Dans cet article
- pourquoi le RGPD s’applique aux usages de l’IA
- les rôles de responsable de traitement et de sous-traitant
- les obligations concrètes, sans jargon
Le RGPD ne fait pas d’exception pour l’IA
Le RGPD s’applique dès qu’on traite des données personnelles, quel que soit l’outil. Quand une IA lit des mails de clients, rédige une relance nominative ou trie des candidatures, il y a traitement de données personnelles. Les règles habituelles s’appliquent donc.
Qui est responsable de quoi ?
Le responsable de traitement
C’est celui qui décide pourquoi et comment les données sont traitées. Pour les données de vos clients, c’est en principe votre entreprise. Vous en répondez, même si vous confiez une partie du travail à un prestataire.
Le sous-traitant
C’est celui qui traite les données pour votre compte et sur vos instructions : un hébergeur, un éditeur de logiciel, un prestataire informatique. Le RGPD (article 28) impose un contrat qui fixe ses obligations : confidentialité, sécurité, sort des données à la fin de la prestation, aide pour répondre aux demandes des personnes.
Les obligations concrètes
- Une base légale pour chaque usage : exécution d’un contrat, obligation légale, intérêt légitime ou consentement, selon les cas.
- Un registre des traitements qui liste ce que vous faites des données. La CNIL propose un modèle simplifié pour les petites structures.
- L’information des personnes : vos clients et salariés doivent savoir ce que vous faites de leurs données.
- La sécurité : des mesures adaptées au risque, comme des accès limités ou des connexions chiffrées.
- La notification des violations : en cas de fuite présentant un risque pour les personnes, la CNIL doit être prévenue dans les 72 heures après en avoir pris connaissance.
Le cas des décisions automatisées
Le RGPD (article 22) encadre strictement les décisions produisant des effets juridiques ou significatifs sur une personne et prises uniquement par une machine, sans intervention humaine : refuser un crédit, écarter un candidat. Garder une personne dans la boucle n’est donc pas seulement une bonne pratique, c’est souvent une exigence.
Les droits des personnes
Accès, rectification, effacement, limitation, portabilité, opposition : ces droits restent entiers quand une IA intervient. Vous devez pouvoir retrouver les données d’une personne et y donner suite, en principe dans un délai d’un mois. Une installation où l’on sait précisément où sont les données facilite beaucoup cette tâche.
Chez OpterIA
Notre démarche est pensée pour le RGPD, dès la conception de chaque installation. Nos réponses détaillées sont dans la partie notre politique des données, et vos droits dans vos droits et comment les exercer.