Données, conformité, IA: 7 leçons opérationnelles après la sanction CNIL FNAC DARTY

La sanction CNIL FNAC DARTY, ce qu’elle dit vraiment (et ce qu’elle ne dit pas)

Tu bosses sur un projet GenAI à Lyon. Un assistant interne, un RAG sur SharePoint, une évaluation de modèle, une reco produit, un outil marketing. Et tu te dis: “On verra la conformité plus tard.” Mauvais pari.

La sanction CNIL FNAC DARTY est un rappel basique, mais utile: si tu ne contrôles pas tes flux de données, tu finis par traiter sans le vouloir, et sans respecter le choix des gens.

Factuel, sans extrapoler: le 22 octobre 2026, la CNIL a prononcé 7 millions d’euros d’amende au total contre FNAC DARTY PARTICIPATIONS ET SERVICES (6 M€) et FNAC DIRECT (1 M€), pour non-respect des règles sur les traceurs/cookies (article 82 de la loi Informatique et Libertés), après une plainte de NOYB et un contrôle en mars 2024 sur l’application mobile FNAC. Source CNIL: délibération et résumé https://www.cnil.fr/fr/sanction-cookies-app-fnac.

Le point central décrit par la CNIL: un traceur via API vers un domaine tiers transmettait notamment un identifiant utilisateur et des infos d’activité (exemples cités: produits consultés) pour personnaliser des recommandations et entraîner l’algorithme de recommandations, sans consentement valable, y compris après un refus. La CNIL ajoute une injonction de démontrer la mise en conformité sous 1 mois, avec astreinte de 10 000 € par jour en cas de retard. Source CNIL: https://www.cnil.fr/fr/sanction-cookies-app-fnac.

Et oui, la CNIL prend aussi en compte la taille: la délibération mentionne un CA groupe 2025 supérieur à 10 milliards d’euros pour apprécier le montant. Source Legifrance: https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000055022778?utm_source=openai.

Cette sanction ne “juge” pas l’IA générative. Mais elle est parfaite pour tirer un plan concret “conformité données IA”: tu veux prouver quoi, sur quels flux, avec quelles bases légales, quelles durées, quels sous-traitants, et quelle traçabilité. C’est exactement ce qu’un DPO Lyon va te demander quand tu voudras passer en prod.

Plan de contrôles “data ready for IA”: 7 leçons actionnables

Objectif: transformer une leçon “cookies/traceurs” en une checklist opérationnelle pour tes projets RGPD et IA générative. Sans dire que “c’est pareil”. Juste: mêmes réflexes de contrôle et de preuve.

1) Base légale: sépare “service” et “amélioration / entraînement”

Dans la sanction, le nœud est simple: le traitement n’est pas “strictement nécessaire” au service, donc il tombe dans une logique consentement côté traceurs. Source CNIL: https://www.cnil.fr/fr/sanction-cookies-app-fnac.

Transposition en entreprise sur la GenAI: tu dois arrêter de mélanger les finalités.

• Finalité “service”: répondre à un salarié via un assistant interne, générer un compte rendu, retrouver une procédure via RAG.
• Finalité “amélioration”: réutiliser prompts et conversations pour améliorer les réponses, entraîner un modèle, constituer un dataset d’évaluation, faire de l’analytics sur les requêtes.

Contrôles à poser dès le cadrage:

• Une base légale par finalité, écrite noir sur blanc (contrat, obligation légale, intérêt légitime, consentement selon le cas).
• Un mapping “données -> finalités”: quelles données personnelles entrent dans quel usage (et lesquelles sont exclues).
• Un choix clair sur l’entraînement: “zéro entraînement avec données internes” par défaut, sauf décision formelle et documentée.

Le piège classique à Lyon comme ailleurs: l’assistant interne démarre en “outil de productivité”, puis quelqu’un active “améliorer le modèle avec les conversations”. Là, tu viens de changer la finalité. Et souvent la base légale ne suit pas.

2) Information: qui fait quoi, et pour quoi faire, dans ta chaîne GenAI

Dans la délibération, les sociétés sont qualifiées de responsables conjoints pour les traitements liés à l’app. Source Legifrance: https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000055022778?utm_source=openai.

En GenAI entreprise, le même sujet revient en permanence: tu as une chaîne. Exemple typique à Lyon:

• DSI: identité, accès, poste de travail, M365/Google Workspace.
• Équipe data: indexation, vector DB, logs.
• Éditeur: LLM en API ou modèle hébergé.
• Intégrateur: plateforme agent/RAG, observabilité.
• Hébergeur: cloud, sauvegardes.

Contrôles à poser:

• Fiche de traitement interne: finalités, catégories de données, rôles (responsable, co-responsable, sous-traitant), destinataires.
• Notice lisible pour les utilisateurs (salariés, clients selon le cas): “ce qui est collecté”, “pour quoi”, “pendant combien de temps”, “qui y accède”.
• Si co-responsabilité: accords, responsabilités, point de contact. Pas une slide, un document exploitable.

Ce que tu cherches: éviter le “personne ne sait” quand le DPO demande “où partent les prompts” et “qui peut y accéder”.

3) Durées de conservation: coupe le “drift” des logs, prompts et jeux d’éval

La conformité data, ce n’est pas juste “sécurité”. C’est aussi combien de temps tu gardes les données. Et sur les projets GenAI, le drift est violent: logs d’API, traces d’observabilité, conversations, pièces jointes, exports CSV pour évaluer… et personne ne sait ce qui est encore là.

La CNIL rappelle des repères sur certaines durées (exemple côté prospection: 3 ans après la fin de la relation commerciale). Source CNIL (référentiels activités commerciales): https://www.cnil.fr/fr/questions-reponses-sur-les-referentiels-relatifs-la-gestion-des-activites-commerciales-et-des?utm_source=openai.

Contrôles concrets “data ready for IA”:

• Une matrice de conservation par catégorie: prompts, conversations, pièces jointes, résultats, logs techniques, logs d’audit, datasets d’évaluation.
• Des TTL techniques (expiration automatique) là où c’est possible.
• Une séparation “données d’usage” vs “données d’amélioration”: pas la même durée, pas les mêmes accès.
• Une preuve d’effacement: un export de configuration, un rapport de purge, un contrôle récurrent.

Si tu veux un cadre spécifique, Lyon IA a déjà un guide focalisé sur ce point: https://lyon-ia.com/blog/politique-conservation-donnees-ia.

4) Droits des personnes: prépare la réponse “où est passée ma donnée dans votre IA”

La CNIL rappelle que, pour les systèmes d’IA, il faut documenter et gérer les risques liés aux données personnelles, y compris la possibilité d’extraction ou de mémorisation, et être capable de mener des investigations. Source CNIL (recommandations développement systèmes d’IA): https://www.cnil.fr/fr/developpement-des-systemes-dia-les-recommandations-de-la-cnil-pour-respecter-le-rgpd?utm_source=openai.

Traduction opérationnelle: si quelqu’un exerce un droit (accès, effacement, opposition), tu dois pouvoir répondre sans improviser.

• RAG: ta donnée est peut-être dans l’index (chunks), dans les documents source, dans les logs de requêtes, dans les réponses renvoyées.
• Assistant interne: ta donnée est peut-être dans une conversation, un export pour debug, un dataset de test.
• Fine-tuning (si tu en fais): ta donnée peut être dans le dataset d’entraînement et potentiellement réapparaître.

Contrôles à poser:

• Procédure de recherche: comment retrouver une donnée dans les stores (doc store, index vectoriel, log store, tickets support).
• Procédure de purge: suppression dans les sources, réindexation, purge des logs selon règles.
• Capacité à extraire les éléments à fournir (copies de sorties contenant des données personnelles, historique lié à un identifiant).
• Rôle du DPO clair: point d’entrée, SLA, escalade.

Ce n’est pas du luxe. C’est ce qui évite de se retrouver à dire “impossible” alors que tu as juste zéro cartographie.

5) Sous-traitants: traite ton SaaS GenAI comme un traitement complet, pas un plugin

Dans la sanction, on voit un schéma classique: un flux part vers un domaine tiers via API. Source CNIL: https://www.cnil.fr/fr/sanction-cookies-app-fnac.

En GenAI, ton “domaine tiers”, c’est souvent:

• fournisseur LLM (API),
• outil d’analytics,
• outil d’observabilité (traces, prompts, outputs),
• plateforme d’agents,
• support (tickets avec données copiées-collées).

Contrôles à poser:

• Cartographie des flux: quelles données sortent, vers qui, à quel moment, avec quels identifiants.
• Contrats et DPA: instructions documentées, sécurité, localisation, sous-traitants ultérieurs, audit.
• Clause explicite “no training” côté fournisseur, ou paramétrage équivalent, avec preuve. Si tu acceptes l’entraînement, tu le fais sciemment, pas par défaut.
• Liste des outils “invisibles”: plugins, SDK, trackers, librairies qui envoient des événements.

Sur ce sujet, utile en complément: https://lyon-ia.com/blog/contrat-fournisseur-ia-clauses.

6) Traçabilité et preuve: tu dois pouvoir démontrer qu’un opt-out est respecté

Un reproche clé dans la sanction: le choix de refus n’a pas été respecté dans les faits. Source CNIL: https://www.cnil.fr/fr/sanction-cookies-app-fnac.

En GenAI, c’est pareil mais avec d’autres interrupteurs:

• “ne pas logger les prompts”,
• “ne pas conserver les conversations”,
• “ne pas utiliser pour entraîner”,
• “ne pas indexer tel répertoire / telle étiquette”,
• “masquer les données sensibles (DLP)”.

Contrôles à poser pour la preuve:

• Tests de non-collecte: scénarios de test qui prouvent que quand c’est off, rien ne part (réseau, logs, SIEM, proxy).
• Journalisation d’audit (côté accès, pas forcément contenu): qui a accédé, quand, quelle action.
• Configuration exportable: captures de paramétrage, politiques, versioning infra-as-code si possible.
• Tagging de sensibilité: classification et règles (ex: “HR-confidentiel: interdit IA”).

Tu veux éviter la phrase qui tue en contrôle: “On avait désactivé, mais on n’est pas sûrs.”

7) Focus assistants internes et entraînement/évaluation: le vrai piège en entreprise

C’est le cas le plus fréquent en ce moment à Lyon: un assistant interne branché sur documentation, tickets, procédures, parfois CRM. Tu le lances “en interne”, donc tu baisses la garde. Erreur.

La CNIL rappelle que, dans de nombreux cas, un modèle entraîné sur des données personnelles reste dans le champ RGPD, et qu’il faut penser la conformité dès le développement. Source CNIL (recommandations IA et RGPD): https://www.cnil.fr/fr/developpement-des-systemes-dia-les-recommandations-de-la-cnil-pour-respecter-le-rgpd?utm_source=openai.

Tu as trois zones à cadrer, sinon tu te tires une balle dans le pied.

7.1 Assistant interne: ce que tu dois figer avant la première connexion

• Périmètre de sources: quelles bibliothèques, quels espaces, quelles boîtes mail, quels tickets. Pas “tout SharePoint”.
• Exclusions: RH, médical, juridique sensible, secrets d’affaires, données clients non nécessaires.
• Contrôles d’accès: l’assistant doit respecter les ACL. Pas de “super index” qui réexpose tout.
• Logs: ce que tu logges, où, combien de temps, qui lit.

Pour un point de départ côté construction, tu peux t’appuyer sur: https://lyon-ia.com/blog/assistant-interne-documentation-entreprise.

7.2 Entraînement et fine-tuning: décision rare, décision lourde

Si tu passes de RAG à entraînement, tu changes de nature de risque. Pas forcément “interdit”, mais clairement plus engageant. Contrôles minimum:

• Justification: pourquoi RAG ne suffit pas, et quel gain mesurable.
• Hygiène dataset: minimisation, suppression des identifiants directs quand possible, contrôle des doublons, des données hors périmètre.
• Documentation: version du dataset, sources, droits, durées, personnes ayant accès.
• Tests d’extraction/mémorisation: tests simples pour vérifier que le modèle ne régurgite pas des informations inattendues.

Si tu hésites entre RAG et fine-tuning, garde un cadre clair: https://lyon-ia.com/blog/fine-tuning-ou-rag.

7.3 Évaluation des modèles: ton dataset d’éval est souvent le pire dataset

En pratique, les boîtes créent un “jeu de tests” à partir de conversations réelles, de tickets, de mails. Rapide. Efficace. Souvent bourré de données personnelles. Et conservé indéfiniment.

Contrôles à poser:

• Dataset d’éval séparé des logs de prod.
• Nettoyage (anonymisation/pseudonymisation quand possible).
• Durée de conservation et rotation.
• Traçabilité: d’où viennent les cas, qui les a validés.

Pour structurer cette partie sans blabla: https://lyon-ia.com/blog/evaluer-reponses-ia-jeu-de-tests.

Checklist express à dérouler en 10 jours (PME, ETI, grand groupe à Lyon)

Tu veux du concret. Voilà un plan court, applicable à un pilote GenAI, sans attendre “le grand programme gouvernance”.

• J1-J2: cartographie flux (prompts, pièces jointes, logs, outils tiers). Qui reçoit quoi.
• J2-J3: finalités + bases légales (service vs amélioration). Tu documentes, tu tranches.
• J3-J4: info et rôles (responsable, sous-traitants, co-responsables). Tu écris une notice interne.
• J4-J5: durées (TTL, purge, archivage). Tu configures, pas juste une politique PDF.
• J5-J6: droits (recherche, extraction, purge). Tu fais un test “demande d’accès” en interne.
• J6-J7: sous-traitants (DPA, no training, localisation, sous-traitants ultérieurs). Tu vérifies le réel, pas le marketing.
• J8-J10: traçabilité (preuves de paramétrage, tests de non-collecte, audit). Tu produis un dossier de preuve.

Si tu as déjà un doute “fuite via assistant IA”, tu peux compléter avec cette checklist sécurité: https://lyon-ia.com/blog/fuite-de-donnees-7-controles-rapides-avant-douvrir-vos-donnees-a-un-assistant-ia.

Ce que ton DPO (à Lyon ou ailleurs) attend de toi

Le mot-clé, ce n’est pas “zéro risque”. C’est capacité à démontrer. La sanction CNIL FNAC DARTY montre une autorité qui regarde la réalité des flux et l’effectivité des choix. Pas les intentions.

• Un registre ou une fiche traitement à jour.
• Un schéma de flux compréhensible.
• Des décisions (finalités, bases légales, durées) signées, datées.
• Des preuves techniques (paramètres, logs d’audit, tests).
• Une procédure droits des personnes testée une fois.

Tu peux avoir le meilleur modèle du monde. Si tu ne sais pas ce qui sort et ce qui reste, tu n’es pas “prêt données”. Tu es juste en train de prier.

3 actions à lancer dès maintenant sur tes projets GenAI à Lyon

Action 1: prends ton projet GenAI le plus avancé et fais un audit de flux d’une heure: où part un identifiant, où part un contenu, où part un log. Si tu ne sais pas, c’est déjà un signal.

Action 2: écris une page “service vs amélioration” et fais valider. Tant que ce n’est pas tranché, tu bloques l’entraînement et tu limites la collecte.

Action 3: monte un dossier de preuves (config no training, durées, purge, sous-traitants, tests). Le jour où ça chauffe, c’est ce dossier qui te sauve, pas ton slide deck.

Sources principales: délibération CNIL sur l’app FNAC et sanction cookies https://www.cnil.fr/fr/sanction-cookies-app-fnac, délibération publiée sur Legifrance https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000055022778?utm_source=openai, recommandations CNIL sur le développement de systèmes d’IA et RGPD https://www.cnil.fr/fr/developpement-des-systemes-dia-les-recommandations-de-la-cnil-pour-respecter-le-rgpd?utm_source=openai, Q&R CNIL sur l’utilisation d’un système d’IA générative https://www.cnil.fr/fr/les-questions-reponses-de-la-cnil-sur-lutilisation-dun-systeme-dia-generative?utm_source=openai.