En bref. Partez d'une règle simple : aucune donnée qui permet d'identifier une personne accompagnée ne doit être saisie dans un outil d'IA grand public. La CNIL le recommande dans ses recommandations de juillet 2024 sur le déploiement de l'IA générative. Retirez les noms, les dates, les lieux et les détails qui permettent de reconnaître quelqu'un. Travaillez sur des trames, des modèles et des cas fictifs. Ne confiez aucune décision à l'IA et vérifiez chaque réponse. Respectez les durées de conservation fixées par le référentiel de la CNIL pour le secteur social et médico-social. Appliquez une vigilance renforcée pour les mineurs. Associez votre délégué à la protection des données au choix des outils et à la rédaction des règles d'usage de votre structure.
Pourquoi les données des personnes accompagnées demandent-elles une vigilance particulière ?
Les ESMS détiennent des informations très sensibles. Elles portent sur la santé, le handicap, la situation familiale, les ressources ou les mesures de protection. Elles concernent souvent des personnes vulnérables, parfois des mineurs. Ces informations sont de plus en plus numérisées. Selon la Caisse nationale de solidarité pour l'autonomie, près de 80 % des structures de l'autonomie étaient équipées ou en cours d'équipement d'un dossier usager informatisé fin 2025 (CNSA, mars 2026). Un dossier numérique se copie facilement. Un extrait collé dans un outil d'IA peut quitter la structure en quelques secondes. Le RGPD impose de protéger ces données et d'en limiter l'usage à ce qui est nécessaire. Le référentiel d'évaluation de la qualité des ESSMS de la HAS porte aussi sur la confidentialité des données et la sécurisation des accès.
Que peut-on saisir dans un outil d'IA ?
Dans un outil grand public, la règle tient en une phrase : rien qui permette de reconnaître une personne. La CNIL recommande de ne saisir aucune donnée personnelle dans ce type d'outil. Avant toute demande, retirez le nom, le prénom, la date de naissance, l'adresse, le nom de l'établissement et les détails rares. Un professionnel peut demander à l'IA un plan de compte rendu de réunion, une trame de courrier aux familles ou la reformulation d'un texte déjà anonymisé. Il ne colle ni rapport, ni note d'incident, ni extrait du dossier de l'usager. Si votre structure dispose d'un outil validé avec le délégué à la protection des données, la charte précise ce qu'il est permis d'y saisir. La page IA et secret professionnel en travail social donne des exemples concrets.
Quelles durées de conservation respecter ?
Les données d'une personne accompagnée se conservent pendant une durée limitée. La CNIL a publié en novembre 2023 un référentiel sur les durées de conservation dans le secteur social et médico-social. Il sert de repère pour chaque type de dossier. L'usage de l'IA ajoute une question : que devient le texte saisi dans l'outil ? Certains outils conservent les conversations ou les fichiers déposés. Avant d'autoriser un outil, vérifiez avec votre délégué à la protection des données où les données sont stockées, combien de temps et pour quel usage. Prévoyez la suppression des documents de travail produits avec l'IA une fois l'écrit final validé. Reportez ces règles dans votre registre des usages. Le module Données des personnes accompagnées et IA traite ces durées de conservation et ce qui peut ou non être saisi.
Quelles précautions pour les données des mineurs ?
La protection de l'enfance traite des informations parmi les plus sensibles : situation familiale, mesures judiciaires, éléments éducatifs. La CNIL a publié en février 2022 un référentiel consacré aux traitements de données en protection de l'enfance. Il sert de repère pour tout projet qui touche aux données des mineurs. Avec l'IA, la prudence s'impose encore davantage. Aucun élément relatif à un enfant ou à sa famille ne doit être saisi dans un outil grand public. Les écrits destinés au juge ou à l'aide sociale à l'enfance restent rédigés et relus par les professionnels. L'IA peut aider à structurer une trame vide ou à reformuler une consigne générale. Le règlement européen sur l'IA interdit en outre d'exploiter la vulnérabilité d'une personne liée à son âge.
Quel rôle pour la direction et le délégué à la protection des données ?
La CNIL recommande une gouvernance de l'IA associant le délégué à la protection des données. Celui-ci examine chaque outil avant son autorisation. Il vérifie le stockage des données, les durées de conservation et le respect des droits des personnes. La direction fixe les règles dans une charte d'usage de l'IA. Elle désigne un référent IA qui tient le registre des usages et recueille les incidents. Elle organise la formation des professionnels, que la CNIL recommande aussi. Ces règles s'articulent avec le règlement européen sur l'IA, présenté sur la page Comment préparer un ESMS au règlement européen sur l'IA ?. Le catalogue des formations propose un module dédié aux données et des modules par métier qui reprennent ces règles.
Questions fréquentes
Retirer les noms suffit-il pour utiliser l'IA ?
Retirer les noms ne suffit pas toujours. Une date, un lieu ou un détail rare peut permettre de reconnaître une personne. Relisez le texte en vous demandant si un collègue ou un proche pourrait l'identifier. En cas de doute, ne saisissez rien.
Faut-il informer les personnes accompagnées de l'usage de l'IA ?
Le Haut Conseil du travail social retient la transparence parmi ses principes, dans son avis de 2019. Informer les personnes accompagnées des usages de l'IA qui les concernent renforce la confiance. Définissez les modalités d'information avec votre délégué à la protection des données.
Un outil d'IA payant suffit-il à protéger les données ?
Le prix ne suffit pas à juger un outil. Examinez ses conditions d'utilisation, le lieu de stockage des données et ses paramètres de conservation. Votre délégué à la protection des données vous aide à les vérifier avant toute autorisation.
Que faire si une donnée a été saisie par erreur ?
Signalez-le sans attendre au référent IA et au délégué à la protection des données. Ils évaluent la situation et décident des suites à donner. Une charte d'usage prévoit cette procédure de signalement, qui permet aussi d'améliorer les règles.
Les formations ARCADIA utilisent-elles des données réelles ?
Non. Tous les exercices reposent sur des cas fictifs ou anonymisés. Aucune donnée réelle de personne accompagnée n'est saisie dans un outil pendant la session. Cette règle s'applique dans chaque module.