Projet IA : ce que le DPO doit exiger avant le feu vert

Un DPO qui reçoit un projet d'IA à valider peut exiger sept pièces avant de donner un avis favorable. La finalité et la base légale d'abord. Puis l'analyse d'impact si le projet réunit deux des neuf critères CNIL, le contrat avec le fournisseur, la durée de conservation et l'information des personnes.

La septième pièce est celle qu'on oublie : une procédure de droits adaptée à un modèle qui a appris sur des données. Sans ces sept éléments réunis, le dossier repart en instruction.

Les sept pièces, en un coup d'œil

Voici la liste que je fais tourner avant tout comité de validation.

• La finalité précise du traitement, pas une description générique du projet.
• La base légale retenue parmi les six de l'article 6 du RGPD.
• L'analyse d'impact (AIPD), si le projet réunit deux des neuf critères CNIL.
• Le contrat de sous-traitance avec le fournisseur du modèle, conforme à l'article 28 du RGPD.
• La durée de conservation des données, justifiée par la finalité.
• Le texte d'information destiné aux personnes concernées.
• Une procédure d'exercice des droits qui couvre le modèle, pas seulement la base de données source.

Finalité et base légale : la première pièce, pas la dernière

Une équipe métier arrive souvent avec une finalité floue du type "améliorer la productivité". Ce n'est pas une finalité au sens de l'article 5 du RGPD, c'est un objectif business. Le DPO doit faire préciser ce que le système décide ou produit concrètement, pour qui, et avec quel effet sur la personne concernée.

La base légale découle de cette précision. Un outil de tri de CV s'appuie rarement sur le consentement, parce qu'un candidat ne le donne jamais librement face à un recruteur. L'intérêt légitime ou l'exécution d'un contrat sont plus souvent pertinents, mais chacun impose ses propres garde-fous.

L'AIPD : obligatoire dès deux critères sur neuf

La CNIL a fixé une liste de neuf critères dans sa délibération du 11 octobre 2018. Dès qu'un traitement en réunit deux, l'analyse d'impact devient obligatoire.

• Évaluation ou scoring d'une personne.
• Décision automatisée avec effet juridique ou effet similaire important.
• Surveillance systématique.
• Collecte de données sensibles ou hautement personnelles.
• Collecte de données à grande échelle.
• Croisement ou combinaison de plusieurs ensembles de données.
• Personnes vulnérables, comme des patients, des enfants ou des salariés.
• Usage innovant ou nouvelle solution technologique.
• Exclusion du bénéfice d'un droit, d'un service ou d'un contrat.

Un projet d'IA générative coche presque toujours le critère de l'usage innovant. Il suffit qu'il touche aussi au scoring ou à la décision automatisée pour basculer dans l'obligation. J'ai détaillé les conséquences d'une décision automatisée mal encadrée dans l'amende de 825 millions d'euros infligée à Uber, un cas qui aurait justement dû déclencher une AIPD en amont.

Le contrat de sous-traitance avec le fournisseur IA

Dès qu'un fournisseur de modèle traite des données personnelles pour votre compte, l'article 28 du RGPD impose un contrat écrit. Le DPO doit vérifier que ce contrat couvre des points précis, pas seulement des clauses de style.

• Les instructions documentées données au fournisseur, et l'interdiction de traiter les données hors de ce cadre.
• Les garanties de sécurité prévues à l'article 32, y compris pour l'entraînement ou l'affinage du modèle.
• Le sort des données à la fin du contrat : suppression ou restitution, avec preuve.
• Les conditions d'une sous-traitance ultérieure, si le fournisseur passe lui-même par un tiers.

Si le projet s'appuie sur un système classé à haut risque par l'AI Act, ce contrat ne suffit plus seul. J'ai détaillé l'ensemble des obligations à empiler dans la feuille de route de mise en conformité AI Act.

Conservation, information et droits sur un modèle qui a appris

La durée de conservation doit être fixée avant le lancement, pas ajustée après coup. Un modèle qui continue à s'entraîner sur des données de production sans limite de durée viole le principe de minimisation de l'article 5 du RGPD, même si chaque donnée individuelle a été collectée légalement.

L'information des personnes doit mentionner l'existence d'un traitement automatisé, sa logique et ses conséquences, conformément aux articles 13 et 14. Le point le plus souvent oublié concerne les droits : un modèle qui a mémorisé une donnée personnelle peut la restituer bien après que la base source a été purgée. J'ai expliqué comment tracer cette mémorisation à travers les versions dérivées d'un modèle dans mon article sur l'outil Genmod de la CNIL.

Dans les comités où je siège aux côtés d'un DPO, c'est presque toujours ce point qui bloque le dossier le plus longtemps : personne n'a prévu comment répondre à une demande d'effacement une fois le modèle entraîné. Si vous préparez un projet et voulez éviter ce blocage, parlons-en avant le comité, pas pendant.