L’analyse d’impact (AIPD) pour l’IA générative : quand et comment ?
En bref
Une analyse d’impact (AIPD) est obligatoire lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les personnes concernées. C’est souvent le cas avec l’IA générative : technologie nouvelle, beaucoup d’informations parfois sensibles en entrée, et des résultats qui peuvent être faux. L’AIPD décrit le traitement, vérifie nécessité et proportionnalité, évalue les risques et consigne les mesures. Le lieu d’exécution du modèle détermine une grande partie du résultat.
Quand une AIPD est-elle obligatoire ?
L’article 35 du RGPD impose une AIPD lorsqu’un traitement est « susceptible d’engendrer un risque élevé ». Les autorités européennes ont défini neuf critères ; dès que deux sont réunis, une AIPD est en principe nécessaire. Pour l’IA générative, les plus fréquents sont :
- Technologie nouvelle : l’IA générative est un usage innovant.
- Traitement à grande échelle : beaucoup d’utilisateurs, de documents, de personnes concernées.
- Données sensibles : santé, infractions, données financières.
- Surveillance systématique : lorsque l’usage des salariés est journalisé et analysé.
- Évaluation ou notation : lorsque l’IA sert à évaluer des personnes.
La CNIL publie en outre une liste des types d’opérations pour lesquels une AIPD est requise, qui comprend notamment la surveillance systématique de l’activité des salariés.
Les étapes d’une AIPD pour une application d’IA
- Décrire le traitement. Quelle application d’IA, pour quelle finalité, quelles données, quels utilisateurs, où tourne le modèle, quels acteurs interviennent et combien de temps conserve-t-on quoi (prompts, résultats, journaux) ?
- Vérifier nécessité et proportionnalité. Peut-on atteindre la finalité avec moins de données ? Peut-on retirer les noms ? Existe-t-il une base légale ?
- Évaluer les risques pour les personnes concernées, pas pour l’organisation. Voir les risques propres à l’IA ci-dessous.
- Consigner les mesures qui réduisent les risques, avec un responsable par mesure.
- Recueillir l’avis du DPO et le documenter.
- Décider et réviser. Si un risque élevé subsiste après les mesures, vous devez consulter la CNIL au préalable (article 36 du RGPD). Révisez l’AIPD à chaque changement significatif : nouveau modèle, nouvelle source de données.
Les risques propres à l’IA générative
| Risque | Mesure possible |
|---|---|
| Les données servent à entraîner des modèles | L’exclure contractuellement, ou utiliser un modèle qui tourne sur votre infrastructure et ne s’entraîne pas sur vos saisies |
| Transfert hors de l’UE | Traitement dans l’UE ; de préférence aucun tiers dans le traitement |
| Résultats inexacts sur des personnes | Contrôle humain avant toute décision fondée sur un résultat |
| Trop de données dans les prompts | Garde-fous bloquant les identifiants ; consignes par service |
| Accès non autorisé via l’IA | Droits par rôle ; l’IA ne voit que les sources accessibles à l’utilisateur |
| Les journaux, nouvelle collecte de données personnelles | Conservation courte, accès limité, règles écrites |
Comment le choix d’hébergement façonne l’AIPD
Une grande part des risques d’une AIPD sur l’IA porte sur le tiers : que fait le fournisseur des données, où sont-elles, qui y accède, quel droit s’applique ? Avec un service d’IA d’un fournisseur américain, il faut notamment évaluer le transfert et le CLOUD Act. Voir Le CLOUD Act et vos données européennes.
Si le modèle tourne sur votre propre nœud, dans votre salle serveur, ces questions tombent en grande partie : pas de sous-traitant du contenu, pas de transfert, pas d’entraînement sur vos données. L’AIPD se concentre alors sur ce que vous maîtrisez : accès, garde-fous, durées de conservation et contrôle humain. Avec werqly, vous les paramétrez dans werqly AI Control, avec un journal d’audit comme preuve. Voir aussi ChatGPT est-il conforme au RGPD ?
Questions fréquentes
Questions sur ce sujet
Une AIPD est-elle obligatoire pour ChatGPT ?
Souvent, oui, lorsque des salariés y traitent des données personnelles. L’IA générative est une technologie nouvelle et, combinée par exemple à un usage à grande échelle ou à des données sensibles, elle réunit vite deux critères ou plus qui rendent l’AIPD obligatoire.
Qui réalise l’AIPD ?
L’organisation qui déploie l’IA, en tant que responsable du traitement. En pratique, le responsable du processus la mène avec des spécialistes de la protection des données et de la sécurité. Le DPO donne son avis mais ne réalise pas l’AIPD lui-même.
Quelle différence entre AIPD et analyse d’impact sur les droits fondamentaux ?
L’AIPD porte sur les risques pour la protection des données personnelles. L’analyse d’impact sur les droits fondamentaux est exigée par le règlement sur l’IA pour certains déployeurs d’IA à haut risque, comme les organismes publics. Les deux peuvent être menées ensemble.
Faut-il refaire l’AIPD si l’on change de modèle d’IA ?
Si le changement modifie les risques, oui : autre modèle chez un autre fournisseur, nouvelle source de données, autre finalité. Une nouvelle version du même modèle sur la même infrastructure interne ne demande généralement qu’une vérification rapide.
Sources
- CNIL — L’analyse d’impact relative à la protection des données (AIPD)
- Groupe de l’article 29 / CEPD — Lignes directrices sur l’AIPD (WP248 rév.01)
- RGPD (règlement (UE) 2016/679), articles 35 et 36
Cet article est une information générale, pas un conseil juridique. Les règles et les recommandations évoluent ; en cas de doute, consultez les sources citées ou votre juriste ou DPO.