RGPD et IA : automatiser sans perdre le contrôle

L’intelligence artificielle peut aider à préparer un registre, structurer une fiche de traitement ou repérer des clauses dans un contrat. Elle ne connaît cependant pas toutes les pratiques de votre entreprise et peut produire une réponse juridiquement plausible mais inexacte. Pour le DPO ou le pilote conformité, l’enjeu est de définir ce que l’outil prépare et ce qu’une personne doit vérifier.

Une démonstration historique de l’assistance par IA

La vidéo publiée avec cet article en mai 2024 présente une démonstration de Legiscope. Elle illustre des possibilités d’assistance à la documentation ; les interfaces et fonctions montrées peuvent avoir évolué. Elle ne constitue pas une mesure générale du temps nécessaire pour rendre une organisation conforme.

Le logiciel présenté est Legiscope. Les principes de vérification décrits ci-dessous valent également lorsque la préparation des documents repose sur un autre outil.

Préparer un registre à partir de faits vérifiés

Un assistant peut proposer une structure à partir d’une description de l’activité, puis aider à repérer les informations manquantes. Il faut ensuite confronter cette proposition aux pratiques réelles : formulaires, outils utilisés, destinataires, transferts, durées et sécurité. Le registre doit contenir les éléments requis par l’article 30, sous réserve des règles applicables au rôle de l’organisme. RGPD, art. 30(1), (2) et (5).

Le simple nom d’un logiciel ne permet pas de connaître sa configuration dans l’entreprise. Un outil de recrutement peut, par exemple, être utilisé pour une seule candidature ou pour un vivier distinct. Une fiche générée sans ce contexte risque de décrire le fonctionnement supposé du produit plutôt que votre traitement.

Utilisez notre exemple de registre rempli comme point de comparaison. Conservez une liste des faits confirmés, des réponses encore attendues et de la personne ayant validé la fiche.

Rédiger les fiches sans inventer leurs garanties

L’IA peut reformuler une finalité, harmoniser des catégories de données ou transformer des notes en brouillon. Elle ne doit pas choisir au hasard une base légale, annoncer un chiffrement inexistant ou attribuer une durée standard à tous les dossiers. Ces décisions doivent correspondre au traitement et aux exigences applicables. RGPD, art. 5(1), 6(1).

Une consigne utile est de demander à l’assistant de distinguer les éléments fournis des hypothèses et de signaler les informations absentes. Cela facilite la relecture, sans garantir que toutes les erreurs seront repérées.

Le document final doit refléter une décision assumée par l’organisation. La responsabilité de démontrer la conformité ne se transfère pas au générateur de texte. RGPD, art. 5(2).

Analyser un contrat de sous-traitance avec des preuves

Un assistant peut extraire les clauses relatives aux instructions, à la confidentialité, aux incidents, aux prestataires ultérieurs ou à la suppression. Demandez-lui d’indiquer le passage et la version du document sur lesquels repose chaque conclusion. Ouvrez ensuite la clause : une citation générée n’est pas une preuve de son existence.

L’analyse doit porter sur l’ensemble contractuel applicable, y compris les annexes incorporées. L’absence d’une clause dans les seules conditions générales ne prouve pas qu’elle manque au contrat ; inversement, une promesse commerciale ne remplace pas les engagements exigés. Les garanties suffisantes et le contenu obligatoire restent régis par l’article 28 du RGPD. RGPD, art. 28(1) et (3).

Conservez pour chaque point le texte vérifié, l’écart éventuel et l’action attendue. Notre questionnaire sous-traitant aide à demander les pièces manquantes. Le résultat recherché est une décision d’achat ou de correction justifiée, et pas seulement une note automatique.

Protéger les informations transmises à l’assistant

Un registre décrit généralement des catégories : il n’est pas nécessaire d’y joindre les dossiers individuels qui les composent. Avant toute transmission, retirez les noms, coordonnées, détails de santé et secrets inutiles. La minimisation s’applique aussi aux prompts et pièces jointes. RGPD, art. 5(1)(c).

Vérifiez le service exact, le compte utilisé, les conditions contractuelles, les accès, la réutilisation des données, les historiques et les journaux. La CNIL recommande de partir de l’usage, d’encadrer les données admises et de vérifier les résultats. Un service distant demande notamment d’examiner les responsabilités, les garanties contractuelles et les transferts concernés. CNIL, questions-réponses sur l’IA générative, points 4 à 7.

Formalisez ces choix dans une charte d’utilisation de l’IA. Une consigne claire peut prévoir l’usage de documents fictifs pour les essais, les sources autorisées et une validation avant tout envoi à un client ou fournisseur.

Garder une chaîne de validation courte et réelle

Pour une fiche préparée par IA, le responsable métier confirme les faits, l’informatique les mesures techniques et le pilote conformité le raisonnement juridique. La répartition peut être adaptée à la taille de l’entreprise ; elle doit permettre d’identifier qui corrige une information douteuse.

Conservez la version validée et ses sources utiles. Il n’est pas nécessaire d’accumuler indéfiniment tous les prompts contenant des données personnelles pour prouver une relecture. Déterminez ce qui constitue une preuve pertinente et sa durée de conservation. RGPD, art. 5(1)(e) et (2).

Un nouveau fournisseur, une fonction activée ou une modification de finalité peut rendre la fiche inexacte. Organisez la revue du registre lors des changements plutôt que de considérer la génération initiale comme la fin du travail. RGPD, art. 24(1).

Les obligations éventuelles du règlement sur l’IA doivent être évaluées séparément selon le système et le rôle de l’organisation. L’assistance à la rédaction d’un registre ne suffit pas, à elle seule, à qualifier un système d’IA à haut risque.

Ce qu’il faut retenir

• L’IA prépare des documents ; l’organisation confirme les faits et les choix juridiques.
• Toute conclusion contractuelle doit renvoyer à une clause réellement vérifiée.
• Les données transmises doivent rester nécessaires et couvertes par un cadre adapté.
• Une validation tracée et une revue des changements rendent l’assistance utile dans la durée.

FAQ

Un registre généré suffit-il pour être conforme ?

Non. Il faut vérifier qu’il correspond aux traitements réels, puis appliquer les mesures nécessaires. Un registre exact ne remplace pas les contrats, l’information, les droits ou la sécurité.

Peut-on demander à une IA de vérifier une base légale ?

Elle peut préparer des questions et une analyse. La décision exige de contrôler les faits, les conditions du fondement envisagé et les sources juridiques actuelles.

Comment mesurer le gain de temps ?

Comparez des tâches équivalentes en incluant la collecte d’informations, la relecture et les corrections. Le temps de génération seul ne mesure pas le temps nécessaire à un résultat utilisable.

Recevez nos analyses pratiques de conformité dans la newsletter.

À propos de l’auteur. Thiébaut Devergranne est docteur en droit privé, titulaire du CAPA et fondateur de Legiscope. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.