Vue d'ensemble

Ce modèle sert d'aide de travail structurée pour la réalisation d'une analyse d'impact relative à la protection des données (AIPD) conformément à l'art. 35 RGPD pour les systèmes d'IA.

Il repose sur les exigences minimales légales et les étend avec des aspects spécifiques à l'IA tels que :

• Les données d'entraînement
• L'architecture du modèle
• Les risques de biais et de discrimination
• La supervision humaine
• La surveillance post-commercialisation

Analyse d'impact relative à la protection des données (AIPD)

1. Description systématique du traitement

1.1 Nom du projet

• Nom du système d'IA :
• Version :
• Organisation responsable :
• Personne de contact :

1.2 Finalité du traitement

• À quelle finalité concrète le système d'IA sert-il ?
• Influence-t-il des décisions concernant des personnes ?
• Y a-t-il une pertinence au titre de l'art. 22 ?

1.3 Description du système

• Type de système (par exemple scoring, classification, IA générative)
• Contexte de déploiement (par exemple RH, finance, santé)
• Degré d'automatisation (soutien / décision)

1.4 Catégories de données

• Données à caractère personnel :
• Catégories particulières (art. 9 RGPD) ?
• Inférences sensibles possibles ?
• Sources de données (directes, source tierce, web scraping) ?

1.5 Groupes de personnes concernées

• Candidats
• Clients
• Patients
• Employés
• Autres

1.6 Flux de données

• Collecte
• Stockage
• Entraînement
• Inférence
• Transfert vers un pays tiers (oui/non)
• Sous-traitants impliqués ?

2. Évaluation de la nécessité et de la proportionnalité

2.1 Base juridique

• Art. 6 RGPD :
• Exception art. 9 (le cas échéant) :

Justification :

2.2 Limitation des finalités

• La finalité de l'entraînement est-elle clairement définie ?
• Y a-t-il un changement de finalité ?

2.3 Minimisation des données

• Quelles mesures de minimisation ont été prises ?
• Les données peuvent-elles être réduites ou anonymisées ?

2.4 Limitation de la conservation

• La durée de conservation est-elle définie ?
• Un concept de suppression est-il en place ?

3. Évaluation des risques

3.1 Risques identifiés

3.2 Risques spécifiques à l'IA

• Discrimination par proxy
• Biais des données d'entraînement
• Dérive du modèle
• Classification erronée
• Surconfiance dans les résultats de l'IA
• Manipulation (empoisonnement de données, injection de prompt)

3.3 Évaluation des impacts

• Impacts économiques
• Atteinte à la réputation
• Atteintes aux droits fondamentaux
• Impacts psychologiques

4. Mesures de minimisation des risques

4.1 Mesures techniques

• Pseudonymisation
• Chiffrement
• Restrictions d'accès
• Journalisation
• Tests de biais
• Détection de dérive

4.2 Mesures organisationnelles

• Formations
• Supervision humaine
• Principe des quatre yeux
• Processus de réponse aux incidents
• Définition des rôles et responsabilités

4.3 Mesures de transparence

• Avis de confidentialité mis à jour
• Explication de la logique fournie
• Information sur les décisions automatisées

4.4 Mesures relatives aux transferts vers des pays tiers

• CCT conclues
• Certification DPF examinée
• Évaluation d'impact du transfert réalisée

5. Évaluation du risque résiduel

• Un risque élevé subsiste-t-il malgré les mesures ?
• Si oui : La consultation de l'autorité de contrôle est-elle requise ? (art. 36 RGPD)

6. Lien avec la Loi sur l'IA de l'UE (optionnel)

• Classification à haut risque examinée ?
• Système de gestion des risques en place ?
• Documentation technique disponible ?
• Évaluation de conformité requise ?

7. Approbation et documentation

• Date de création :
• Personne responsable :
• Délégué à la protection des données consulté ?
• Dernière mise à jour :

Prochaines étapes

1. Utilisez ce modèle comme base pour votre projet d'IA spécifique.
2. Remplissez tous les champs de manière complète et traçable.
3. Impliquez les départements de protection des données et les services métier dès le début.
4. Examinez en parallèle la classification des risques de la Loi sur l'IA.
5. Faites examiner votre AIPD par des experts qualifiés si nécessaire.