Conformité RGPD et intelligence artificielle : comment encadrer vos projets IA ?

Le RGPD s'applique dès qu'un outil d'IA traite des données personnelles : le nom d'un client saisi dans une requête, des CV analysés par un outil de recrutement, des échanges enregistrés par un agent conversationnel. L'IA Act s'applique, lui, selon le rôle de l'entreprise et le niveau de risque du système. Le second ne remplace pas le premier : l'IA Act précise qu'il n'a pas d'incidence sur le RGPD (article 2).

Il n'est pas nécessaire de développer une IA pour être concerné. Une entreprise qui utilise un outil du marché reste responsable des données personnelles qu'elle y fait entrer.

Les niveaux de risque, le calendrier et les sanctions du règlement sur l'IA sont détaillés sur notre page IA Act.

Le RGPD ne contient pas de règle propre à l'IA : ce sont ses obligations habituelles qui s'appliquent. Six reviennent pour chaque outil.

• Une base légale. Chaque usage qui traite des données personnelles doit reposer sur l'une des six bases prévues : le consentement, le contrat, l'obligation légale, la sauvegarde des intérêts vitaux, la mission d'intérêt public ou l'intérêt légitime (article 6).
• Une information des personnes. Les clients, les candidats ou les salariés dont les données passent par l'outil doivent en être informés (article 13).
• Un contrat avec le fournisseur. Lorsque le fournisseur de l'outil traite les données pour votre compte, il est votre sous-traitant : un contrat, souvent appelé DPA, doit fixer ses obligations (article 28).
• Un encadrement des transferts. Si les données sortent de l'Union européenne, le transfert doit reposer sur une décision d'adéquation ou sur des garanties appropriées, comme les clauses contractuelles types (article 44 et article 46).
• Un contrôle des décisions automatisées. Une personne a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, si cette décision produit des effets juridiques à son égard ou l'affecte de manière significative. Le règlement prévoit des exceptions (article 22).
• Une analyse d'impact, dans certains cas. Elle est obligatoire lorsque le traitement est susceptible d'engendrer un risque élevé pour les personnes (article 35). Si le système est à haut risque au sens de l'IA Act, certains déployeurs doivent aussi mener une analyse d'impact sur les droits fondamentaux, qui peut renvoyer à la première (article 27 de l'IA Act).

Notre guide IA et RGPD : cadrer un projet d'IA étape par étape reprend ces points dans l'ordre d'un projet, et notre guide sur l'analyse d'impact (AIPD) explique quand elle s'impose. Pour les entreprises qui développent leur propre système, la CNIL a publié des fiches pratiques sur l'application du RGPD au développement des systèmes d'IA.

Chez les entreprises qui utilisent l'IA sans cadre, six manques reviennent :

• aucun registre des systèmes d'IA
• aucun contrat de sous-traitance (DPA) signé avec les fournisseurs des outils retenus
• des transferts de données hors de l'Union européenne qui ne sont pas encadrés
• des outils utilisés par les collaborateurs, que l'entreprise ne connaît pas
• pas de charte IA réellement adaptée à l'entreprise
• aucune information donnée aux clients

Le recensement des outils réserve souvent une surprise à la direction : elle découvre des outils d'IA dont elle ignorait l'usage dans l'entreprise. Cet usage non déclaré porte un nom, le shadow AI. Nous lui avons consacré une vidéo :

Les questions que les dirigeants et les salariés posent à leur juriste vont dans le même sens : peut-on utiliser cette IA ? Peut-on y saisir telle donnée ? Où vont les données avec l'outil que nous utilisons ? Sommes-nous conformes avec cette solution ? Notre article ChatGPT et RGPD : les règles pour vos salariés y répond pour ChatGPT.

Chez RGPD Start, la même juriste traite les deux règlements. Son travail commence par un audit du système et de l'infrastructure d'IA, se poursuit par la classification des systèmes, un plan d'action et la cartographie des outils et des flux d'IA, et se termine par la mise à jour du dossier RGPD. Avant cette mise à jour, elle rédige les documents qui répondent aux manques listés plus haut : ceux qui encadrent l'usage par les collaborateurs, et ceux qui informent les clients.

Le recensement des outils sert aux deux textes. La plateforme RGPD Start comprend un registre des systèmes d'IA, en plus du registre des traitements. Notre guide sur le registre des systèmes d'IA en propose un modèle de colonnes, et celui sur la politique d'utilisation de l'IA aide à rédiger la charte.

L'audit RGPD gratuit couvre l'IA Act : il montre quels outils sont utilisés et quelles obligations s'y rattachent. Il ouvre une démarche de conformité RGPD plus large, et fait partie de la solution RGPD de RGPD Start. La conformité IA Act figure dans l'offre Pro, à 399 € HT par mois pour une entreprise de 15 à 49 salariés : le détail est sur la page tarifs.

• L'IA Act ne remplace pas le RGPD : un système d'IA qui traite des données personnelles relève des deux règlements.
• Une entreprise qui utilise un outil d'IA du marché reste responsable des données personnelles qu'elle y saisit.
• Le RGPD demande, pour un outil d'IA comme pour tout traitement, une base légale, une information des personnes, un contrat avec le sous-traitant et un encadrement des transferts hors de l'Union européenne.
• L'analyse d'impact du RGPD est obligatoire quand le traitement est susceptible d'engendrer un risque élevé ; l'IA Act y ajoute, pour certains déployeurs de systèmes à haut risque, une analyse d'impact sur les droits fondamentaux.
• Les manques les plus fréquents relevés par les juristes de RGPD Start : aucun registre des systèmes d'IA, aucun contrat signé avec les fournisseurs d'outils, des transferts hors de l'Union européenne non encadrés.