proportionnalité relie les opérations aux finalités annoncées. Il montre pourquoi chaque partie du traitement appartient au projet examiné. Cette articulation empêche que la seule disponibilité d’une donnée ou d’une fonction soit prise pour une raison suffisante de l’utiliser.

Les risques sont ensuite formulés du point de vue des droits et libertés, avec les faits qui rendent chaque effet plausible. Les mesures répondent à ces risques nommés et permettent de voir ce qui restera après leur application. Ce lien rend le risque résiduel intelligible, plutôt qu’issu d’une appréciation globale impossible à contrôler.

Enfin, précisez qui met chaque mesure en œuvre et comment son maintien sera vérifié lors du réexamen. Une mesure prévue mais sans responsable ne peut pas soutenir durablement la branche qui considère le risque réduit. L’AIPD relie ainsi la décision initiale au fonctionnement réel qui suivra.

Le modèle du CEPD reste facultatif

Le CEPD a adopté un modèle d’AIPD le 14 avril 2026, tout en laissant expressément aux responsables du traitement le choix de leur méthode d’AIPD ⁴. Le modèle n’est donc pas obligatoire et ne crée aucun nouveau déclencheur au titre de l’article 35. Il fournit une structure gratuite à qui n’a pas de méthode interne et un contrôle croisé à qui en possède une. La consultation s’est close le 9 juin 2026; la page officielle indique toujours que le modèle sera finalisé après la consultation ⁵.

Le réexamen garde la décision reliée au traitement réel

Une AIPD n’est pas un document figé. L’article 35 prévoit un réexamen, au moins lorsque le risque présenté par les opérations change ¹. La guidance décrit l’analyse comme un processus continu, ce qui concerne aussi la justification d’une branche négative ².

Définissez des déclencheurs observables: modification de la finalité, extension de la portée, ajout d’un type de données, nouveau croisement, autre catégorie de personnes ou changement important de la solution. Le dossier n’a pas besoin de prédire chaque évolution; il doit permettre de reconnaître celle qui rend les faits initiaux incomplets.

Le réexamen reprend la même chaîne de raisonnement en actualisant les faits, en vérifiant les cas, les critères et les listes, puis en confirmant ou en modifiant la conclusion. Il garde la version précédente afin que le changement de décision puisse être expliqué, conformément à l’idée d’un processus qui accompagne le traitement ².

Fixez aussi la personne qui reçoit le signal de changement. Un déclencheur écrit mais confié à personne risque de ne jamais atteindre le dossier. Le propriétaire compare alors les nouveaux faits aux hypothèses de la version précédente et décide quelles parties doivent être reprises.

Des écrans travaillés montrent la différence entre compter et décider

Premier écran: une activité ordinaire utilise peu de données, ne note personne, ne surveille pas, ne croise pas de jeux et n’empêche aucun accès. Ces faits peuvent soutenir une décision de ne pas réaliser d’AIPD, à condition que les cas obligatoires et les listes aient aussi été vérifiés ¹, mais le résultat n’est pas une exemption attachée au nom de l’activité et dépend du périmètre décrit.

Deuxième écran: un projet combine une évaluation, une décision automatisée significative et un croisement de données. La combinaison rend l’AIPD ordinairement attendue selon la méthode des critères ¹. Le dossier ne s’arrête pas au nombre trois: il explique comment l’évaluation alimente la décision et ce que le croisement ajoute aux effets possibles ².

Troisième écran: une solution nouvelle porte sur un groupe vulnérable, mais son échelle et ses effets ne sont pas encore établis. Un seul critère peut suffire selon le contexte ¹, mais l’incertitude n’autorise pas à inventer un oui ou un non: elle indique quels faits doivent être obtenus avant la conclusion et pourquoi le démarrage doit attendre.

Quatrième écran: une liste de diffusion limitée évolue vers un suivi systématique et un rapprochement de jeux de données. La décision négative antérieure ne vaut plus par inertie. Le déclencheur prévu ramène le projet à l’écran des critères, où les nouvelles opérations sont appréciées ensemble ¹.

Cinquième écran: une AIPD a été réalisée et des mesures ont réduit plusieurs risques, mais un risque élevé subsiste. La branche n’est pas « AIPD terminée ». Elle conduit à examiner la consultation préalable avant le traitement, tandis qu’un risque résiduel non élevé conduit au réexamen planifié.

Ces exemples n’offrent aucun refuge automatique. Ils montrent comment une même méthode conserve le oui, le non et le besoin d’établir d’abord les faits, sans substituer une catégorie commerciale au test juridique.

Pour le premier écran, la preuve utile n’est pas seulement l’absence de coches. Elle décrit le volume, les données, les personnes et l’usage afin que l’activité limitée soit reconnaissable lors d’une évolution. Si l’équipe ne peut pas produire cette description, le non paraît clair uniquement parce que le périmètre est flou.

Dans le deuxième, les trois critères se renforcent par leur relation: un croisement alimente une évaluation, puis l’évaluation influence une décision significative. La motivation explique cette chaîne. Le nombre de critères reste visible, mais il ne remplace pas la manière dont leurs effets se combinent.

Le troisième écran exige une courte phase d’établissement des faits. Le responsable du projet identifie ce qui manque sur l’échelle et les effets, attribue chaque question et bloque la conclusion avant traitement. Il ne qualifie pas l’incertitude de risque faible; il la transforme en travail vérifiable.

Le quatrième illustre le réexamen. L’ancienne décision demeure une trace correcte de l’ancien périmètre, tandis que le suivi et le rapprochement nouvellement ajoutés sont examinés comme de nouveaux faits. Cette distinction conserve l’historique sans donner à une conclusion passée une portée qu’elle n’avait pas.

Dans le cinquième, la consultation éventuelle dépend du risque qui reste après les mesures. Le dossier montre donc à la fois les risques initiaux, les réponses prévues et l’évaluation résiduelle. La prochaine branche devient compréhensible sans confondre réalisation de l’AIPD et disparition automatique du risque.

Questions fréquentes sur la décision d’AIPD

Quand une AIPD est-elle obligatoire ?

Elle est obligatoire avant un traitement projeté lorsque celui-ci est susceptible d’engendrer un risque élevé pour les droits et libertés ¹. Commencez par les cas expressément visés par l’article 35, puis utilisez les critères et les listes applicables. La conclusion doit porter sur la nature, la portée, le contexte et les finalités du traitement, pas seulement sur la technologie ².

Deux critères imposent-ils automatiquement une AIPD ?

Non, deux critères indiquent ordinairement qu’une AIPD devrait être envisagée selon la guidance ². Ils ne forment pas un seuil légal automatique, et un seul critère peut suffire lorsque le contexte le justifie ¹. Analysez la force des facteurs et leur combinaison au lieu de traiter le dépistage comme un simple total.

Les listes de l’autorité doivent-elles être contrôlées ?

Oui, vérifiez les listes positives et négatives pertinentes sans inventer une liste commune à tous les territoires ³. Consignez le document réellement consulté, les faits qui correspondent à son champ et la conséquence. Cette vérification complète les cas et les critères; elle ne remplace pas l’appréciation du risque élevé ¹.

Une petite structure peut-elle conclure non ?

Oui, si les faits le justifient. Il n’existe pas d’exemption universelle liée à la taille, mais le traitement ordinaire n’est pas automatiquement à risque élevé ². Une activité limitée peut soutenir un non motivé après contrôle des cas, critères et listes. Le dossier doit garder les limites de cette conclusion et son déclencheur de réexamen ¹.

Que contient l’AIPD après une réponse positive ?

Elle couvre la description systématique et les finalités, la nécessité et la proportionnalité, les risques pour les droits et libertés, puis les mesures et garanties ¹. Les avis appropriés sont recherchés selon le contexte. Si un risque élevé demeure après les mesures, la branche peut conduire à une consultation préalable avant le traitement.

Le modèle d’AIPD du CEPD est-il obligatoire ?

Non. Le CEPD a adopté ce modèle le 14 avril 2026, mais il n’est pas obligatoire: les responsables du traitement restent libres de choisir leur méthode d’AIPD ⁴. La consultation s’est close le 9 juin 2026 et la page officielle indique toujours que le modèle sera finalisé après la consultation ⁵. Il offre une structure gratuite ou un contrôle croisé d’une méthode existante, sans créer de nouveau déclencheur d’AIPD.

Une AIPD terminée doit-elle être revue ?

Oui, le dossier est revu lorsque les opérations ou le risque changent. La même discipline vaut pour une décision négative: elle n’est fiable que tant que les faits qui la soutiennent restent vrais. Conservez la date, le propriétaire, les modifications examinées, la nouvelle conclusion et le prochain déclencheur ². Cette continuité empêche une ancienne analyse de couvrir silencieusement un traitement devenu différent.

Ces réponses servent de contrôle final, non de raccourci. Avant de fermer le dossier, rapprochez la question posée, les faits obtenus, la branche suivie et la preuve citée; si l’un de ces éléments ne correspond plus au traitement réel, rouvrez l’écran approprié. Le résultat demeure ainsi applicable par l’équipe et révisable sans transformer une ancienne conclusion en règle générale.