Tout usage de l'IA en mairie n'impose pas une analyse d'impact. Les critères de l'article 35 du RGPD, les neuf critères du CEPD et la liste de la CNIL permettent de trancher en une heure. Ce qui déclenche l'AIPD, ce qui ne la déclenche pas, et comment procéder avec un délégué mutualisé.
Faut-il une analyse d'impact pour utiliser l'IA en mairie ? Pas systématiquement. L'AIPD s'impose lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés, au sens de l'article 35 du RGPD. En pratique, dès qu'un traitement figure sur la liste de la CNIL, ou qu'il réunit au moins deux des neuf critères du Comité européen de la protection des données. La plupart des usages bureautiques de l'IA en mairie, rédaction de courriers, procès-verbaux, contenus de communication, n'atteignent pas ce seuil.
C'est une bonne nouvelle mal connue. Beaucoup de communes reportent tout projet d'IA en croyant devoir produire d'abord un dossier lourd. D'autres déploient sans se poser la question. Les deux se trompent, et la méthode pour trancher tient en une heure de travail.
Premier point à clarifier : votre commune a déjà un délégué à la protection des données
L'article 37.1.a du RGPD impose la désignation d'un délégué à la protection des données à toute autorité ou organisme public, sans seuil de taille. Toutes les communes françaises sont donc concernées, y compris celles de deux cents habitants.
En pratique, les petites communes recourent à un délégué mutualisé, porté par l'intercommunalité, le centre de gestion, l'agence technique départementale ou un prestataire. Si vous ne savez pas qui est le vôtre, c'est la première chose à établir : il figure au registre des traitements et a été déclaré à la CNIL.
Ce point conditionne tout le reste. Le délégué est associé à l'AIPD au titre de l'article 35.2, et son avis doit être recueilli. Une commune qui conduit une analyse d'impact sans consulter son délégué produit un document fragile.
Quand l'AIPD est-elle obligatoire ?
Trois portes d'entrée, à examiner dans cet ordre.
1. Les cas expressément visés par l'article 35.3
L'AIPD est requise dans trois hypothèses citées par le texte :
- évaluation systématique et approfondie d'aspects personnels fondée sur un traitement automatisé, y compris le profilage, servant de base à des décisions produisant des effets juridiques ou affectant significativement la personne
- traitement à grande échelle de données sensibles ou de données relatives aux condamnations et infractions
- surveillance systématique à grande échelle d'une zone accessible au public
Pour une commune, le troisième cas correspond à la vidéoprotection, le deuxième aux données de santé ou sociales du CCAS. Le premier est le plus intéressant pour l'IA : il vise la décision automatisée, pas l'assistance à la rédaction.
2. La liste de la CNIL
La CNIL a publié, par délibération n° 2018-327 du 11 octobre 2018, une liste de quatorze types de traitements pour lesquels l'analyse d'impact est obligatoire. Y figurer suffit à trancher, sans autre examen.
3. Les neuf critères du CEPD
Hors des deux cas précédents, la règle pratique est celle du seuil de deux critères parmi les neuf retenus par le Comité européen de la protection des données : évaluation ou notation, décision automatisée avec effet juridique, surveillance systématique, données sensibles ou hautement personnelles, grande échelle, croisement de données, personnes vulnérables, usage innovant, obstacle à un droit ou à un service.
Deux critères réunis, l'AIPD est requise. Un seul, elle ne l'est pas, mais le raisonnement doit être écrit.
Appliqué aux usages réels d'une mairie
| Usage | Critères susceptibles d'être réunis | AIPD |
|---|---|---|
| Rédaction assistée d'un courrier de réponse à un administré | grande échelle discutable, usage innovant | Non, en principe |
| Transcription et procès-verbal de conseil municipal | usage innovant, grande échelle discutable | Non, en principe |
| Contenus de communication, discours, réseaux sociaux | aucun, pas de donnée personnelle | Non |
| Traduction de documents administratifs | aucun ou usage innovant | Non |
| Tri automatique de demandes d'aide sociale du CCAS | données sensibles, personnes vulnérables, évaluation | Oui |
| Attribution ou pré-classement automatisé de logements sociaux | évaluation, décision, personnes vulnérables, obstacle à un droit | Oui |
| Vidéoprotection avec analyse d'image | surveillance systématique, grande échelle, innovant | Oui |
| Agent conversationnel public traitant des demandes nominatives | grande échelle, innovant, éventuellement vulnérables | À examiner |
La ligne de partage est nette : l'IA qui aide un agent à rédiger n'est pas l'IA qui décide à sa place. La première reste un traitement ordinaire, la seconde entre dans le champ du risque élevé. Un outil qui produit un projet de réponse relu et signé par un agent ne prend aucune décision au sens de l'article 22.
Cette distinction doit apparaître noir sur blanc dans votre registre des traitements. C'est elle qui justifiera, en cas de contrôle, que vous n'ayez pas conduit d'AIPD.
L'AI Act ne remplace pas l'AIPD
Point de confusion fréquent depuis 2025 : les obligations issues du règlement européen sur l'intelligence artificielle et celles du RGPD ne se substituent pas l'une à l'autre. Elles se cumulent.
L'AI Act raisonne par niveau de risque du système et impose des obligations de transparence et de documentation. Le RGPD raisonne par risque pour les personnes concernées et impose l'AIPD. Un système d'IA traitant des données personnelles relève des deux, et l'analyse doit être menée conjointement plutôt que deux fois.
Concrètement, pour une commune, cela signifie tenir un seul dossier documentant l'outil, ses usages, ses données et son fournisseur, exploitable sous les deux angles.
La méthode, quand elle est nécessaire
L'AIPD n'est pas un mémoire. Pour un usage de mairie, elle tient en cinq étapes et une dizaine de pages.
- Décrire le traitement : finalité, données, personnes concernées, destinataires, durées de conservation, sous-traitants et localisation. Le contrat avec le fournisseur fournit l'essentiel, à condition qu'il soit conforme à l'article 28 : voir Confier la transcription d'un conseil municipal à un prestataire.
- Évaluer la nécessité et la proportionnalité : base légale, minimisation, information des personnes, exercice des droits.
- Identifier les risques : accès illégitime, modification non désirée, disparition des données. Pour l'IA, ajouter l'erreur factuelle produite avec aplomb et reprise sans relecture.
- Définir les mesures : relecture humaine obligatoire avant tout envoi, hébergement, chiffrement, suppression après traitement, journalisation, habilitations.
- Recueillir l'avis du délégué et faire valider par l'autorité territoriale.
La CNIL met à disposition son logiciel PIA, gratuit, qui structure ces cinq étapes. Pour une commune sans DPD interne, c'est le format que le délégué mutualisé attend, et il évite de partir d'une page blanche.
Ce qu'il faut faire même sans AIPD
L'absence d'analyse d'impact ne signifie pas l'absence d'obligations. Quatre restent dues dans tous les cas :
- inscrire le traitement au registre, avec la mention du fournisseur et de la localisation des données
- informer les personnes concernées, dans les mentions du site et les courriers types
- encadrer l'usage par une charte signée de l'autorité territoriale, et vérifiée à l'ouverture des comptes
- conserver la trace du raisonnement qui a conduit à écarter l'AIPD
Ce dernier point est celui que les communes omettent le plus souvent. Une décision non écrite ne se distingue pas, lors d'un contrôle, d'une question jamais posée.
En résumé
L'AIPD est obligatoire si le traitement figure sur la liste de la CNIL, s'il relève d'un des trois cas de l'article 35.3, ou s'il réunit au moins deux des neuf critères du CEPD.
Les usages bureautiques de l'IA en mairie, rédaction, transcription, communication, traduction, n'atteignent en principe pas ce seuil. Les usages décisionnels, aide sociale, logement, surveillance, l'atteignent presque toujours.
Toute commune dispose d'un délégué à la protection des données, souvent mutualisé, dont l'avis est requis. Le solliciter en amont coûte une réunion ; le solliciter après le déploiement coûte le déploiement. La méthode de mise en œuvre complète figure dans Intégrer Claude dans sa mairie : les six décisions à prendre, et les critères de choix d'un prestataire dans IA et collectivités : ce que vous devez exiger de votre prestataire.
Sources : article 35 et article 37 du RGPD, délibération CNIL n° 2018-327 du 11 octobre 2018 fixant la liste des traitements soumis à AIPD, lignes directrices du CEPD sur l'analyse d'impact, logiciel PIA de la CNIL.