Skip to main content

Analyse d’impact relative à la protection des données (DPIA) pour les systèmes d’IA : article 35 du RGPD

L’AIPD est une obligation du RGPD, pas du règlement sur l’IA. Quand les systèmes d’IA en ont besoin et son lien avec la FRIA.

Une analyse d’impact relative à la protection des données (DPIA) est une obligation de l’article 35 du RGPD, pas du règlement sur l’IA. Le responsable du traitement doit la réaliser avant un traitement susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Cas typiques : les systèmes d’IA qui profilent des personnes, traitent des catégories particulières de données à grande échelle ou surveillent des espaces publics.

Le règlement sur l’IA renvoie à la DPIA à l’article 26(9) et à l’article 27(4). Les amendes du RGPD pour violation de l’article 35 atteignent 10 millions d’EUR ou 2 % du chiffre d’affaires annuel mondial. Le montant le plus élevé est retenu (article 83(4) du RGPD). Prochaine étape : vérifiez si votre système traite des données à caractère personnel et qui est le responsable du traitement.

L’article 35(3) du RGPD nomme trois cas qui exigent une DPIA

  • Évaluation systématique et approfondie fondée sur un traitement automatisé

    Cela couvre l’évaluation d’aspects personnels, y compris le profilage, sur laquelle se fondent des décisions produisant des effets juridiques à l’égard d’une personne ou l’affectant de manière significative de façon similaire (article 35(3), point a)). Exemple : l’évaluation de la solvabilité.

  • Traitement à grande échelle de catégories particulières de données ou de données relatives aux infractions

    Cela couvre les catégories particulières de données visées à l’article 9(1) du RGPD et les données relatives aux condamnations pénales et aux infractions visées à l’article 10 (article 35(3), point b)). Exemple : un système d’IA qui traite des données de santé à grande échelle.

  • Surveillance systématique à grande échelle d’une zone accessible au public

    Cela couvre la surveillance à grande échelle d’espaces publics (article 35(3), point c)). Exemple : l’analyse vidéo dans un espace public.

Les autorités de contrôle publient des listes d’autres types de traitement qui exigent une DPIA (article 35(4) du RGPD).

Une DPIA comporte quatre parties minimales

  • Description du traitement

    Une description systématique des opérations de traitement et de leurs finalités, y compris, le cas échéant, l’intérêt légitime poursuivi (article 35(7), point a)).

  • Nécessité et proportionnalité

    Une évaluation visant à déterminer si le traitement est nécessaire et proportionné au regard de ses finalités (article 35(7), point b)).

  • Risques pour les personnes concernées

    Une évaluation des risques pour les droits et libertés des personnes dont les données sont traitées (article 35(7), point c)).

  • Mesures contre les risques

    Les garanties, mesures de sécurité et mécanismes qui répondent aux risques et démontrent le respect du RGPD (article 35(7), point d)).

Le responsable du traitement demande aussi l’avis du délégué à la protection des données, s’il en a été désigné un (article 35(2)). Il recueille, le cas échéant, l’avis des personnes concernées ou de leurs représentants (article 35(9)). Il réexamine la DPIA au moins lorsque le risque change (article 35(11)). Si la DPIA révèle un risque élevé que le responsable du traitement n’atténue pas, il consulte d’abord l’autorité de contrôle (article 36).

Une DPIA et une FRIA sont des évaluations distinctes qui peuvent partager du contenu

  • Des textes et des objets différents

    La DPIA vient du RGPD et concerne la protection des données à caractère personnel. La FRIA vient de l’article 27 du règlement sur l’IA et concerne les droits fondamentaux.

  • Des débiteurs d’obligation différents

    La DPIA incombe au responsable du traitement, public ou privé. La FRIA n’incombe qu’aux déployeurs énumérés à l’article 27(1).

  • Contenu commun

    Si la DPIA remplit déjà une obligation de l’article 27, la FRIA peut y renvoyer ou en reprendre des parties (article 27(4)). La FRIA doit toujours couvrir chaque élément de l’article 27(1).

Ce que fait l’évaluation DPIA de Scanara

Scanara ne décide pas si une DPIA est requise. Vous en décidez, en tant que responsable du traitement, avec votre délégué à la protection des données.

Questions DPIA guidées

Une banque de questions suit le contenu de l’article 35(7) du RGPD. Vous répondez ; Scanara conserve les réponses comme preuves et rédige le rapport DPIA.

Réponses préremplies à partir des analyses

Si vous avez analysé un dépôt de code, Scanara préremplit des réponses à partir des résultats de l’analyse. Vous les vérifiez et les corrigez.

Lien avec la FRIA

Une évaluation FRIA peut référencer une DPIA approuvée du même système (article 27(4)).

Ouvrir la démo de Scanara

En savoir plus sur les règles voisines

Questions fréquentes sur la DPIA

Le règlement sur l’IA exige-t-il une DPIA ?

Non. L’obligation vient de l’article 35 du RGPD. Le règlement sur l’IA ne fait que s’y référer : les déployeurs de systèmes à haut risque utilisent, le cas échéant, les informations du fournisseur au titre de l’article 13 pour leur DPIA (article 26(9)).

Une analyse d’impact RGPD remplace-t-elle la FRIA ?

Non. Une analyse d’impact relative à la protection des données peut fournir des parties de la FRIA, car l’article 27(4) permet au déployeur d’y renvoyer ou d’en reprendre les parties pertinentes, mais seulement pour les obligations de l’article 27 qu’elle remplit déjà. La FRIA doit toujours couvrir chaque élément de l’article 27(1).

Quand une DPIA est-elle nécessaire pour un système d’IA ?

Lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques (article 35(1) du RGPD). L’article 35(3) nomme trois cas qui en exigent une : l’évaluation systématique et approfondie fondée sur un traitement automatisé, le traitement à grande échelle de catégories particulières de données ou de données relatives aux infractions, et la surveillance à grande échelle d’espaces publics. Consultez aussi la liste de votre autorité de contrôle.

Que se passe-t-il si une DPIA requise n’est pas réalisée ?

Des amendes pouvant atteindre 10 millions d’EUR ou, pour une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu (article 83(4), point a), du RGPD).

Scanara prépare des preuves à partir de vos dépôts

Scanara lit vos dépôts GitHub connectés et exécute des analyses à base de règles pour repérer les schémas courants d'IA et d'apprentissage automatique. Il peut manquer du code non standard. Par ailleurs, il génère des projets de documentation à partir de modèles et de vos réponses aux évaluations, comme preuves pour votre travail de conformité. Vous décidez de la classification.