14 octobre 2026
14 octobre 2026
Bilan de l’ICO sur l’IA : quelles preuves demander avant de transmettre des données de paie ?
Une matrice pour vérifier la réutilisation, la conservation, les accès et les contrats avant de transmettre des données de paie à une IA.
Une matrice pour vérifier la réutilisation, la conservation, les accès et les contrats avant de transmettre des données de paie à une IA.
Avant de déposer un bulletin ou un export de paie dans un assistant IA, le cabinet doit pouvoir répondre à une question concrète : quels documents établissent ce que le fournisseur fera de ces données, pour cet abonnement et avec ces paramètres ? Une annonce générale sur la protection des données ne suffit pas à trancher.
Le bilan britannique du 8 octobre 2026 fournit un point de départ utile. Voici comment le traduire en une fiche de vérification documentaire pour un service paie, avec des réponses sourcées et des points ouverts confiés aux personnes compétentes.
Ce que le bilan de l’ICO établit
Dans son communiqué du 8 octobre 2026, l’ICO indique que dix développeurs de modèles ont réalisé, ou se sont engagés à réaliser, des changements après son travail de supervision. Ceux-ci concernent notamment la transparence, l’exercice des droits et l’évaluation des garanties. Le régulateur précise qu’il suit l’avancement des engagements.
Un changement réalisé et une promesse de changement doivent donc rester deux statuts distincts. Le communiqué ne signifie pas que toutes les mesures sont déjà opérationnelles chez les dix développeurs, ni qu’elles couvrent tous leurs services.
Le rapport associé de l’ICO porte sur le développement des modèles et le cadre britannique de protection des données. Il ne constitue ni une certification de conformité française, ni une autorisation de transmettre des données de paie à une offre commerciale particulière.
Définir précisément l’usage et l’offre du cabinet
Commencer par la tâche, puis limiter les données
Préparer une explication générale d’une rubrique de paie et analyser un bulletin nominatif n’impliquent pas les mêmes informations. Avant d’examiner le fournisseur, écrivez la tâche attendue, les données nécessaires et le destinataire du résultat.
Exemple pédagogique : pour apprendre à rédiger une explication claire d’une rubrique, le collaborateur peut travailler sur un bulletin entièrement fictif et une documentation validée. Il n’a pas besoin de transmettre le bulletin d’un salarié pour tester cette capacité rédactionnelle.
La FAQ de la CNIL sur l’IA générative recommande d’encadrer les usages et les informations autorisées en entrée. Elle rappelle notamment les précautions à prendre lorsque le fournisseur peut réutiliser les données, ainsi que la nécessité de ne pas partager d’informations confidentielles dans un service grand public.
Identifier le service exact
En tête de la fiche, consignez le fournisseur contractuel, le nom de l’offre, le compte professionnel concerné, le mode d’accès, les fonctions activées et la date de vérification. Précisez si l’IA est utilisée dans une interface de conversation, par une API ou à travers un logiciel métier.
Une garantie portant sur une API ne démontre pas les conditions d’un assistant intégré au logiciel de paie. De même, un document relatif à une offre entreprise ne prouve pas les garanties d’un abonnement individuel. Le contrat, les paramètres et la documentation doivent correspondre au même périmètre.
La matrice à remplir avant toute transmission
La grille suivante est une proposition méthodologique de CERTIF IA. Elle organise les questions à examiner ; elle ne constitue pas un audit de conformité. Pour chaque preuve, relevez son titre, sa version, sa date, son URL ou sa référence contractuelle et le passage utile. Conservez aussi la date de consultation.
Question | Preuve à rechercher | Périmètre à préciser | Engagement restant à vérifier |
|---|---|---|---|
Les données sont-elles réutilisées pour entraîner ou améliorer des modèles ? | Clause contractuelle, politique applicable et réglage administrateur daté. | Instructions, fichiers, réponses, retours utilisateurs ; offre et fonctions concernées. | Exceptions, option à activer, traitement des données déjà transmises. |
Combien de temps les données sont-elles conservées ? | Politique de conservation et clauses de suppression. | Conversations, pièces jointes, journaux techniques et sauvegardes. | Délais par catégorie, exceptions et suppression à la clôture du compte. |
Qui peut accéder aux contenus ? | Documentation des habilitations, conditions d’accès du support et mesures de sécurité. | Collaborateurs, administrateurs, personnel du fournisseur et prestataires. | Accès humains possibles, traçabilité et retrait des droits. |
Où les données sont-elles traitées ? | Engagements de localisation, liste des sous-traitants et documents encadrant les transferts éventuels. | Stockage, traitement, assistance et accès à distance. | Pays non précisés, garanties applicables et changements de prestataires. |
Comment traiter une demande d’exercice des droits ? | Procédure, contact désigné et clauses d’assistance. | Données d’entrée, historiques et autres données personnelles détenues. | Répartition des tâches, délais de réponse et limites techniques à examiner. |
Quels documents engagent réellement le fournisseur ? | Contrat, conditions de l’offre, accord de traitement des données et annexes de sécurité. | Entité signataire, abonnement souscrit et services inclus. | Document absent, contradiction ou clause encore en négociation. |
Une mesure annoncée est-elle déjà disponible ? | Documentation datée, confirmation écrite et contrôle dans l’environnement concerné. | Fonction, compte, région et date de disponibilité. | Échéance promise, activation nécessaire et vérification après livraison. |
Ajoutez à chaque ligne un responsable de suivi, une échéance et un statut : documenté pour cette offre, annoncé mais à confirmer, non documenté ou contradictoire. Une case renseignée n’équivaut pas automatiquement à une garantie suffisante : il faut encore apprécier la réponse au regard de l’usage envisagé.
Lire les preuves sans leur faire dire davantage
Absence d’entraînement et absence de conservation sont deux questions
Exemple fictif : la documentation d’une offre indique que les fichiers ne servent pas à entraîner les modèles. Le cabinet n’a toutefois trouvé aucune précision sur la conservation des journaux ni sur les accès du support.
La fiche peut alors mentionner une réponse documentée sur l’entraînement, limitée aux fichiers et à l’offre visés. Elle doit conserver deux questions ouvertes sur les journaux et le support. La phrase « nos données ne sont pas utilisées pour l’entraînement » ne permet pas de conclure qu’elles ne sont ni conservées ni accessibles.
Un réglage ne remplace pas le contrat
Une capture de l’interface démontre un paramètre visible à une date donnée. Une clause décrit un engagement juridique. Une documentation technique explique le fonctionnement annoncé. Ces éléments se complètent ; lorsqu’ils se contredisent, demandez une clarification écrite portant sur le compte et l’offre du cabinet.
La CNIL rappelle que la relation de sous-traitance doit être encadrée par un contrat comportant les dispositions prévues à l’article 28 du RGPD. Elle distingue également ces clauses de celles destinées à encadrer les transferts internationaux. Voir ses précisions sur les clauses contractuelles.
Faire examiner les points ouverts avant de décider
Le responsable paie prépare le besoin métier et la fiche. La direction du cabinet organise l’examen avec le DPO lorsqu’il existe, le responsable informatique et, selon les questions, le conseil juridique compétent. Les rôles de l’employeur client, du cabinet et du fournisseur doivent être qualifiés pour le traitement envisagé ; ils ne se déduisent pas du seul nom du produit.
Décrire l’opération : pourquoi utiliser l’IA, avec quelles données et pour quel résultat ?
Rassembler les pièces : documents contractuels, documentation technique et paramètres réellement appliqués.
Faire arbitrer les incertitudes : réutilisation, conservation, accès, droits et transferts éventuels.
Tracer la décision : usage autorisé, conditions imposées ou transmission suspendue, avec responsable et date de réexamen.
Si une information déterminante manque, poursuivez l’évaluation sur des données fictives. Une promesse commerciale ou un test de réponse réussi ne comble pas une lacune documentaire sur la protection des données. Réexaminez la fiche lors d’un changement d’offre, de contrat, de fonction ou de connecteur.
Formation IA : construire le dossier en atelier
Dans une formation CERTIF IA certifiée Qualiopi, un atelier peut être consacré à cette vérification, avec un professionnel de l’expertise comptable également formateur IA. Le travail porte sur des documents publics et des données entièrement fictives.
Les participants identifient l’offre décrite, remplissent la matrice, distinguent engagements disponibles et annonces futures, puis préparent les questions à soumettre au responsable compétent. Les livrables sont une fiche de périmètre, une matrice sourcée et une liste de points à arbitrer. Cet exercice prépare l’examen du dossier ; il ne délivre pas une validation juridique du fournisseur.
Pour organiser les objectifs et la progression pédagogique, consultez notre guide Formation IA en entreprise : comment former ses équipes ?. Les formations CERTIF IA permettent de travailler ces compétences dans un cadre métier.
Financement : examiner Atlas après confirmation du rattachement
La page Atlas de la branche expertise comptable mentionne l’IDCC 787, également écrit 0787, et des critères de financement sous réserve des fonds disponibles. Le rattachement du cabinet doit être confirmé avant d’envisager une demande.
Au 14 octobre 2026, la page des critères Atlas renvoie à la sélection d’un profil ou à myAtlas. Aucun barème détaillé applicable à cet atelier n’a été vérifié. Faites confirmer l’effectif retenu, le dispositif, l’admissibilité du programme, les dépenses couvertes, les délais et les fonds disponibles, puis obtenez l’accord préalable. La prise en charge n’est jamais garantie ; Qualiopi ne suffit pas à établir l’éligibilité de l’atelier.
Le crédit d’impôt formation des dirigeants ne s’applique pas aux formations réalisées en 2026. Le BOFiP du 6 mai 2026 confirme son inapplicabilité depuis le 1er janvier 2025 et son abrogation par la loi de finances pour 2026.
La prochaine étape : une offre, un usage, un dossier de preuves
Choisissez un usage précis du service paie et remplissez la matrice pour l’abonnement réellement envisagé. Chaque réponse doit renvoyer à une preuve datée ; chaque incertitude doit avoir un responsable de suivi. C’est ce dossier qui permettra au cabinet de décider des conditions d’utilisation, au-delà des annonces générales des développeurs.
Pour préparer cet exercice avec votre équipe, contactez CERTIF IA en décrivant l’usage envisagé, sans joindre de bulletin ni de données personnelles de salariés.
Avant de déposer un bulletin ou un export de paie dans un assistant IA, le cabinet doit pouvoir répondre à une question concrète : quels documents établissent ce que le fournisseur fera de ces données, pour cet abonnement et avec ces paramètres ? Une annonce générale sur la protection des données ne suffit pas à trancher.
Le bilan britannique du 8 octobre 2026 fournit un point de départ utile. Voici comment le traduire en une fiche de vérification documentaire pour un service paie, avec des réponses sourcées et des points ouverts confiés aux personnes compétentes.
Ce que le bilan de l’ICO établit
Dans son communiqué du 8 octobre 2026, l’ICO indique que dix développeurs de modèles ont réalisé, ou se sont engagés à réaliser, des changements après son travail de supervision. Ceux-ci concernent notamment la transparence, l’exercice des droits et l’évaluation des garanties. Le régulateur précise qu’il suit l’avancement des engagements.
Un changement réalisé et une promesse de changement doivent donc rester deux statuts distincts. Le communiqué ne signifie pas que toutes les mesures sont déjà opérationnelles chez les dix développeurs, ni qu’elles couvrent tous leurs services.
Le rapport associé de l’ICO porte sur le développement des modèles et le cadre britannique de protection des données. Il ne constitue ni une certification de conformité française, ni une autorisation de transmettre des données de paie à une offre commerciale particulière.
Définir précisément l’usage et l’offre du cabinet
Commencer par la tâche, puis limiter les données
Préparer une explication générale d’une rubrique de paie et analyser un bulletin nominatif n’impliquent pas les mêmes informations. Avant d’examiner le fournisseur, écrivez la tâche attendue, les données nécessaires et le destinataire du résultat.
Exemple pédagogique : pour apprendre à rédiger une explication claire d’une rubrique, le collaborateur peut travailler sur un bulletin entièrement fictif et une documentation validée. Il n’a pas besoin de transmettre le bulletin d’un salarié pour tester cette capacité rédactionnelle.
La FAQ de la CNIL sur l’IA générative recommande d’encadrer les usages et les informations autorisées en entrée. Elle rappelle notamment les précautions à prendre lorsque le fournisseur peut réutiliser les données, ainsi que la nécessité de ne pas partager d’informations confidentielles dans un service grand public.
Identifier le service exact
En tête de la fiche, consignez le fournisseur contractuel, le nom de l’offre, le compte professionnel concerné, le mode d’accès, les fonctions activées et la date de vérification. Précisez si l’IA est utilisée dans une interface de conversation, par une API ou à travers un logiciel métier.
Une garantie portant sur une API ne démontre pas les conditions d’un assistant intégré au logiciel de paie. De même, un document relatif à une offre entreprise ne prouve pas les garanties d’un abonnement individuel. Le contrat, les paramètres et la documentation doivent correspondre au même périmètre.
La matrice à remplir avant toute transmission
La grille suivante est une proposition méthodologique de CERTIF IA. Elle organise les questions à examiner ; elle ne constitue pas un audit de conformité. Pour chaque preuve, relevez son titre, sa version, sa date, son URL ou sa référence contractuelle et le passage utile. Conservez aussi la date de consultation.
Question | Preuve à rechercher | Périmètre à préciser | Engagement restant à vérifier |
|---|---|---|---|
Les données sont-elles réutilisées pour entraîner ou améliorer des modèles ? | Clause contractuelle, politique applicable et réglage administrateur daté. | Instructions, fichiers, réponses, retours utilisateurs ; offre et fonctions concernées. | Exceptions, option à activer, traitement des données déjà transmises. |
Combien de temps les données sont-elles conservées ? | Politique de conservation et clauses de suppression. | Conversations, pièces jointes, journaux techniques et sauvegardes. | Délais par catégorie, exceptions et suppression à la clôture du compte. |
Qui peut accéder aux contenus ? | Documentation des habilitations, conditions d’accès du support et mesures de sécurité. | Collaborateurs, administrateurs, personnel du fournisseur et prestataires. | Accès humains possibles, traçabilité et retrait des droits. |
Où les données sont-elles traitées ? | Engagements de localisation, liste des sous-traitants et documents encadrant les transferts éventuels. | Stockage, traitement, assistance et accès à distance. | Pays non précisés, garanties applicables et changements de prestataires. |
Comment traiter une demande d’exercice des droits ? | Procédure, contact désigné et clauses d’assistance. | Données d’entrée, historiques et autres données personnelles détenues. | Répartition des tâches, délais de réponse et limites techniques à examiner. |
Quels documents engagent réellement le fournisseur ? | Contrat, conditions de l’offre, accord de traitement des données et annexes de sécurité. | Entité signataire, abonnement souscrit et services inclus. | Document absent, contradiction ou clause encore en négociation. |
Une mesure annoncée est-elle déjà disponible ? | Documentation datée, confirmation écrite et contrôle dans l’environnement concerné. | Fonction, compte, région et date de disponibilité. | Échéance promise, activation nécessaire et vérification après livraison. |
Ajoutez à chaque ligne un responsable de suivi, une échéance et un statut : documenté pour cette offre, annoncé mais à confirmer, non documenté ou contradictoire. Une case renseignée n’équivaut pas automatiquement à une garantie suffisante : il faut encore apprécier la réponse au regard de l’usage envisagé.
Lire les preuves sans leur faire dire davantage
Absence d’entraînement et absence de conservation sont deux questions
Exemple fictif : la documentation d’une offre indique que les fichiers ne servent pas à entraîner les modèles. Le cabinet n’a toutefois trouvé aucune précision sur la conservation des journaux ni sur les accès du support.
La fiche peut alors mentionner une réponse documentée sur l’entraînement, limitée aux fichiers et à l’offre visés. Elle doit conserver deux questions ouvertes sur les journaux et le support. La phrase « nos données ne sont pas utilisées pour l’entraînement » ne permet pas de conclure qu’elles ne sont ni conservées ni accessibles.
Un réglage ne remplace pas le contrat
Une capture de l’interface démontre un paramètre visible à une date donnée. Une clause décrit un engagement juridique. Une documentation technique explique le fonctionnement annoncé. Ces éléments se complètent ; lorsqu’ils se contredisent, demandez une clarification écrite portant sur le compte et l’offre du cabinet.
La CNIL rappelle que la relation de sous-traitance doit être encadrée par un contrat comportant les dispositions prévues à l’article 28 du RGPD. Elle distingue également ces clauses de celles destinées à encadrer les transferts internationaux. Voir ses précisions sur les clauses contractuelles.
Faire examiner les points ouverts avant de décider
Le responsable paie prépare le besoin métier et la fiche. La direction du cabinet organise l’examen avec le DPO lorsqu’il existe, le responsable informatique et, selon les questions, le conseil juridique compétent. Les rôles de l’employeur client, du cabinet et du fournisseur doivent être qualifiés pour le traitement envisagé ; ils ne se déduisent pas du seul nom du produit.
Décrire l’opération : pourquoi utiliser l’IA, avec quelles données et pour quel résultat ?
Rassembler les pièces : documents contractuels, documentation technique et paramètres réellement appliqués.
Faire arbitrer les incertitudes : réutilisation, conservation, accès, droits et transferts éventuels.
Tracer la décision : usage autorisé, conditions imposées ou transmission suspendue, avec responsable et date de réexamen.
Si une information déterminante manque, poursuivez l’évaluation sur des données fictives. Une promesse commerciale ou un test de réponse réussi ne comble pas une lacune documentaire sur la protection des données. Réexaminez la fiche lors d’un changement d’offre, de contrat, de fonction ou de connecteur.
Formation IA : construire le dossier en atelier
Dans une formation CERTIF IA certifiée Qualiopi, un atelier peut être consacré à cette vérification, avec un professionnel de l’expertise comptable également formateur IA. Le travail porte sur des documents publics et des données entièrement fictives.
Les participants identifient l’offre décrite, remplissent la matrice, distinguent engagements disponibles et annonces futures, puis préparent les questions à soumettre au responsable compétent. Les livrables sont une fiche de périmètre, une matrice sourcée et une liste de points à arbitrer. Cet exercice prépare l’examen du dossier ; il ne délivre pas une validation juridique du fournisseur.
Pour organiser les objectifs et la progression pédagogique, consultez notre guide Formation IA en entreprise : comment former ses équipes ?. Les formations CERTIF IA permettent de travailler ces compétences dans un cadre métier.
Financement : examiner Atlas après confirmation du rattachement
La page Atlas de la branche expertise comptable mentionne l’IDCC 787, également écrit 0787, et des critères de financement sous réserve des fonds disponibles. Le rattachement du cabinet doit être confirmé avant d’envisager une demande.
Au 14 octobre 2026, la page des critères Atlas renvoie à la sélection d’un profil ou à myAtlas. Aucun barème détaillé applicable à cet atelier n’a été vérifié. Faites confirmer l’effectif retenu, le dispositif, l’admissibilité du programme, les dépenses couvertes, les délais et les fonds disponibles, puis obtenez l’accord préalable. La prise en charge n’est jamais garantie ; Qualiopi ne suffit pas à établir l’éligibilité de l’atelier.
Le crédit d’impôt formation des dirigeants ne s’applique pas aux formations réalisées en 2026. Le BOFiP du 6 mai 2026 confirme son inapplicabilité depuis le 1er janvier 2025 et son abrogation par la loi de finances pour 2026.
La prochaine étape : une offre, un usage, un dossier de preuves
Choisissez un usage précis du service paie et remplissez la matrice pour l’abonnement réellement envisagé. Chaque réponse doit renvoyer à une preuve datée ; chaque incertitude doit avoir un responsable de suivi. C’est ce dossier qui permettra au cabinet de décider des conditions d’utilisation, au-delà des annonces générales des développeurs.
Pour préparer cet exercice avec votre équipe, contactez CERTIF IA en décrivant l’usage envisagé, sans joindre de bulletin ni de données personnelles de salariés.
