Faut-il toujours prévenir la CNIL après une erreur de l'IA ?

Non. La notification est obligatoire lorsqu'une violation de données personnelles présente un risque pour les personnes. Une erreur de contenu sans donnée personnelle n'entre pas dans ce cadre. La CNIL demande en revanche de documenter toute violation.

Quel est le délai pour notifier une violation ?

La CNIL indique au plus tard 72 heures après que l'organisme en a pris connaissance, avec le motif du retard si ce délai est dépassé. Le délai court dès qu'il existe une certitude raisonnable.

Faut-il informer les personnes concernées ?

Lorsque la violation fait peser un risque élevé sur leurs droits et libertés, la CNIL indique qu'elles doivent être informées au plus tôt. Une exception existe si les données sont chiffrées et la clé non compromise.

Erreur grave de l'IA : que faire, qui prévenir

Une erreur de l'IA devient un incident dès qu'elle atteint un client, un salarié ou un tiers. Un devis avec un mauvais prix, une réponse juridique inexacte, une fiche produit qui affirme une caractéristique fausse, une donnée envoyée à la mauvaise personne : chaque cas demande une réaction rapide et une trace écrite. Cette page décrit la procédure à suivre, dans l'ordre, sans attendre d'être certain de la cause.

Les six étapes

1. Arrêter la diffusion. Retirez le contenu erroné de tout support actif : site, courriel non encore envoyé, document partagé. Ne relancez pas l'outil pour « corriger » en urgence sans relecture.

2. Noter les faits. Quoi, quand, où, qui l'a vu, quel outil, quel usage. Écrivez-les tout de suite, avant que les souvenirs ne se modifient.

3. Corriger et prévenir la personne touchée. Si un client a reçu une information fausse, la correction doit être envoyée par une personne de l'entreprise, avec les éléments exacts. La décision de contacter un tiers revient au dirigeant.

4. Évaluer s'il y a une donnée personnelle. Si l'erreur implique le nom, les coordonnées ou le dossier d'une personne, passez à l'étape suivante. Sinon, la procédure reste celle d'une erreur de contenu.

5. Traiter la violation s'il y en a une. La CNIL définit une violation comme un incident de sécurité compromettant la confidentialité, l'intégrité ou la disponibilité de données personnelles. Elle indique :

une documentation interne obligatoire, même sans risque ;
une notification à la CNIL au plus tard 72 heures après la prise de connaissance, si le risque existe ;
une information des personnes concernées au plus tôt, si le risque est élevé.

6. Tirer les leçons. Ajoutez le cas au registre des risques, modifiez la règle ou la relecture qui a failli, et prévenez l'équipe.

Qui prévenir, et dans quel ordre

Destinataire	Quand	Qui décide
Équipe concernée	Dès la constatation	Le dirigeant ou la personne désignée
Client ou tiers touché	Si une information fausse lui a été transmise	Le dirigeant
CNIL	Si une violation de données présente un risque	Le dirigeant, avec un appui si besoin
Personnes concernées	Si le risque est élevé	Le dirigeant, avec un appui si besoin
Assureur	Selon le contrat	Voir la page assurance

Le délai de déclaration à un assureur dépend du contrat : il faut le lire avant l'incident, pas après.

Ce qu'il ne faut pas faire

Ne pas effacer les traces : elles servent à comprendre et à répondre.
Ne pas minimiser par écrit, ni accuser une personne en particulier dans le compte rendu.
Ne pas attendre la certitude pour commencer la documentation.
Ne pas répondre à un tiers sans relire la réponse.

Modèle de compte rendu d'incident

Date et heure de la découverte.
Description factuelle de l'erreur, avec la donnée concernée s'il y en a une.
Outil et usage concernés.
Actions déjà menées : retrait, correction, personnes prévenues.
Évaluation : donnée personnelle oui ou non, risque pour les personnes.
Décision et responsable.
Mesure pour éviter la répétition, avec une date.

Liste de vérifications

Le contenu erroné a été retiré des supports actifs.
Les faits sont notés, avec la date.
La personne touchée a reçu une correction, si nécessaire.
La question de la donnée personnelle a été tranchée et écrite.
L'incident figure dans le registre interne et dans le registre des risques.

Ce qui reste à vous

La décision de notifier, d'informer et de communiquer appartient au dirigeant. Cette page décrit une procédure générale et ne donne pas de conseil juridique sur un cas précis. Pour la responsabilité du dirigeant, voir la page responsabilité du dirigeant. Pour les fuites de données par saisie, voir la page fuite de données.