Formation CNFPT, 2 jours
Intelligence artificielle : piloter la transformation de votre collectivité
Jour 2. Sécuriser, piloter, déployer : défendre votre idée devant le Comité IA.
Jour 1
Jour 2
Comité IA
Rhiad AZZABI, formateur spécialisé en IA, Communauté d'Agglomération Roissy Pays de France
Votre dossier : deux pièces hier, quatre aujourd'hui
Fiche du besoin
jour 1, atelier 3
Prompt testé et niveau des données
jour 1, atelier 4
Avis de conformité
séquence 5, atelier 5
Architecture et rôles
séquence 6, atelier 6
Fiche pilote
séquence 7, atelier 7
Indicateurs de valeur
séquence 8, exercice
À 16 h, chaque groupe défend ce dossier devant le Comité IA. Les autres groupes jouent le comité.
Selon la question qui a résisté dans vos tickets, nous insisterons : données en S5 et S6, contrôle en S7, valeur en S8.
Jour 2, ouverture
2
Aujourd'hui
Horaire
Séquence
Pièce produite
9 h 20
S5
Conformité
Protection des données, règlement européen sur l'IA, sécurité
Avis de conformité
11 h
S6
Architecture et gouvernance
Où tourne l'IA, qui l'achète, qui la pilote
Architecture et rôles
13 h 45
S7
Expérimenter, accompagner
Préparer un pilote, embarquer les équipes
Fiche pilote
15 h 15
S8
Évaluer, étendre
Mesurer la valeur, passer à l'échelle
Indicateurs
16 h
S9
Comité IA final
Chaque groupe défend son dossier
Verdict du comité
Pauses à 10 h 45 et 15 h ; déjeuner de 12 h 30 à 13 h 45 ; fin à 17 h.
Jour 2, ouverture
3
À 17 heures, chacun de vous saura :
Qualifier
un usage au regard de l'AI Act (règlement européen sur l'IA), du RGPD et de la sécurité, puis rendre un avis
S5
Choisir
un hébergement adapté au niveau des données, et répartir les rôles du projet
S6
Concevoir
un pilote avec des cas de test notés et des critères d'arrêt chiffrés
S7
Formuler
trois indicateurs avec valeur de départ, cible et responsable
S8
Défendre
un projet devant un comité, et évaluer celui des autres avec une grille
S9
N1 à N6 sur les activités : niveaux de la taxonomie de Bloom, de se souvenir (N1) à créer (N6).
Jour 2, ouverture
4
Séquence 5
Conformité
Trois regards sur votre idée : la protection des données, le règlement européen sur l'IA, la sécurité.
9 h 20, 85 minutes, dont un exercice et un atelier
Ce qui se passe vraiment
J1
Anticiper
J1
Par où commencer
J1
Cadrer le cas
J1
Conformité
J2
Architecture et gouvernance
J2
Expérimenter, accompagner
J2
Évaluer, étendre
J2
Comité IA final
J2
Jour 2
5
Deux textes, deux questions différentes
RGPD
Règlement général sur la protection des données
Ce qu'il protège
Les personnes dont on traite les données, avec ou sans IA.
Quand il s'applique
Dès qu'il y a une donnée personnelle : nom, voix, numéro, dossier.
Qui répond
La collectivité, responsable du traitement, conseillée par son DPO, délégué à la protection des données.
AI Act
Règlement européen sur l'intelligence artificielle
Ce qu'il encadre
Le système d'IA, selon l'usage qu'on en fait.
Quand il s'applique
Même sans aucune donnée personnelle.
Qui répond
Le fournisseur de l'outil, et la collectivité qui l'utilise, le plus souvent comme déployeur.
Un même projet passe les deux examens : l'un ne dispense jamais de l'autre.
Jour 2, séquence 5 : conformité
6
RGPD : six questions avant de lancer
1
Finalité
Pourquoi, précisément ? Une finalité par traitement, écrite avant de commencer.
2
Base légale
Le plus souvent la mission d'intérêt public, parfois l'obligation légale ; jamais l'intérêt légitime pour vos missions. Le consentement est rarement valable face à une administration.
3
Minimisation
Seulement les données utiles à la tâche : pas de dossier complet quand trois champs suffisent.
4
Durée
Combien de temps garde-t-on les données, les questions posées, les réponses ?
5
Destinataires
Qui y accède, et depuis quel pays ? Contrat de sous-traitance, aucune réutilisation des données, transfert hors UE encadré.
6
Droits
Les personnes sont informées et peuvent exercer leurs droits : accès, rectification, opposition.
Sources : RGPD, art. 5, 6, 13 et 28 ; considérant 43 ; CNIL (Commission nationale de l'informatique et des libertés), recommandations sur l'IA.
Jour 2, séquence 5 : conformité
7
Faut-il une analyse d'impact (AIPD) ?
La règle
Un traitement qui remplit au moins deux des neuf critères du CEPD, le comité européen de la protection des données, est présumé soumis à une AIPD.
Évaluation systématique et approfondie d'aspects personnels, automatisée (profilage compris), fondant des décisions aux effets juridiques : toujours (art. 35.3.a).
Les neuf critères du CEPD
Données sensibles ou très personnelles : santé, social, police
Personnes vulnérables : mineurs, usagers en difficulté
Grande échelle : nombre de personnes concernées
Croisement de données : plusieurs fichiers rapprochés
Usage innovant : l'IA n'en relève pas toujours ; la CNIL y range l'IA générative
Évaluation ou notation, profilage compris
Décision automatisée aux effets juridiques
Surveillance systématique : vidéoprotection, suivi d'activité
Exclusion d'un droit ou d'un service : une aide, une place
Qui la porte : la collectivité, responsable du traitement, avec l'avis du DPO. À lancer avant le pilote, pas après.
Profilage : évaluer une personne à partir de ses données. Sources : RGPD, art. 35 ; CNIL, « IA : réaliser une analyse d'impact si nécessaire ».
Jour 2, séquence 5 : conformité
8
AI Act : quatre niveaux, selon l'usage et non selon l'outil
Interdit
Notation sociale ; identification biométrique en temps réel dans l'espace public à des fins répressives, sauf exceptions.
Depuis le 2 février 2025
Haut risque
Trier des candidatures, évaluer l'éligibilité à une aide sociale : liste de l'annexe III.
Obligations au 2 décembre 2027
Transparence
Un chatbot dit qu'il est une IA. Un texte d'intérêt public généré et publié sans relecture humaine porte une mention.
Depuis le 2 août 2026
Minimal
Aide à la rédaction d'un courrier relu par l'agent : pas d'obligation propre ; former les agents reste attendu.
Article 4 : agir pour former
Sources : règlement (UE) 2024/1689, art. 4, 5 et 50, annexe III ; règlement (UE) 2026/1744. Marquage des contenus : 2 décembre 2026 pour les outils déjà sur le marché.
Jour 2, séquence 5 : conformité
9
Exercice : quel niveau de risque ?
Exercice
8 min + 7 min de débrief
En binôme
Objectif (N3) : appliquer les quatre niveaux de l'AI Act à six usages nouveaux, en citant ce qui décide.
Pour chaque usage, notez un seul niveau : interdit, haut risque, transparence ou minimal. Ajoutez le mot qui vous a décidé.
1
Un assistant en ligne répond aux familles sur les inscriptions scolaires.
Niveau
2
Un logiciel analyse les entretiens annuels pour proposer les agents à promouvoir.
Niveau
3
Un logiciel déduit les émotions des agents pendant leurs visioconférences.
Niveau
4
Un outil génère l'affiche de la fête de la musique, validée par la communication.
Niveau
5
Un outil calcule qui doit rembourser un trop-perçu d'aide du centre communal d'action sociale.
Niveau
6
Une vidéo réaliste et inventée du maire est générée pour une campagne de prévention.
Niveau
Débrief : le corrigé, cas par cas.
Réussi si : six niveaux notés, chacun avec son mot.
Jour 2, séquence 5 : conformité
10
Exercice : le corrigé
Usage
Niveau
Ce qui décide
Un assistant en ligne répond aux familles sur les inscriptions scolaires.
Transparence
Il échange avec le public : il doit annoncer qu'il est une IA, à exiger du fournisseur (art. 50).
Un logiciel analyse les entretiens annuels pour proposer les agents à promouvoir.
Haut risque
Promotion et évaluation des agents : annexe III, point 4 b).
Un logiciel déduit les émotions des agents pendant leurs visioconférences.
Interdit
Émotions au travail (visage, voix) : interdit (art. 5), sauf raison médicale ou de sécurité.
Un outil génère l'affiche de la fête de la musique, validée par la communication.
Minimal
Illustrative : pas d'obligation propre. Photoréaliste : hypertrucage, mention même après relecture.
Un outil calcule qui doit rembourser un trop-perçu d'aide du centre communal d'action sociale.
Haut risque
Recouvrer une aide sociale essentielle : annexe III, point 5 a).
Une vidéo réaliste et inventée du maire est générée pour une campagne de prévention.
Transparence
Hypertrucage : la vidéo indique qu'elle est générée par une IA (art. 50, § 4), avec l'accord du maire.
C'est l'usage, pas la technologie, qui fixe le niveau. Et les niveaux se cumulent : un outil à haut risque qui dialogue avec le public doit aussi dire qu'il est une IA.
Jour 2, séquence 5 : conformité
11
Si votre idée est à haut risque : ce que la collectivité devra faire
Annexe III : 2 décembre 2027. Outil déjà en service dans une administration : conformité au plus tard le 2 août 2030.
1
Un contrôle humain réel
Par des agents compétents et formés, qui ont l'autorité de corriger ou d'arrêter l'outil.
art. 26, § 2
2
Des journaux conservés
Au moins six mois, pour pouvoir expliquer une décision après coup.
art. 26, § 6
3
Les agents et leurs représentants informés
Avant la mise en service sur le lieu de travail.
art. 26, § 7
4
Les personnes concernées informées
Quand l'outil prend ou aide à prendre une décision les concernant.
art. 26, § 11
5
Avant la première utilisation
Analyse droits fondamentaux ; outil vérifié et usage enregistré dans la base de l'UE.
art. 26, 27 et 49
Elles s'ajoutent au RGPD : l'analyse d'impact sur les droits fondamentaux (effets sur les personnes) peut reprendre l'AIPD (protection des données).
Source : règlement (UE) 2024/1689, art. 26, 27, 49, § 3, et 111, § 2 ; calendrier modifié par le règlement (UE) 2026/1744.
Jour 2, séquence 5 : conformité
12
Sécurité : trois risques propres à l'IA générative
La fuite de données
Ce qui est collé dans un outil en ligne peut être conservé ou réutilisé. Rien au-delà du niveau 1, public, dans une IA grand public.
ANSSI, R34 ; seuil du niveau 1 : règle de la formation
L'injection de consignes
Un courriel, une page web ou un document contient des instructions cachées que l'IA suit sans que l'agent le voie.
ANSSI, R26 et R27
L'action sans validation
Une IA ne doit pas déclencher seule une action critique : envoi à un usager, publication, modification d'un dossier.
ANSSI, R9
Le réflexe : l'outil n'accède qu'aux données dont la tâche a besoin, et un agent valide toute action qui engage la collectivité.
Source : ANSSI, Agence nationale de la sécurité des systèmes d'information, Recommandations de sécurité pour un système d'IA générative, 29 avril 2024.
Jour 2, séquence 5 : conformité
13
Atelier 5 : l'avis de conformité
Atelier 5
25 min + 10 min de débrief
Groupes du fil rouge
Objectif (N4 puis N5) : analyser l'idée du groupe au regard du RGPD, de l'AI Act et de la sécurité, puis rendre un avis argumenté.
Ce que vous faites, en trois temps
1
Qualifiez
5 min
Placez votre idée dans un des quatre niveaux de l'AI Act, en citant l'usage qui le justifie.
2
Vérifiez
15 min
Répondez aux six questions RGPD, puis cochez les critères d'AIPD et les risques de sécurité qui s'appliquent.
3
Concluez
5 min
Rendez un avis : favorable, favorable sous conditions ou défavorable, avec trois conditions au plus.
Exemple, à faire ensemble : le standard de Rives-en-Boisval
Transparence
il dit qu'il est une IA
AIPD : avis du DPO
usage innovant coché
Favorable sous 3 conditions
accueil, commande publique, DPO
Matériel
Par groupe : la fiche avis de conformité A3 et votre fiche du besoin.
Livrable
L'avis du groupe : troisième pièce du dossier.
Réussi si
Le niveau est justifié par l'usage, et chaque condition nomme qui la vérifie.
Débrief
10 minutes : les conditions qui reviennent dans plusieurs groupes.
Jour 2, séquence 5 : atelier 5
14
Atelier 5 : votre fiche avis de conformité
1. AI Act
L'usage qui justifie ce niveau
Interdit
Haut risque
Transparence
Minimal
2. RGPD
Une réponse courte par question
Finalité
Base légale
Minimisation
Durée
Destinataires
Droits
3. AIPD
Deux cases ou plus : AIPD présumée
Données sensibles ou très personnelles
Personnes vulnérables
Grande échelle
Croisement de données
Usage innovant
Évaluation ou notation
Décision automatisée
Surveillance systématique
Exclusion d'un droit ou d'un service
4. Sécurité
La parade prévue pour chaque risque coché
Fuite de données
Injection de consignes
Action sans validation
Avis du groupe
Favorable
Favorable sous conditions
Défavorable
Conditions, et qui les vérifie
1
2
3
25 minutes, puis débrief
Jour 2, séquence 5 : atelier 5
15
Atelier 5 : ce que le DPO et le RSSI vous demanderont
Le DPO
Le traitement est-il inscrit au registre ? Faut-il une AIPD : liste CNIL, art. 35.3, deux critères sur neuf ? Comment les personnes sont-elles informées ?
Le RSSI
Où vont les données ? Qui y accède ? Que peut faire l'outil sans validation humaine ?
Juriste et commande publique
Le contrat interdit-il la réutilisation des données ? Prévoit-il la réversibilité et l'audit ?
Votre avis ne remplace pas le leur : il prépare le rendez-vous avec eux, questions comprises.
DPO : délégué à la protection des données. RSSI : responsable de la sécurité des systèmes d'information. Après la pause : où faire tourner votre idée, et qui la pilote.
Jour 2, séquence 5 : atelier 5
16
Séquence 6
Architecture et gouvernance
Où tourne l'IA, qui l'achète, qui la pilote.
11 h, 90 minutes, dont un exercice et un atelier
Ce qui se passe vraiment
J1
Anticiper
J1
Par où commencer
J1
Cadrer le cas
J1
Conformité
J2
Architecture et gouvernance
J2
Expérimenter, accompagner
J2
Évaluer, étendre
J2
Comité IA final
J2
Jour 2
17
Où tourne l'IA : quatre options
Grand public en ligne
Ce que c'est
Version gratuite d'un assistant sur Internet.
Données admises
Niveau 1, public
Maîtrise
Aucune maîtrise
Cloud sous contrat
Ce que c'est
Offre professionnelle d'un éditeur, contrat qui protège les données.
Données admises
Jusqu'au niveau 2
Maîtrise
Selon le contrat
Cloud de confiance
Ce que c'est
Hébergeur qualifié SecNumCloud, visa de sécurité délivré par l'ANSSI.
Données admises
Niveau 3, après analyse
Maîtrise
Forte
Sur site ou mutualisé
Ce que c'est
Modèle ouvert, publié et réutilisable, sur un serveur de la collectivité ou d'un syndicat informatique.
Données admises
Niveau 3, après analyse
Maîtrise
Forte, si on sait l'exploiter
Local ne veut pas dire sans risque, européen ne veut pas dire conforme : le choix suit le niveau des données et les compétences.
Niveaux de données : jour 1, séquence 4. Données de santé : hébergeur certifié de données de santé (HDS) en principe requis (code de la santé publique, art. L. 1111-8). Source : ANSSI, R14 et R34.
Jour 2, séquence 6 : architecture et gouvernance
18
Acheter, construire ou mutualiser
Acheter
Une solution d'éditeur : rapide à déployer, mais dépendance au fournisseur. Passe par un marché public, avec au moins un critère environnemental depuis le 21 août 2026.
Construire
Sur des modèles ouverts : maîtrise forte, mais compétences rares et maintenance à assurer. La collectivité peut alors devenir fournisseur au sens de l'AI Act.
Mutualiser
Avec l'intercommunalité ou un syndicat informatique. Le code d'Albert, l'IA de l'État, est réutilisable ; son API hébergée par l'État n'est pas ouverte aux collectivités.
ia.numerique.gouv.fr, octobre 2026
Dans tout contrat, à négocier
Hébergement et localisation des données
Aucune réutilisation pour entraîner le modèle
Réversibilité : récupérer ses données en partant
Journaux d'activité et droit d'audit
Information sur le modèle et ses mises à jour
Recommandations, à valider avec votre service de la commande publique.
Jour 2, séquence 6 : architecture et gouvernance
19
Qui fait quoi : une répartition à adapter
Décision ou tâche
Élu, DGS
Métier
DSI
RSSI
DPO
RH
Décider d'engager le projet
D
R
C
C
C
I
Exprimer le besoin et tester
I
D
C
I
C
I
Choisir et sécuriser l'architecture
I
C
D
R
C
I
Données personnelles, AIPD
D
R
C
C
C
I
Former et accompagner les agents
I
R
I
I
I
D
Décider du passage à l'échelle
D
R
C
C
C
C
D : décide. R : réalise. C : consulté avant. I : informé après. Une seule lettre D par ligne.
DGS : directeur général des services. DSI : direction des systèmes d'information. Pour l'AIPD, la collectivité décide ; le DPO conseille.
Jour 2, séquence 6 : architecture et gouvernance
20
Trois outils de gouvernance suffisent pour commencer
Un comité IA
DGS ou élu référent, DSI, RSSI, DPO, RH et un service métier. Il se réunit avant chaque projet et avant chaque passage à l'échelle.
Une charte d'usage
Ce qui est autorisé, avec quels outils, pour quels niveaux de données. Une page, connue de tous les agents.
Un registre des usages
Qui utilise quoi, pour quelle tâche, avec quelles données (distinct du registre RGPD). Le projet d'accord-cadre IA prévoit un registre des systèmes d'IA ; il ne vaudra que signé par des syndicats totalisant 50 % des voix.
Localtis, 14 sept. 2026 ; CFDT, 12 oct. ; CGT, 15 oct. 2026
Commencer petit : un comité qui se réunit vraiment vaut mieux qu'une gouvernance complète restée sur le papier.
Jour 2, séquence 6 : architecture et gouvernance
21
Exercice : où peut tourner ce cas ?
Exercice
6 min + 4 min de débrief
En binôme
Objectif (N3) : appliquer la règle données-hébergement à quatre cas : le niveau, puis les options possibles.
Pour chaque cas, notez le niveau des données, puis notez les options d'hébergement possibles.
1
Résumer une délibération publiée sur le site de la commune.
Niveau
Grand public
Cloud sous contrat
Cloud de confiance
Sur site
2
Reformuler une note de service interne, sans nom de personne.
Niveau
Grand public
Cloud sous contrat
Cloud de confiance
Sur site
3
Analyser des dossiers de demande d'aide sociale.
Niveau
Grand public
Cloud sous contrat
Cloud de confiance
Sur site
4
Synthétiser la main courante de la police municipale.
Niveau
Grand public
Cloud sous contrat
Cloud de confiance
Sur site
Débrief : le corrigé, puis l'atelier 6.
Réussi si : un niveau et des options pour chaque cas.
Jour 2, séquence 6 : architecture et gouvernance
22
Exercice : le corrigé
Cas
Données
Options possibles
Résumer une délibération publiée sur le site de la commune.
Niveau 1
Les quatre options.
Reformuler une note de service interne, sans nom de personne.
Niveau 2
Cloud sous contrat, cloud de confiance, sur site.
Analyser des dossiers de demande d'aide sociale.
Niveau 3
Cloud de confiance ou sur site, après analyse de la DSI, du RSSI et du DPO ; AIPD présumée, obligatoire si accompagnement social.
Synthétiser la main courante de la police municipale.
Niveau 3
Cloud de confiance ou sur site, après analyse ; jamais un outil grand public.
Le niveau des données élimine des options avant toute discussion de prix ou de performance.
Jour 2, séquence 6 : architecture et gouvernance
23
Atelier 6 : l'architecture et les rôles
Atelier 6
30 min + 10 min de débrief
Groupes du fil rouge
Objectif (N5) : choisir un hébergement pour votre idée en pesant quatre critères, puis répartir les rôles du projet.
Ce que vous faites, en trois temps
1
Notez
12 min
Pour chacune des quatre options, notez de 0 à 2 les quatre critères de la grille.
2
Choisissez
6 min
Retenez l'option la mieux notée qui admet le niveau de vos données, ou justifiez un autre choix.
3
Répartissez
12 min
Remplissez le tableau des rôles, avec une seule lettre D par ligne.
Exemple, à faire ensemble : le standard de Rives-en-Boisval
Niveau 2 après minimisation
pas d'enregistrement, numéro masqué
Cloud sous contrat
7 sur 8 ; contrat à signer
Engager le projet
D : la DGS ; R : l'accueil
Matériel
Par groupe : la grille A3, votre avis de conformité et votre fiche prompt.
Livrable
La grille remplie : quatrième pièce du dossier.
Réussi si
L'option admet le niveau des données, et chaque ligne a un seul D.
Débrief
10 minutes : deux groupes aux choix opposés défendent leur option.
Jour 2, séquence 6 : atelier 6
24
Atelier 6 : votre grille architecture et rôles
Critère
Grand public
Cloud sous contrat
Cloud de confiance
Sur site
Admet le niveau de nos données
Coût supportable
Compétences disponibles
Dépendance limitée
Total sur 8
Données : 2 oui ; 1 oui après analyse de la DSI, du RSSI et du DPO ; 0 non, option écartée. Autres critères : 0 non, 1 en partie, 2 oui.
Rôles, sur la fiche A3
Engager le projet
Besoin et tests
Architecture
Données, AIPD
Accompagnement
Passage à l'échelle
Pour chaque tâche, une lettre par rôle : élu ou DGS, métier, DSI, RSSI, DPO, RH. Un seul D par ligne.
Option retenue et raison
30 minutes, puis débrief
Jour 2, séquence 6 : atelier 6
25
Atelier 6 : ce que vos choix révèlent
Question au groupe
Qui a choisi le sur site ?
Avec quelles compétences pour l'installer, le mettre à jour et le sécuriser dans trois ans ?
Question au groupe
Le DPO et le RSSI arrivent-ils tard ?
Sur quelles lignes sont-ils seulement informés, alors qu'il faudrait les consulter avant ?
À retenir
Le bon hébergement
C'est celui que la collectivité sait sécuriser et maintenir, pas le plus puissant.
Cet après-midi, votre fiche pilote s'appuie sur l'architecture et les rôles que vous venez de choisir.
Jour 2, séquence 6 : atelier 6
26
Retour à la page de la formation