Règlement IA pour les délégués à la protection des données
Pour les DPO : où le RGPD et le règlement IA se recoupent (AIPD, FRIA) et ce que Scanara apporte. Prochaine étape : ouvrez l’exemple de rapport.
Où le RGPD et le règlement IA se rejoignent
Deux analyses d’impact peuvent s’appliquer à un système
Une analyse d’impact relative à la protection des données du RGPD (AIPD, article 35) et une analyse d’impact sur les droits fondamentaux du règlement IA (FRIA, article 27) peuvent s’appliquer toutes deux. Si une AIPD remplit déjà une obligation de l’article 27, la FRIA la complète (article 27(4)).
Le règlement ne mentionne aucune tâche du DPO
Le règlement IA ne mentionne pas les délégués à la protection des données. Le déployeur ou le fournisseur décide qui prépare les évaluations. Selon l’article 39 du RGPD, le DPO conseille sur l’AIPD lorsqu’on le lui demande.
Les déployeurs réutilisent les informations du fournisseur
Le cas échéant, les déployeurs de systèmes à haut risque utilisent les informations fournies par le fournisseur au titre de l’article 13 pour réaliser leur AIPD (article 26(9)). Demandez-les tôt au fournisseur.
Ce que Scanara apporte aux DPO
Évaluations guidées distinctes
Scanara propose une AIPD guidée (article 35 du RGPD) et une FRIA guidée (article 27) comme évaluations distinctes. La FRIA préremplit certaines réponses à partir des résultats d’analyse. Vous répondez ; Scanara conserve les résultats comme preuves.
Rapports AIPD et FRIA
Scanara génère des rapports AIPD et FRIA à partir de vos réponses et les exporte en PDF, DOCX ou Markdown. Vous les relisez avant de les utiliser.
Repérer l’usage de l’IA dans le code
Scanara analyse les dépôts à la recherche de composants d’IA et de ML. Cela vous aide à dresser la liste des systèmes d’IA à examiner pour une AIPD.
Piste de preuves
Scanara versionne les dossiers d’évaluation et tient un journal d’audit non modifiable des dates de début, de modification et d’export des évaluations. Il ne donne pas de conseil juridique.
Deux plafonds d’amende à connaître
10 millions d’EUR ou 2 %
Plafond du RGPD en cas de manquement aux obligations d’AIPD (articles 35 et 83(4)) : jusqu’à 10 millions d’EUR ou, pour une entreprise, jusqu’à 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.
15 millions d’EUR ou 3 %
Plafond du règlement IA pour les obligations des fournisseurs et des déployeurs : jusqu’à 15 millions d’EUR ou, pour une entreprise, jusqu’à 3 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 99(4)).
Questions des DPO
Ai-je besoin à la fois d’une AIPD et d’une FRIA ?
Pas toujours. Une AIPD est requise lorsque le traitement est susceptible d’engendrer un risque élevé (article 35 du RGPD). Une FRIA est requise des déployeurs de systèmes de l’annexe III (sauf le point 2) qui sont des organismes de droit public ou des entités privées fournissant des services publics. Elle l’est aussi des déployeurs de systèmes d’évaluation de crédit et d’assurance vie et santé (article 27(1)).
Scanara remplace-t-il l’AIPD ?
Non. Scanara structure l’AIPD selon les quatre éléments de l’article 35(7) du RGPD et conserve le résultat. Le responsable du traitement reste responsable du contenu et de la décision.
Puis-je exporter les résultats ?
Oui. Scanara exporte les rapports AIPD et FRIA en PDF, DOCX ou Markdown. Pour la FRIA, les déployeurs notifient les résultats à l’autorité de surveillance du marché (article 27(3)), et Scanara inclut un export pour cette notification.
Scanara m’indique-t-il quand une AIPD est requise ?
Non. La nécessité d’une AIPD dépend du traitement (article 35(3) du RGPD). Les analyses de Scanara repèrent les composants d’IA et de ML, ce qui vous permet d’inclure ces systèmes dans votre examen.
Quelles dates du règlement IA comptent pour un DPO ?
L’obligation de maîtrise de l’IA (article 4) et les interdictions de l’article 5 s’appliquent depuis le 2 février 2025. La FRIA et les règles à haut risque pour les systèmes de l’annexe III s’appliquent à partir du 2 décembre 2027 (article 113).
À lire ensuite
Découvrez les évaluations dans un exemple de rapport
La démo présente un rapport de conformité anonymisé et une visite guidée du produit. Elle vous permet de juger si le déroulement convient à votre travail.
Scanara prépare des preuves à partir de vos dépôts
Scanara lit vos dépôts GitHub connectés et exécute des analyses à base de règles pour repérer les schémas courants d'IA et d'apprentissage automatique. Il peut manquer du code non standard. Par ailleurs, il génère des projets de documentation à partir de modèles et de vos réponses aux évaluations, comme preuves pour votre travail de conformité. Vous décidez de la classification.