Assistants conversationnels, agents intégrés aux suites bureautiques, prospection, outils de transcription des réunions, solutions de tri de candidatures ou de scoring client : les usages se multiplient dans toutes les strates de l’organisme.
Ce déploiement est pourtant souvent chaotique avec des salariés qui recourent à des outils grand public sans validation préalable (« shadow AI »), des éditeurs qui activent par défaut des fonctionnalités d’IA dans des logiciels déjà en place, et des directions métiers qui adoptent des solutions avant toute analyse juridique.
Or ces outils traitent des données personnelles de salariés, de clients, d’usagers ou de prospects avec un impact souvent important sur la vie privée de ces personnes concernées.
L’analyse d’impact relative à la protection des données (« AIPD ») constitue, dans ce contexte, le premier outil de maîtrise de ces risques, et une obligation que responsables de traitement comme sous-traitants auraient tort de négliger.
Qu’est-ce qu’une analyse d’impact relative à la protection des données ?
L’AIPD est une démarche documentée qui permet d’identifier, d’évaluer et de traiter les risques qu’un traitement fait peser sur les droits et libertés des personnes concernées lorsque ce dernier est susceptible d’engendrer un risque élevé pour ces droits et libertés[1].
Elle comporte au minimum :
- une description systématique des opérations de traitement et de leurs finalités ;
- une évaluation de leur nécessité et de leur proportionnalité ;
- une évaluation des risques et les mesures envisagées pour y faire face ;
- les mesures envisagées pour faire face aux risques.
Il convient aussi de rappeler que le responsable de traitement n’est pas seul et peut recueillir l’avis du délégué à la protection des données lorsqu’il en a désigné un être assisté par son sous-traitant si ce dernier est lié au traitement analysé.
Le défaut de réalisation d’une AIPD obligatoire expose à une amende administrative pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu[2].
Quand réaliser une AIPD ?
Pour déterminer si une AIPD est obligatoire, le raisonnement s’opère en trois temps.
| Etapes | Description |
| 1 | Il convient d’abord de vérifier si le traitement figure sur la liste des types d’opérations pour lesquelles la CNIL exige systématiquement une AIPD. |
| 2 | Il faut ensuite s’assurer que le traitement ne relève pas de la liste des types d’opérations pour lesquelles la CNIL considère qu’une AIPD n’est pas requise. |
| 3 | Enfin, en dehors de ces deux listes, l’analyse repose sur les neuf critères dégagés par le G29[3], repris par le CEPD et la CNIL, qui précisent la notion de risque élevé : · évaluation ou notation, y compris le profilage ; · décision automatisée avec effet légal ou similaire ; · surveillance systématique ; · données sensibles ou à caractère hautement personnel ; · données traitées à grande échelle ; · croisement ou combinaison d’ensembles de données ; · personnes vulnérables ; · usage innovant ou application de nouvelles solutions technologiques ou organisationnelles ; · traitement empêchant les personnes d’exercer un droit ou de bénéficier d’un service ou d’un contrat.
Dès lors qu’au moins deux critères sont réunis, l’AIPD est en principe obligatoire.
|
Recourir à l’IA : un premier critère rempli d’office et un second souvent associé
L’utilisation d’un système d’IA dans un contexte professionnel satisfait, en pratique, l’un des deux critères requis : celui de l’usage innovant ou de l’application de nouvelles solutions technologiques.
Dès lors que ce premier critère est acquis, un seul critère supplémentaire suffit à rendre l’AIPD obligatoire et la difficulté tient à ce que le déploiement d’un outil d’IA s’accompagne presque toujours d’au moins un autre critère, que l’outil soit tourné vers l’extérieur ou vers l’intérieur de l’organisme.
| Cible | Description | Critères impactés habituellement |
| En externe | à l’égard des clients, prospects ou usagers, le croisement de données apparaît dès qu’un outil enrichit les profils à partir de sources multiples.
| · Croisement de données ; · Traitement de données à grande échelle ; · Exclusion au bénéfice d’un droit ou d’un contrat ; · Evaluation/scoring. |
| En interne | les salariés/agents sont souvent la cible directe ou indirectes des dispositifs déployés en interne par l’organisme.
| · Personnes vulnérables ; · Données sensibles ou hautement personnelles ; · Surveillance systématique ; · Evaluation/scoring. |
Une vigilance nécessaire en amont… ou en urgence
L’AIPD doit être réalisée par principe avant le traitement et doit donc, idéalement, intervenir dès le choix de l’outil IA, lorsque le contrat avec le fournisseur et le paramétrage peuvent encore être ajustés.
En ce sens, pour le responsable de traitement, cela suppose d’intégrer l’AIPD aux processus d’achat, en lien avec le DPO, et d’examiner les engagements du fournisseur, notamment sur la réutilisation des données. Le sous-traitant doit quant à lui fournir les informations nécessaires à l’AIPD[4] .
Attention toutefois, si le prestataire d’IA réutilise les données pour entraîner ses propres modèles, il s’expose à être considéré comme responsable de traitement pour cette finalité.
Lorsque l’outil est déjà déployé sans analyse préalable, l’AIPD doit être réalisée en urgence augmentant ainsi le risque et le coût lié à cette remédiation.
Le préalable à toute démarche est donc une cartographie des risques liée aux traitements notamment ceux intégrant les usages de l’IA[5]. Elle seule permet d’appliquer à chaque traitement la grille d’analyse décrite ci-dessus et de déterminer si une AIPD est requise. La décision de ne pas en réaliser doit elle-même être documentée.
À défaut, l’organisme accepte de fait le risque de sanction. Faute d’avoir identifié ses traitements, elle s’expose aux sanctions prévues.
Le cabinet HAAS Avocats est spécialisé depuis trente ans en droit des nouvelles technologies et de la propriété intellectuelle. Il accompagne les acteurs du numérique face à leurs problématiques diverses en la matière, aussi bien en précontentieux qu’en contentieux. Dans un monde incertain, choisissez de vous faire accompagner par un cabinet d’avocats fiables. Pour nous contacter, cliquez ici.
[1] Article 35 du RGPD
[2] Article 83 du RGPD
[3] lignes directrices WP 248 rév.01
[4] Article 28 du RGPD
[5] Y compris les outils adoptés sans validation et les fonctionnalités activées par défaut dans les logiciels existants.