IA dans l’éducation : RGPD, usages et bonnes pratiques

L’IA dans l’éducation ouvre de nouvelles possibilités pour les enseignants, les élèves et les établissements scolaires. Elle peut aider à préparer un cours, créer des exercices, accompagner certains apprentissages ou faciliter certaines tâches répétitives. Mais l’utilisation de l’intelligence artificielle à l’école pose aussi des questions importantes : pour quelles données ? Quel outil choisir ? Qui doit décider ? Et jusqu’où peut-on automatiser sans perdre la dimension humaine de l’éducation ?

La CNIL a publié, le 20 juin 2025, deux FAQ consacrées à l’utilisation des systèmes d’IA dans les établissements scolaires : l’une destinée aux enseignants, l’autre aux responsables de traitement. Ces recommandations donnent un cadre concret pour développer les usages de l’IA tout en protégeant les données personnelles des élèves et des enseignants.

Pourquoi utiliser l’IA dans l’éducation ?

L’IA peut apporter une réelle valeur pédagogique lorsqu’elle répond à un besoin clairement identifié. C’est notamment le cas pour :

• préparer des cours ou des exercices ;
• adapter des contenus aux besoins des élèves ;
• aider à la correction ;
• accompagner certains apprentissages ;
• faciliter le suivi des apprentissages ;
• aider les enseignants dans certaines tâches répétitives ;
• proposer des supports ou contenus pédagogiques.

L’IA peut donc devenir un outil d’assistance pratique.

Mais elle ne doit pas devenir un substitut à l’enseignant. C’est une distinction essentielle.

Un outil peut proposer une réponse, générer un exercice ou synthétiser des informations. Il ne possède pas pour autant la compréhension du contexte humain, pédagogique et individuel, qui permet à un enseignant de prendre une décision pertinente.

L’objectif n’est donc pas de mettre de l’IA partout.

Il consiste plutôt à déterminer où l’IA apporte une véritable valeur pédagogique et où elle doit rester à distance de la décision humaine.

IA dans l’éducation : quelles données sont concernées ?

C’est souvent le premier sujet à examiner.

Utiliser une IA ne signifie pas automatiquement traiter des données personnelles. En revanche, de nombreux usages peuvent conduire à transmettre des informations concernant des élèves, des enseignants ou des familles.

Ces données peuvent apparaître directement dans une requête, par exemple lorsqu’un enseignant demande à un outil de générer un retour sur le travail d’un élève.

Elles peuvent aussi apparaître indirectement : nom de l’établissement, niveau de classe, caractéristiques particulières, adresse électronique ou éléments relatifs à la situation personnelle de l’élève.

D’ailleurs, un ensemble d’informations peut permettre d’identifier une personne, même lorsque son nom n’apparaît pas explicitement.

La première règle est donc simple : ne pas transmettre à une IA une donnée personnelle sur le seul motif que l’outil permettrait de le faire.

Avant chaque usage, il faut se demander :

1. Quelle information l’IA reçoit-elle ?
2. Cette information est-elle réellement nécessaire ?
3. Peut-on utiliser une donnée anonymisée ou générique ?
4. Que fait le fournisseur avec les données ?
5. Combien de temps sont-elles conservées ?
6. Où sont-elles traitées ?
7. Qui peut y accéder ?

Cette logique de minimisation doit devenir un réflexe.

IA dans l’éducation et RGPD : quel rôle pour le DPO ?

Lorsqu’un système d’IA entraîne un traitement de données personnelles dans un établissement scolaire, la CNIL recommande d’associer systématiquement le délégué à la protection des données (DPO) à la démarche.

Le DPO n’a pas vocation à bloquer l’innovation. Son rôle consiste au contraire à aider l’établissement à identifier les risques et à construire un usage conforme au RGPD.

Il peut notamment contribuer à examiner :

• la finalité du traitement ;
• les données utilisées ;
• la base juridique ;
• les destinataires ;
• les durées de conservation ;
• les transferts de données ;
• les mesures de sécurité ;
• l’information des élèves et des parents ;
• la nécessité d’une analyse d’impact relative à la protection des données (AIPD).

Cette intervention doit avoir lieu avant le déploiement de l’outil.

Le bon réflexe n’est donc pas : « Nous avons choisi l’outil, maintenant demandons au DPO s’il est conforme. » Et il vaut mieux, en amont, se poser la question : « Quel besoin pédagogique voulons-nous résoudre, et quelles garanties devons-nous réunir, avant de choisir l’outil ? »

Comment choisir une IA dans l’éducation ?

Le choix de l’outil constitue une étape déterminante.

Tous les services d’IA ne proposent pas les mêmes garanties en matière de protection des données.

La CNIL recommande notamment d’examiner les conditions d’utilisation et la politique de confidentialité du service.

Vérifier la réutilisation des données

Un établissement doit notamment vérifier si le fournisseur réutilise les données transmises pour améliorer ses services ou entraîner ses systèmes.

Cette question devient particulièrement importante lorsque les utilisateurs saisissent des informations concernant des élèves.

Il faut également examiner la présence éventuelle de traceurs publicitaires.

Éviter les comptes individuels inutiles

Il faut privilégier les solutions qui permettent de fonctionner sans compte individuel.

Si un compte est nécessaire, privilégier, lorsque cela est possible, un compte « classe » plutôt qu’un compte individuel pour chaque élève.

Il faut ensuite vérifier les paramètres de confidentialité.

Par exemple :

• désactiver l’historique lorsque cela est pertinent ;
• désactiver la réutilisation des données pour l’amélioration du service ;
• désactiver les fonctionnalités inutiles ;
• limiter le traçage ;
• éviter la géolocalisation lorsqu’elle n’est pas nécessaire.

Un point mérite une attention particulière : un compte classe ne signifie pas automatiquement absence de données personnelles. Un élève peut toujours transmettre des informations permettant de l’identifier.

Vérifier les transferts de données

La localisation des données et les éventuels transferts hors de l’Union européenne ou de l’Espace économique européen doivent également faire partie de l’analyse.

La CNIL recommande une vigilance particulière sur ces transferts, et, compte tenu de la vulnérabilité des mineurs, préconise de privilégier, lorsque cela est possible, des solutions qui fonctionnent localement ou sur des infrastructures maîtrisées.

En cas de doute, le DPO doit être associé à l’analyse.

IA dans l’éducation : faut-il demander l’accord des parents ?

La réponse mérite d’être nuancée.

Selon la CNIL, l’utilisation d’un système d’IA dans un cadre pédagogique n’exige pas, en principe, le consentement des parents ou des élèves lorsque le traitement relève de la mission d’intérêt public de l’établissement.

Cela ne signifie pas pour autant que l’établissement peut utiliser n’importe quel outil sans informer les personnes concernées. Les élèves, et, le cas échéant, leurs parents, doivent recevoir une information sur les traitements de données qui les concernent.

Cette information doit notamment préciser :

• qui est responsable du traitement ;
• quelle est sa finalité ;
• quelle est sa base juridique ;
• qui reçoit les données ;
• quels transferts sont envisagés ;
• combien de temps les données sont conservées ;
• quels sont les droits des personnes.

Pour les mineurs, la CNIL insiste sur un point souvent oublié : l’information doit être compréhensible et adaptée à leur âge.

Une longue politique de confidentialité ne suffit donc pas à garantir une bonne compréhension.

IA dans l’éducation : pourquoi l’AIPD est-elle importante ?

L’analyse d’impact relative à la protection des données, ou AIPD, permet d’examiner les risques qu’un traitement peut faire peser sur les droits et libertés des personnes.

Selon la CNIL, l’utilisation, dans les établissements scolaires, d’un système d’IA concernant les données des élèves, rendrait en principe nécessaire une AIPD.

Cette position s’explique par plusieurs facteurs : les élèves sont mineurs, l’IA constitue un usage innovant et certains systèmes peuvent intervenir dans l’évaluation ou le suivi des personnes.

Une AIPD permettra de répondre à des questions très concrètes :

• Quelles données sont utilisées ?
• Pourquoi sont-elles nécessaires ?
• Qui peut y accéder ?
• Quels sont les risques ?
• Quelles mesures permettent de réduire ces risques ?
• Quelles fonctionnalités peut-on désactiver ?
• Comment limiter les données collectées ?

L’AIPD ne doit donc pas être considérée comme un simple document administratif. Elle peut devenir un véritable outil de conception du projet.

L’enseignant peut-il laisser l’IA évaluer les élèves ?

C’est probablement l’un des points les plus sensibles.

La CNIL indique clairement que l’enseignant ne doit pas déléguer son pouvoir d’évaluation et de décision à un système d’IA.

Une IA peut éventuellement assister l’enseignant. Mais elle ne doit pas décider seule d’une note, d’un travail supplémentaire ou d’une conséquence pédagogique sur la base de son seul résultat.

Pourquoi ?

Parce qu’une sortie d’IA peut être erronée ou insuffisamment contextualisée.

L’enseignant reste donc responsable de son appréciation pédagogique.

La même prudence s’impose pour les outils destinés à détecter les contenus générés par IA.

La CNIL indique que ces systèmes sont insuffisamment fiables pour identifier de manière fiable une production générée par une IA. Le ministère de l’Éducation nationale déconseille donc leur utilisation pour identifier une copie qui aurait été rédigée avec une IA générative.

Autrement dit : un résultat produit par une IA ne doit jamais devenir une vérité automatique sur un élève.

Former les enseignants et les élèves à l’IA

Une politique d’IA dans l’éducation ne peut pas reposer uniquement sur le choix d’un logiciel. Il faut aussi développer les compétences.

Les responsables de traitement, enseignants et élèves doivent y être formés.

Pour les enseignants, cela signifie comprendre au minimum :

• ce qu’est un système d’IA ;
• ce qu’est une IA générative ;
• comment formuler une requête ;
• quelles informations ne pas transmettre ;
• pourquoi une réponse peut être erronée ;
• comment vérifier une information ;
• quelles sont les limites de l’outil.

Les élèves doivent également apprendre à utiliser ces technologies avec un regard critique.

Une requête adressée à une IA n’est pas nécessairement une conversation privée avec une personne. C’est une saisie d’informations dans un système informatique.

Cette différence doit être comprise très tôt.

Une gouvernance de l’IA dans l’éducation plutôt qu’une simple charte

À mon sens, c’est ici que se situe le véritable enjeu.

Une charte d’utilisation de l’IA peut être utile. Mais elle ne suffit pas à elle seule. Une démarche solide doit articuler plusieurs dimensions :

• Pédagogie
  Quel problème cherche-t-on à résoudre ?

• Protection des données
  Quelles données sont nécessaires et comment les protéger ?

• Sécurité
  Qui peut accéder au système et aux informations ?

• Éthique
  Quels effets l’outil peut-il avoir sur les élèves ?

• Gouvernance
  Qui décide, qui contrôle et qui réévalue les usages ?

• Formation
  Les enseignants et les élèves comprennent-ils réellement l’outil ?

Cette approche permet d’éviter deux excès : refuser toute IA par principe, ou, à l’inverse, déployer des outils simplement parce qu’ils sont nouveaux.

IA dans l’éducation : les 7 réflexes à retenir

Avant d’utiliser un système d’IA avec des élèves, il est utile de se poser sept questions :

1. Quel est le besoin pédagogique précis ?
2. Quelles données allons-nous transmettre ?
3. Peut-on éviter les données personnelles ?
4. Que fait le fournisseur avec les données ?
5. Où les données sont-elles traitées ?
6. Les élèves et leurs parents sont-ils correctement informés ?
7. Le DPO a-t-il été associé à la démarche ?

Si ces questions restent sans réponse, il vaut mieux suspendre le déploiement et approfondir l’analyse.

Conclusion : l’IA doit rester au service de l’éducation

L’IA dans l’éducation n’est ni une solution miracle ni une menace à considérer uniquement sous l’angle du RGPD.

C’est un outil. Sa valeur dépend de la manière dont les établissements, les enseignants et les élèves l’utilisent.

La CNIL rappelle que l’intelligence artificielle peut contribuer à faire évoluer les pratiques pédagogiques. Elle rappelle aussi que ces usages nécessitent un encadrement particulier, notamment parce qu’ils concernent souvent des mineurs et peuvent traiter des données personnelles.

La bonne question n’est donc peut-être pas : « Faut-il utiliser l’IA à l’école ? »

Mais plutôt : « Dans quelles conditions l’IA peut-elle améliorer l’apprentissage tout en respectant les droits, la vie privée et la place de l’humain ? »

C’est cette question qui devrait guider chaque nouveau projet d’IA dans l’éducation.

Et, dans cette réflexion, le DPO ne doit pas intervenir à la fin du projet. Il doit être autour de la table dès le début.

Vous hésitez à utiliser l’IA dans votre établissement scolaire ? Vous souhaitez utiliser une IA souveraine, voire locale ? Contactez DMOuvrard ou prenez rendez-vous sur https://meet.brevo.com/mickael-ouvrard/diagnostic-flash pour échanger.

Découvrez également ici nos services et nos formations.

Sources

• CNIL — La CNIL publie deux FAQ sur l’utilisation des systèmes d’IA dans les établissements scolaires — présentation des bénéfices, risques et deux FAQ.
• CNIL — Enseignant : comment utiliser un système d’IA dans le cadre de vos missions ? — usages pédagogiques, responsabilité, choix des outils, comptes, formation, protection des données et évaluation des élèves.
• CNIL — Responsable de traitement : comment mettre en place des systèmes d’IA dans l’éducation ? — responsabilité du traitement, information, AIPD, choix des solutions, transferts, formation et articulation avec le règlement européen sur l’IA.