RGPD, AI Act et DPO : les explications utiles.
Ces règles ne demandent pas la même chose à chaque projet. Tout dépend de l’usage, des données et du niveau de risque. Cette page explique les mots et les vérifications utiles avant de déployer une IA dans une entreprise.
Cette présentation aide à cadrer un projet. Elle ne remplace pas un audit juridique adapté à votre organisation.
Trois notions à distinguer
- Le RGPD
- Il encadre l’utilisation des données personnelles. Une donnée personnelle permet d’identifier une personne, directement ou par recoupement. Un projet doit définir son objectif, limiter les données collectées, sécuriser les accès et permettre aux personnes d’exercer leurs droits.
- L’AI Act
- Le règlement européen sur l’IA classe les systèmes selon leur niveau de risque. Les obligations varient ensuite : usages interdits, systèmes à haut risque, transparence ou règles plus légères. Un chatbot destiné aux salariés ne se traite donc pas comme une IA utilisée pour recruter ou évaluer une personne.
- Le DPO
- Le délégué à la protection des données conseille l’entreprise, contrôle sa démarche RGPD et sert de point de contact avec la CNIL. Il peut être salarié, prestataire externe ou cumuler cette mission avec une autre fonction. En revanche, un dirigeant qui décide des finalités et des moyens des traitements ne peut pas être DPO : il serait juge et partie. Dans une petite entreprise, ce conflit d’intérêts est fréquent. Sa désignation n’est obligatoire que dans certains cas.Vérifier qui peut être DPO
Ce que votre projet doit clarifier
La conformité commence avant le choix du modèle. Elle continue pendant les tests, le déploiement et l’utilisation quotidienne.
- 01
Définir l’usage
Qui utilise le système, pour faire quoi et avec quelles conséquences si la réponse est fausse ?
- 02
Cartographier les données
Quelles données entrent dans l’outil, où elles partent, combien de temps elles restent et qui peut les consulter ?
- 03
Choisir les outils
On compare l’hébergement, les contrats, les accès, les possibilités d’export et les conditions d’utilisation des modèles.
- 04
Garder un contrôle humain
Une personne identifiée doit pouvoir vérifier, corriger ou arrêter le système lorsque le risque le demande.
- 05
Documenter et former
L’équipe reçoit des règles d’usage, connaît les limites de l’outil et sait vers qui se tourner en cas de doute.
Qui est responsable de quoi ?
L’entreprise cliente
Elle décide pourquoi l’outil existe, qui l’utilise et quelles données il traite. Selon le projet, elle peut être responsable du traitement au sens du RGPD et déployeur au sens de l’AI Act.
Amplixy
On cadre l’usage, configure la solution, documente les choix et signale les risques identifiés. Le rôle juridique d’Amplixy dépend de la mission et du contrôle exercé sur les données.
Le fournisseur d’IA
Il fournit le modèle ou le service. Ses conditions, son lieu d’hébergement, ses garanties et son utilisation des données font partie de l’étude des outils.