AIPD et intelligence artificielle : méthode pratique

Une entreprise veut utiliser une IA pour présélectionner des candidatures. Avant de charger les CV, elle doit examiner les conséquences possibles pour les candidats : exclusion injustifiée, divulgation, erreurs et difficulté à contester. L’AIPD sert à conduire cette analyse et à décider quelles garanties rendent le traitement acceptable.

L’IA ne déclenche pas automatiquement une AIPD. Le critère est le risque élevé pour les droits et libertés, apprécié selon la nature, la portée, le contexte et les finalités du traitement. Lorsque l’AIPD est obligatoire, elle doit précéder le traitement, y compris sa phase de développement concernée. RGPD, Art. 35(1).

Quand une AIPD est-elle obligatoire ?

L’article 35(3) vise notamment l’évaluation systématique et approfondie de personnes conduisant à des décisions juridiques ou pareillement significatives, le traitement à grande échelle de données sensibles ou pénales, et la surveillance systématique à grande échelle d’une zone accessible au public. Ce sont trois situations particulières, et non une liste exhaustive des risques élevés. La méthode générale de l’AIPD expose le cadre applicable à tous les traitements.

Vérifiez aussi les listes de la CNIL. La délibération n°2018-327 du 11 octobre 2018 vise notamment le profilage en matière de ressources humaines, la surveillance constante de l’activité des employés, le profilage fondé sur des sources externes et la localisation à grande échelle. Sa catégorie biométrique concerne la reconnaissance de personnes parmi lesquelles figurent des personnes vulnérables : il faut lire les conditions de chaque ligne. Délibération et annexe.

Hors cas imposé par un texte ou une liste, les neuf critères européens aident à reconnaître un risque élevé : évaluation, décision automatisée significative, surveillance, données sensibles ou très personnelles, grande échelle, croisement de fichiers, personnes vulnérables, innovation et obstacle à un droit ou un service. Deux critères créent généralement une présomption ; un seul peut suffire, et l’absence de risque élevé malgré deux critères demande une justification solide.

La CNIL précise que toute IA n’est pas une technologie innovante au sens de cette grille. Elle présume en revanche une AIPD nécessaire pour le développement de systèmes à haut risque impliquant des données personnelles et la considère nécessaire dans la majorité des développements de modèles à usage général traitant ces données. Il s’agit d’une analyse contextualisée, sans dispense liée au faible effectif de l’entreprise. Fiche CNIL sur l’AIPD et l’IA.

Étape 1 — Décrire le traitement et ses responsables

Commencez par une carte des opérations : collecte du corpus, annotation, entraînement, évaluation, utilisation, journaux et suppression. Un fournisseur peut analyser son développement tandis que son client doit examiner un usage différent. Le document du fournisseur constitue une contribution ; il ne démontre pas que le traitement propre au client est acceptable.

Pour chaque étape, renseignez :

• la finalité précise et les personnes concernées ;
• les données utilisées, produites ou déduites, leurs sources et volumes ;
• les destinataires, accès administrateurs et éventuels transferts ;
• les durées de conservation et les moyens de suppression ;
• les décisions prises à partir des résultats et les acteurs pouvant les corriger.

Le responsable du traitement organise l’AIPD. Son sous-traitant l’assiste en tenant compte de la nature du traitement et des informations dont il dispose. Les étiquettes « fournisseur » et « déployeur » de l’AI Act ne déterminent pas seules ces rôles RGPD. Art. 28(3)(f) et 35(1), (7)(a). Notre guide IA et RGPD détaille cette qualification.

Étape 2 — Vérifier nécessité et proportionnalité

Une AIPD ne régularise pas une collecte illicite. Identifiez d’abord la base légale, puis l’éventuelle exception autorisant des données sensibles et les règles particulières des décisions automatisées. Examinez les alternatives : faut-il les CV complets, les coordonnées personnelles et toutes les expériences, ou certaines informations professionnelles suffisent-elles ?

Reliez chaque catégorie à un besoin démontré. Vérifiez la qualité des données, l’information, les droits, la conservation et la possibilité de réaliser l’objectif avec une solution moins intrusive. Cette évaluation est un contenu obligatoire de l’AIPD, au même titre que la description et les risques. Art. 35(7)(a) à (d).

L’explication de la logique automatisée prévue par les articles 13 à 15 doit être examinée notamment dans les cas visés par l’article 22(1) et (4). Il ne faut pas transformer cette règle en obligation générale de livrer le code source de toute IA. Une notice commerciale affirmant que le modèle est « explicable » n’indique pas encore ce qu’un candidat pourra comprendre ou contester. Art. 13(2)(f), 14(2)(g), 15(1)(h), 22.

Étape 3 — Évaluer les risques pour les personnes

L’enjeu dépasse la sécurité du serveur. Décrivez un événement, ses causes possibles, les personnes exposées, les conséquences, la gravité et la vraisemblance. Une erreur rare peut rester grave si elle prive quelqu’un d’un emploi ou divulgue sa santé.

Voici une grille de travail proposée, à adapter au traitement réel :

Ces exemples ne préjugent pas des résultats. Un tableau rempli avec « risque faible » partout sans mesure vérifiée ne permet pas d’apprécier la protection effective. L’article 35(7)(c) et (d) exige d’évaluer les risques et les garanties envisagées ; les explications techniques doivent rester compréhensibles pour les décideurs.

Étape 4 — Choisir les garanties et vérifier leur effet

Chaque mesure doit répondre à un risque identifié et avoir un responsable. Pseudonymiser limite certaines identifications, sans rendre automatiquement les données anonymes. Une revue humaine n’est utile que si la personne comprend les limites du résultat et peut réellement le remettre en cause. Un filtre de sortie doit être éprouvé, notamment face aux contournements pertinents.

Distinguez les mesures réalisées de celles qui restent à faire. Pour ces dernières, fixez un critère de réalisation avant lancement. Une promesse contractuelle du prestataire ne remplace pas la vérification des réglages utilisés par votre organisation.

La documentation technique du système peut apporter des résultats d’essais, des limites connues et des instructions. Rattachez chaque pièce à une version du modèle et au contexte testé. Une évaluation portant sur un autre corpus ou une autre population ne se transpose pas sans examen.

Étape 5 — Décider, documenter et réexaminer

Le responsable du traitement demande conseil au DPO lorsqu’il en a désigné un. Le DPO conseille sur l’AIPD et en vérifie l’exécution ; il ne devient pas, par cette mission, le décideur opérationnel chargé d’accepter les risques. Les métiers et la sécurité doivent fournir les informations nécessaires. Art. 35(2) et 39(1)(c). Voir les missions du DPO face à l’IA.

Le dossier de décision peut réunir le périmètre et sa version, les avis recueillis, les risques résiduels, les mesures préalables au lancement, la décision motivée et les événements déclenchant un réexamen. Ce format est une proposition pratique. Lorsque cela est approprié, le RGPD prévoit aussi de solliciter les personnes concernées ou leurs représentants, sous les réserves de l’article 35(9).

Si le risque élevé ne peut pas être suffisamment réduit, consultez la CNIL avant le traitement dans les conditions de l’article 36. L’AIPD n’est pas systématiquement envoyée à l’autorité. Réexaminez-la au moins quand le risque change : nouvel usage, nouvelle population, incident révélateur ou modification importante du système. Art. 35(11) et 36(1).

AIPD et évaluation des droits fondamentaux : deux périmètres

L’évaluation des droits fondamentaux de l’article 27 de l’AI Act, dite FRIA, ne concerne pas tous les déployeurs de systèmes à haut risque. Elle vise certains systèmes de l’annexe III, hors point 2, utilisés par des organismes de droit public ou des entités privées fournissant des services publics. Elle vise également les déployeurs des systèmes des points 5(b) et 5(c), relatifs à la solvabilité des personnes physiques et à certains usages de l’assurance vie et maladie. Article 27(1).

Le règlement modificatif 2026/1744 a fixé au 2 décembre 2027 l’application des sections 1 à 3 du chapitre III pour l’annexe III, dont l’article 27. L’AIPD du RGPD reste applicable selon ses propres critères. La FRIA pourra intégrer ou citer les parties pertinentes d’une AIPD déjà réalisée, mais devra couvrir ses autres exigences. Règlement 2026/1744, Art. 1(13) et 1(40). La qualification d’IA à haut risque doit donc être examinée séparément.

Ce qu’il faut retenir

• Le risque élevé et les cas obligatoires déterminent l’AIPD ; le seul mot « IA » ne suffit pas.
• Décrivez les opérations réelles, les décisions affectant les personnes et les preuves des garanties.
• Le fournisseur contribue à l’analyse ; le responsable du traitement demeure responsable de son usage.
• Demandez l’avis du DPO et consultez la CNIL si un risque élevé ne peut pas être suffisamment atténué.
• Vérifiez séparément le champ et le calendrier de la FRIA.

FAQ

Faut-il une AIPD pour chaque assistant de rédaction ?

Non. Il faut examiner les données, les usages, les personnes exposées et les critères de risque élevé. Une décision de ne pas réaliser d’AIPD doit être justifiable ; elle ne dispense pas des autres obligations du RGPD.

Peut-on réutiliser l’AIPD du fournisseur ?

Oui, comme base de travail lorsque son périmètre est pertinent. Il reste nécessaire d’analyser vos données, vos accès, vos décisions et les risques propres à votre déploiement.

Doit-on envoyer chaque AIPD à la CNIL ?

Non. La consultation préalable concerne notamment le risque élevé qui ne peut pas être suffisamment réduit dans les conditions de l’article 36. Conservez néanmoins l’analyse et ses versions pour démontrer la démarche.

La FRIA remplace-t-elle l’AIPD ?

Non. Les responsables, les déclencheurs et les droits examinés diffèrent. Les parties communes peuvent être réutilisées, sans supprimer les éléments propres à chaque obligation.

Recevez nos analyses pratiques de conformité dans la newsletter.

À propos de l’auteur. Thiébaut Devergranne est docteur en droit privé, titulaire du CAPA et fondateur de Legiscope. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.