30 jours d'essai gratuit, risques IA générative :Commencer
Demander une démo
Modèle gratuit · RGPD et vie privée

Modèle d'AIPD pour l'IAÉvaluez les traitements d'IA avant leur mise en production

Les projets d'IA déclenchent l'article 35 du RGPD plus souvent que presque tout autre traitement : entraînement de modèles sur des données personnelles, décisions automatisées, surveillance systématique, RAG sur des bases de données personnelles. Ce modèle vous fournit une analyse d'impact relative à la protection des données (AIPD) complète et spécifique à l'IA : une checklist de qualification fondée sur les critères du CEPD, une description du traitement structurée autour de l'entraînement et de l'inférence, un registre des risques pré-rempli et les enregistrements de consultation et de validation qu'une autorité de contrôle attend.

Quand un projet d'IA nécessite une AIPD

Une AIPD est obligatoire lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les personnes. Trois cas prévus à l'article 35(3) du RGPD l'exigent toujours, et selon les lignes directrices du CEPD, une AIPD est requise dès que deux des neuf critères de risque sont remplis. Voici les schémas d'IA qui franchissent le plus souvent ce seuil.

Toujours obligatoire au titre de l'article 35(3)
A
Évaluation systématique et approfondie avec effets significatifs
Traitement automatisé, y compris le profilage, alimentant des décisions produisant des effets juridiques ou similaires : présélection de candidats par IA, scoring de crédit, éligibilité à des prestations.
B
Traitement à grande échelle de données sensibles
Entraîner ou exécuter une IA sur des données de santé, biométriques ou d'autres données de l'article 9 à grande échelle, comme des chatbots de triage clinique ou l'identification biométrique.
C
Surveillance systématique d'espaces accessibles au public
Analyse vidéo par IA à grande échelle, vidéosurveillance intelligente et analyse comportementale des espaces publics.
Schémas d'IA qui déclenchent généralement une AIPD
Entraînement de modèles sur des données personnelles
Construire ou affiner des modèles sur des données de personnes identifiables. La CNIL considère que la constitution d'une base d'apprentissage peut engendrer à elle seule un risque élevé.
Prise de décision automatisée
Des sorties de modèle qui déterminent ou influencent fortement des décisions d'embauche, de crédit, de tarification ou d'accès.
Surveillance systématique
Examen par IA des messages, écrans, appels ou signaux de productivité des salariés.
Inférence d'attributs sensibles
Des modèles capables de déduire l'état de santé, les opinions politiques ou l'orientation sexuelle à partir de données en apparence anodines.
RAG sur des bases de données personnelles
Génération augmentée par récupération indexée sur des messageries, des CRM, des dossiers RH ou des tickets de support.
Outils d'IA tiers et IA fantôme
Des collaborateurs soumettant des données personnelles à des services d'IA externes dont la conservation, la réutilisation et l'hébergement échappent à votre contrôle.

Règle pratique issue des lignes directrices du CEPD : deux critères ou plus parmi les neuf imposent une AIPD, et un seul peut suffire. L'ICO britannique considère l'IA comme une technologie innovante : l'IA associée à tout autre critère impose une DPIA selon sa liste. En cas de doute, réalisez l'AIPD.

Ce que couvre le modèle

Sept parties vous mènent de la qualification à la validation, avec des tableaux pré-structurés pour les traitements d'IA.

1
Checklist de qualification

Les cas de l'article 35(3), les neuf critères du CEPD avec leur lecture spécifique à l'IA, et une décision de qualification documentée.

2
Description du traitement

Finalité, base légale, catégories et sources de données, flux d'entraînement et d'inférence, fournisseur de modèle et lieux d'hébergement, conservation et sous-traitants ultérieurs.

3
Nécessité et proportionnalité

Dix questions étayées couvrant la minimisation, les alternatives à l'IA, la transparence, les droits des personnes et les garanties de l'article 22.

4
Évaluation des risques

Un registre pré-rempli de dix risques spécifiques à l'IA pour les personnes concernées, cotés en probabilité et en gravité : mémorisation, biais, inférences sensibles, surexposition par RAG, etc.

5
Atténuation et risque résiduel

Un tableau de mesures rattaché à chaque risque, avec responsables, statut et cotation du risque résiduel, plus le déclencheur de consultation de l'article 36.

6
Validation et revue

Enregistrement de la consultation du DPO, tableau de validation, checklist d'intégration des conclusions et calendrier de revue avec des déclencheurs propres à l'IA comme les changements de modèle.

AIPD ou évaluation d'impact de l'IA ?

Les deux évaluations se recoupent mais répondent à des questions différentes. La plupart des programmes de gouvernance de l'IA ont besoin des deux : l'évaluation d'impact de l'IA pour décider si et comment déployer de manière responsable, et l'AIPD pour satisfaire aux obligations du RGPD dès que des données personnelles sont en jeu.

Analyse d'impact relative à la protection des données (AIPD)

Ce modèle

  • Exigée par l'article 35 du RGPD lorsque le traitement est susceptible d'engendrer un risque élevé
  • Périmètre : les risques pour les personnes concernées liés au traitement de données personnelles
  • Pilotée par la fonction vie privée : DPO consulté, autorité de contrôle si le risque résiduel reste élevé
  • Livrable : une décision de conformité documentée que les régulateurs peuvent contrôler

Évaluation d'impact de l'IA (AIA)

Plus large, volontaire ou imposée par des politiques internes

  • Bonne pratique selon des référentiels comme le NIST AI RMF et ISO/IEC 42001, exigée par certaines politiques d'achat
  • Périmètre : tous les impacts d'un système d'IA, y compris équité, sécurité, sûreté et effets sociétaux, avec ou sans données personnelles
  • Pilotée par la gouvernance de l'IA : comité de revue transverse
  • Livrable : une décision de déploiement assortie de conditions, de surveillance et de responsabilités
Pour commencer

Identifiez chaque système d'IA qui nécessite une AIPD

On ne peut pas évaluer ce qu'on ne voit pas. Aona découvre chaque outil d'IA utilisé dans votre organisation, montre quelles données personnelles y transitent et vous fournit l'inventaire prêt pour l'audit dont vos AIPD dépendent.