Liste de contrôle d'audit IA de l'EDPB

Vue d'ensemble

Le Comité européen de la protection des données (EDPB) coordonne l'application du RGPD au sein de l'UE et publie des lignes directrices pour les autorités de contrôle de la protection des données. Dans le domaine de l'intelligence artificielle, les audits structurés prennent une importance croissante.

Les organisations ne devraient donc pas attendre une demande de l'autorité de contrôle pour s'intéresser aux questions d'audit. Une liste de contrôle interne d'audit IA aide à identifier les faiblesses réglementaires de manière précoce.

Cet article fournit une auto-évaluation systématique selon les domaines d'audit clés :

• Base juridique
• Limitation des finalités et minimisation des données
• Transparence
• Droits des personnes concernées
• Sécurité
• Responsabilité

Base juridique

Questions d'audit :

1. Une base juridique spécifique est-elle définie pour chaque traitement lié à l'IA ?
2. La base juridique est-elle documentée ?
3. En cas de données sensibles, une exception au titre de l'art. 9 RGPD s'applique-t-elle ?
4. Une mise en balance des intérêts a-t-elle été effectuée et documentée pour l'art. 6(1)(f) ?

Limitation des finalités et minimisation des données

Questions d'audit :

1. La finalité d'entraînement et d'utilisation est-elle clairement documentée ?
2. Seules les données nécessaires ont-elles été collectées ?
3. Un changement de finalité a-t-il été évalué et documenté ?
4. Les durées de conservation sont-elles définies ?

Examen spécifique à l'IA :

• Les données sont-elles réutilisées pour l'amélioration du modèle ?
• Cette finalité a-t-elle été communiquée de manière transparente ?

Transparence et obligations d'information

Questions d'audit :

1. L'avis de confidentialité inclut-il des informations spécifiques à l'IA ?
2. La logique des décisions automatisées est-elle expliquée de manière compréhensible ?
3. Les transferts vers des pays tiers sont-ils divulgués ?
4. Les durées de conservation et les destinataires sont-ils clairement identifiés ?

Décisions automatisées (art. 22 RGPD)

Questions d'audit :

1. Une décision individuelle automatisée est-elle prise ?
2. La décision produit-elle des effets juridiques ou des effets significatifs similaires ?
3. Existe-t-il une possibilité de contrôle humain ?
4. Une AIPD a-t-elle été réalisée ?

Cas d'utilisation typiques :

• Scoring de crédit
• IA de recrutement
• Évaluation des performances

Analyse d'impact relative à la protection des données (AIPD)

Questions d'audit :

1. Un examen préliminaire d'AIPD a-t-il été effectué ?
2. Une AIPD a-t-elle été réalisée en cas de risque élevé ?
3. L'analyse des risques est-elle documentée ?
4. Des mesures de protection ont-elles été mises en place ?

Sécurité et mesures techniques

Questions d'audit :

1. Des restrictions d'accès sont-elles mises en place ?
2. Les données d'entraînement sont-elles stockées de manière chiffrée ?
3. Les accès API sont-ils sécurisés ?
4. Des processus de journalisation et de surveillance sont-ils en place ?
5. Les sous-traitants sont-ils contractuellement encadrés ?

Transferts vers des pays tiers

Questions d'audit :

1. Les données sont-elles traitées en dehors de l'UE ?
2. Une certification DPF existe-t-elle ?
3. Des CCT ont-elles été conclues ?
4. Une évaluation d'impact du transfert a-t-elle été réalisée ?

Droits des personnes concernées

Questions d'audit :

1. Les demandes d'accès peuvent-elles être traitées efficacement ?
2. L'effacement est-il techniquement possible ?
3. Les données peuvent-elles être retirées des jeux de données d'entraînement ?
4. Des processus de traitement des oppositions sont-ils en place ?

Défi spécifique à l'IA :

• Possibilité de supprimer des traces de données individuelles des modèles

Responsabilité et documentation

Questions d'audit :

1. Le registre des activités de traitement est-il à jour ?
2. Les systèmes d'IA y sont-ils explicitement répertoriés ?
3. Les formations sont-elles documentées ?
4. Une personne responsable a-t-elle été désignée ?

Interface avec la Loi sur l'IA de l'UE

Bien que cette liste de contrôle soit principalement axée sur le RGPD, les questions suivantes devraient également être abordées :

1. Une classification des risques au titre de la Loi sur l'IA a-t-elle été effectuée ?
2. Une classification à haut risque a-t-elle été identifiée ?
3. Une documentation technique est-elle disponible ?
4. Une évaluation de l'impact sur les droits fondamentaux a-t-elle été examinée ?

Tableau d'auto-audit compact

Risques d'audit typiques dans les systèmes d'IA

Recommandation de gouvernance

Une liste de contrôle d'audit IA interne devrait :

• Être réalisée au moins annuellement
• Être mise à jour lors de modifications du système
• Être coordonnée de manière interdisciplinaire

Une auto-évaluation précoce réduit considérablement le risque de plaintes formelles.

Prochaines étapes

1. Réalisez une auto-évaluation interne de votre IA.
2. Documentez les lacunes identifiées.
3. Priorisez les domaines à risque.
4. Mettez en place les mesures de protection manquantes.
5. Préparez-vous de manière structurée à d'éventuelles demandes des autorités de contrôle.