Automatisation cloud et IA : revoir la conformité RGPD

En 2019, cette page présentait un projet interne d’automatisation de la gestion de formations : inscriptions, convocations, justificatifs et facturation. Le retour d’expérience reste utile pour comprendre les questions à traiter, mais son ancien titre « 100 % conforme » allait au-delà de ce qu’un article peut démontrer. La conformité dépend du fonctionnement réel et doit être réexaminée lorsque les usages ou les services changent.

Ce qu’il faut retenir

• Associez chaque finalité à sa base légale et à sa durée ; une « base mixte » globale ne suffit pas.
• Le choix d’un fournisseur cloud ne transfère pas toute la responsabilité de conformité.
• Une règle d’expiration peut laisser subsister des versions antérieures, des copies ou des journaux.
• L’emploi d’IA doit être décrit concrètement : données envoyées, usage des résultats et conséquences pour les personnes.

Cartographier le parcours avant d’automatiser

Pour un organisme de formation, décrivez les opérations séparément : traiter une demande, gérer l’inscription, envoyer une convocation, établir les justificatifs nécessaires et facturer. Ajoutez les communications facultatives, qui ne poursuivent pas nécessairement la même finalité que l’exécution de la formation.

Le registre des traitements doit refléter ces usages. L’Art. 6(1) RGPD permet plusieurs fondements, mais chacun doit correspondre au traitement concerné. Le contrat suppose notamment la nécessité pour son exécution ; l’obligation légale exige un texte applicable. Un délai de prescription ne transforme pas automatiquement toute conservation en obligation légale. Source : RGPD, chapitre II.

Le consentement n’est ni obligatoire partout ni à éviter systématiquement. Lorsqu’il est le fondement approprié, il faut organiser son retrait. Ce retrait n’annule pas rétroactivement la licéité des opérations antérieures — Art. 7(3). Distinguez les données conservées sur un autre fondement justifié au lieu de changer opportunément de base légale.

Examiner le service cloud utilisé, pas seulement sa marque

L’Art. 28(1) impose de choisir des sous-traitants présentant des garanties suffisantes ; l’Art. 28(3) précise le contenu du contrat. L’analyse couvre aussi les sous-traitants ultérieurs, les localisations, les accès et le mécanisme applicable aux transferts hors EEE. Source : RGPD, chapitre IV.

La version initiale affirmait globalement que le contrat AWS remplissait parfaitement toutes les conditions. Un examen historique ne valide pas à lui seul un service, un contrat ou une configuration actuels. La documentation AWS décrit une responsabilité partagée : le fournisseur protège certaines couches d’infrastructure, tandis que les responsabilités du client varient selon les services et incluent la gestion des données et des permissions. Source : modèle de responsabilité partagée AWS.

Pour chaque composant, indiquez qui paramètre les accès, les sauvegardes, les alertes et l’effacement. Conservez les versions contractuelles examinées et la décision de validation. Un audit du prestataire et des preuves manquantes permet de traiter les zones d’incertitude avant la mise en production.

Distinguer conservation, archivage et suppression

Définissez une règle par catégorie documentaire et finalité. Une facture, une demande abandonnée et une liste de diffusion facultative ne suivent pas nécessairement la même durée. La durée de conservation des données doit être justifiée, puis traduite dans les outils.

Dans un stockage versionné, vérifiez ce que signifie « supprimer ». AWS indique qu’une suppression simple d’un objet S3 versionné ajoute un marqueur de suppression : les anciennes versions peuvent subsister. L’expiration des versions non courantes nécessite une action distincte de la règle appliquée à la version courante. Source : documentation S3 sur les versions.

La vérification doit donc porter sur le résultat : versions, réplicas, exports, sauvegardes et éventuelles obligations de gel. Une restauration ne doit pas réintroduire durablement des données dont la suppression était requise. Planifiez les exceptions documentées et le traitement des copies, au lieu de supposer qu’un bouton ou une règle de cycle de vie couvre tout.

Les coûts de stockage et garanties chiffrées cités en 2019 ne constituent pas un devis actuel. Ils dépendaient du périmètre et ne suffisent pas à évaluer le coût complet du service, des copies, des accès et de son administration.

Identifier précisément la fonction de l’IA

L’étiquette « IA » ne décrit ni une finalité ni un niveau de risque. Pour chaque utilisation, notez les données transmises, le fournisseur, les paramètres de conservation, les usages secondaires éventuels et la place du contrôle humain. Une aide à rédiger une convocation et un système décidant seul de l’accès à une formation n’appellent pas la même analyse.

L’Art. 22(1) RGPD concerne les décisions exclusivement automatisées produisant des effets juridiques ou affectant une personne de manière similaire et significative, avec les exceptions et garanties du texte. Toute automatisation n’entre pas dans cette catégorie. Source : RGPD, chapitre III. Examinez séparément les éventuelles obligations propres au règlement sur l’IA, selon la fonction et le rôle de l’organisation.

Vérifier avant la mise en service

Testez le parcours avec des données fictives : destinataire erroné, annulation, retrait d’une communication facultative, demande d’accès, échéance de conservation et restauration. Ces scénarios servent à constater le comportement réel du système.

La sécurité doit rester adaptée au risque — Art. 32 RGPD — et l’AIPD être réalisée lorsqu’elle est requise. Formalisez les écarts, les corrections et les responsables. La validation porte sur une version et un périmètre définis, puis doit être réexaminée après les changements importants.

Questions fréquentes

Un fournisseur cloud reconnu garantit-il la conformité du projet ?

Non. Ses garanties contribuent à l’analyse, mais l’organisation reste responsable de ses finalités, de ses choix et des obligations qui lui incombent.

Une expiration S3 supprime-t-elle toutes les versions ?

Pas nécessairement. Le comportement dépend du versionnement et des règles configurées. Il faut vérifier les versions non courantes et les autres copies.

Toute IA impose-t-elle une décision automatisée au sens du RGPD ?

Non. Il faut examiner le rôle du système, l’intervention humaine réelle et les effets de la décision au regard de l’Art. 22.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.