AIPD pour l'IA : modèle et démarche

Quand une AIPD est-elle obligatoire pour l’IA ?

L’article 35, paragraphe 1, du RGPD exige une AIPD lorsqu’un traitement, « en particulier par le recours à de nouvelles technologies », est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques. Selon le guide de la conférence allemande des autorités de protection des données (Datenschutzkonferenz, DSK), ce sera « souvent le cas » pour l’IA. Trois voies mènent à l’obligation :

• Art. 35, paragraphe 3 : par exemple le traitement à grande échelle de données de santé (point b) ou l’évaluation systématique de personnes produisant des effets juridiques (point a).
• Liste obligatoire de la DSK pour le secteur non public : le n° 11 vise le « recours à l’intelligence artificielle pour traiter des données personnelles afin de piloter l’interaction avec les personnes concernées ou d’évaluer des aspects personnels ». Le n° 3 vise le traitement à grande échelle de données soumises au secret social, à un secret professionnel ou à un secret de fonction particulier. Les organismes publics se réfèrent aux listes de leur autorité de contrôle.
• Critères du WP 248 : si deux des neuf critères sont remplis, une AIPD est en général nécessaire. Pour l’IA à l’hôpital ou dans une administration, plusieurs se cumulent souvent : données confidentielles ou à caractère hautement personnel, personnes vulnérables (patients, enfants, salariés), technologie innovante.

Une aide à la rédaction interne sans données personnelles ne nécessite pas d’AIPD. Un assistant qui rédige des lettres médicales, des décisions administratives ou des rapports sociaux en nécessite une en règle générale.

Que doit contenir l’AIPD ?

L’article 35, paragraphe 7, du RGPD fixe quatre contenus minimaux :

Partie	Ce que vous décrivez pour l’IA
Description systématique	Finalités, catégories de données, personnes concernées, flux de données du champ de saisie jusqu’au modèle d’IA, lieux de stockage, délais d’effacement, prestataires impliqués
Nécessité et proportionnalité	Pourquoi l’IA est nécessaire à cette finalité, minimisation des données, base juridique, durée de conservation
Risques pour les personnes concernées	par exemple réponses erronées, divulgation à des personnes non autorisées, entraînement par le fournisseur, accès depuis un pays tiers, contrôle des performances des salariés, décisions sans véritable vérification humaine
Mesures pour traiter les risques	Droits et groupes, journaux, serveur dans votre établissement ou centre de données dans l’UE, exclusion de l’entraînement, indication des sources, formation, consignes de service

Comment se déroule une AIPD ?

1. Examen préalable : parcourir la liste obligatoire et les critères du WP 248, documenter le résultat.
2. Description : consigner les domaines d’utilisation, les données et les flux de données. Le fournisseur livre les informations sur le système ; la DSK conseille d’y veiller dès le choix du fournisseur.
3. Évaluation : estimer pour chaque risque la probabilité et la gravité. De nombreuses autorités de contrôle allemandes recommandent pour cela le modèle standard de protection des données (Standard-Datenschutzmodell, SDM).
4. Mesures : affecter des mesures techniques et organisationnelles et évaluer le risque résiduel.
5. Avis : recueillir l’avis du délégué à la protection des données (art. 35, paragraphe 2) et, le cas échéant, celui des personnes concernées ou de leurs représentants (paragraphe 9).
6. Décision et réexamen : si un risque résiduel élevé subsiste, consultez l’autorité de contrôle avant le démarrage (art. 36). En cas de changement, par exemple un nouveau modèle d’IA ou de nouvelles sources de données, réexaminez l’AIPD (art. 35, paragraphe 11).

Quelles informations vous faut-il du fournisseur ?

• Où la plateforme et le modèle d’IA fonctionnent et qui y a un accès technique
• Si les saisies sont stockées, journalisées ou utilisées pour l’entraînement
• Liste des sous-traitants ultérieurs, lien avec des pays tiers
• Concept de droits et de rôles, journalisation, effacement
• Mesures techniques et organisationnelles selon l’article 32 et preuves (certificats, attestations)
• Pour l’IA à haut risque : la notice d’utilisation selon l’article 13 du règlement sur l’IA ; les déployeurs l’utilisent pour leur AIPD (art. 26, paragraphe 9)

Comment cela fonctionne-t-il avec basebox ?

Pour l’IA traitant des données de santé ou sociales, une AIPD est en règle générale nécessaire. Vous l’établissez et en répondez en tant que responsable du traitement. Pour le cloud et pour le serveur, il existe chacun un modèle au format Word, structuré selon l’article 35 du RGPD et le modèle standard de protection des données ; les informations sur basebox sont déjà remplies. S’y ajoutent les mesures techniques et organisationnelles, la liste des sous-traitants ultérieurs et un modèle de registre des activités de traitement, le tout sur /sicherheit. basebox envoie sur demande la description de l’architecture et des flux de données (en anglais). La page Questions sur la sécurité répond à de nombreuses questions de l’évaluation.

Pas un conseil juridique : c’est votre organisation qui décide, avec son délégué à la protection des données, si une AIPD est nécessaire et comment évaluer les risques. Les listes obligatoires des autorités de contrôle peuvent évoluer. Recherches arrêtées au 11 octobre 2026.