Les 8 étapes obligatoires d’une DPIA pour systèmes IA à haut risque

Engager un projet IA sans mener une analyse d’impact sur la protection des données (DPIA) conforme à l’AI Act et à l’article 35 du RGPD expose l’organisation à un blocage légal à quelques semaines de la mise en production. Ce scénario est documenté : selon la CNIL, la majorité des saisines liées à l’IA en 2024-2025 concernaient des déploiements réalisés sans DPIA préalable ou structurée. Cet article pose les 8 étapes DPIA IA dans leur ordre logique, avec les livrables attendus à chaque stade, pour que vous puissiez structurer un dossier qui tient face à un audit.

Pourquoi les DPIA IA échouent structurellement sans méthode séquentielle

Une DPIA n’est pas un formulaire à remplir en bout de course. C’est un dossier de preuve construit en amont, qui documente chaque choix de conception — du type de données traitées jusqu’à la procédure d’escalade humaine. Les projets qui échouent à l’étape de validation DPO ont presque toujours la même caractéristique : les étapes ont été menées dans le désordre, ou plusieurs ont été consolidées a posteriori pour accélérer.

En octobre 2024, Séverine MOREL, DPO dans un groupe d’assurance de taille intermédiaire (secteur santé-prévoyance, plusieurs centaines de collaborateurs), a soumis une DPIA pour un outil de scoring de risque médical. La direction technique avait traité les étapes 1, 4 et 8 en trois jours. Le DPO a rendu un avis défavorable. Conséquence : une consultation CNIL obligatoire, quatre mois de délai supplémentaire, et un gel du budget du projet. Le système était pourtant techniquement solide. C’est la séquence documentaire qui était absente.

Le problème est structurel. L’AI Act (articles 9 et 10) impose une gestion des risques continue, pas ponctuelle. Le RGPD exige une DPIA avant mise en production. Ces deux référentiels convergent sur un point : la conformité est un dossier, pas une case cochée. Traiter les 8 étapes DPIA IA comme une séquence logique — chaque étape informant la suivante — est la seule façon de produire un dossier défendable.

Ce que font ceux qui obtiennent un avis DPO favorable du premier coup

Les DPO qui rendent des avis favorables du premier coup ont un point commun : ils sont impliqués dès l’étape 2, pas à l’étape 8. Cette intégration précoce change la nature du travail. Au lieu de valider un dossier constitué sans eux, ils co-construisent la base légale, formulent les conditions d’acceptabilité et identifient les risques pendant que les choix techniques sont encore modifiables.

Sur le plan des livrables, les équipes qui réussissent produisent des documents distincts pour chaque étape — pas un document unique avec huit sections. Cette granularité permet à l’auditeur de naviguer dans le dossier sans reconstruire la logique. La cartographie des flux (étape 3) est un schéma technique signé, pas un paragraphe. L’évaluation des risques (étape 4) est une matrice cotée impact × probabilité, pas une liste de points de vigilance.

Sur la durée, ces organisations traitent la DPIA comme un artefact vivant : revue annuelle planifiée, mise à jour à chaque changement de périmètre, et archivage des versions avec horodatage. La méthode décrite dans Réussir l’IA en entreprise 2026 prescrit exactement ce niveau de rigueur documentaire pour les systèmes à haut risque.

Les erreurs classiques sur les 8 étapes DPIA IA

• Fusionner finalité et base légale (étapes 1 et 2). La finalité répond à « quel traitement, pour quel objectif ». La base légale répond à « sur quelle justification juridique ». Ce sont deux analyses distinctes. Fusionner les deux produit un document qui ne répond à aucune des deux questions de façon satisfaisante. Le DPO est tenu de vérifier la proportionnalité de la finalité par rapport à la base légale invoquée — si les deux sont mélangées, cette vérification est impossible à documenter.
• Traiter l’analyse de biais (étape 5) comme optionnelle. L’AI Act classe les systèmes de scoring, de recrutement, d’évaluation de crédit et de surveillance biométrique comme systèmes à haut risque précisément parce qu’ils peuvent générer des discriminations. L’analyse de biais n’est pas un bonus éthique : c’est une obligation légale pour ces catégories. Un jeu de test représentatif de votre population cible — avec au minimum 150 scénarios annotés selon les préconisations documentées — est un livrable attendu par les auditeurs, pas une pratique avancée.
• Remettre la validation DPO à la dernière semaine avant déploiement. L’avis DPO a trois issues possibles : favorable, favorable sous réserves, ou défavorable. Si l’avis est défavorable, le déploiement est légalement interdit jusqu’à consultation préalable de la CNIL — ce qui rallonge le calendrier de trois à six mois. Remettre cette étape à la dernière minute, c’est accepter ce risque calendaire sans filet. La règle de terrain : le DPO doit avoir accès au dossier complet au moins quatre semaines avant la date de mise en production envisagée.

Par où commencer pour structurer les 8 étapes DPIA IA

La première action concrète est de délimiter le périmètre exact du système avant d’ouvrir le moindre outil de documentation. Ce périmètre couvre : les données en entrée (type, source, localisation géographique), la logique de traitement (algorithme, modèle, paramètres), les décisions produites (automatiques ou assistées), et les personnes impactées. Sans périmètre délimité, l’étape 1 produit un document trop large pour être utile et trop flou pour être auditable.

La deuxième action est d’organiser une réunion de lancement à trois : chef de projet IA, DSI ou référent technique, et DPO. L’objectif de cette réunion n’est pas de remplir la DPIA, mais de définir qui porte chaque étape, à quelle date le livrable est attendu, et sur quelle base légale provisoire le traitement s’appuie. Cette réunion produit un plan de travail daté — ce plan devient lui-même une pièce du dossier de preuve.

La troisième action est d’ouvrir la cartographie des flux dès la semaine suivante, en parallèle de la finalisation de la base légale. Ces deux étapes sont indépendantes et peuvent avancer simultanément sans risque de contradiction. Attendre la base légale pour cartographier les flux allonge inutilement le calendrier global.

Les organisations qui traitent les 8 étapes DPIA IA comme une séquence rigoureuse — avec un propriétaire par étape, un livrable daté, et un DPO intégré dès le départ — produisent des dossiers qui passent les audits CNIL sans retravail majeur. Ce n’est pas une question de ressources, c’est une question d’ordre de traitement. Le guide sur la méthodologie DPIA de la CNIL confirme ces exigences séquentielles pour les traitements à risque élevé. Les 8 étapes DPIA IA doivent être traitées dans l’ordre, sans raccourci, pour produire un dossier qui résiste à l’examen réglementaire.

Le tome 3 de Réussir l’IA en entreprise 2026 traite ces 8 étapes DPIA IA dans un format opérationnel, avec les critères de cotation des risques, les conditions de validation par le DPO, et les pièces documentaires à produire pour chaque stade. Si votre organisation déploie ou prépare un système IA à haut risque, ce chapitre du livre vous donne les repères pour éviter les blocages calendaires que la majorité des équipes découvrent trop tard dans leurs projets.