Analyse d'impact et IA : quand elle est requise, et ce qui la rend faisable
Quand elle se déclenche
Le critère est le risque élevé pour la personnalité ou les droits fondamentaux. La loi cite le recours à une technologie nouvelle comme circonstance conduisant à ce constat, de même que le traitement à grande échelle de données sensibles et la surveillance systématique d'espaces accessibles au public.
Un déploiement d'IA sur des dossiers de santé, des dossiers de sinistre corporel ou des dossiers d'assurés cumule deux de ces facteurs : la technologie et la nature des données.
Ce qu'il faut pouvoir écrire
Une analyse d'impact décrit le traitement envisagé, évalue les risques pour les personnes concernées, et expose les mesures prises pour les réduire. Cela suppose de pouvoir répondre précisément à quatre questions.
Quelles sources sont lues ? La liste des systèmes et des répertoires auxquels le dispositif accède, et rien de plus.
Quels droits sont appliqués ? Qui peut interroger quoi. Un dispositif qui donne à chacun l'accès à tout est un dispositif dont l'analyse d'impact conclura mal.
Quels flux sortent ? La nature exacte de ce qui quitte le périmètre, jusqu'au détail de la télémétrie technique.
Que garde-t-on comme trace ? Le journal d'accès, sa durée de conservation et qui peut le lire.
Pourquoi un service opaque rend l'exercice impossible
Une analyse d'impact demande de décrire un traitement. Un service dont on ignore ce qu'il fait des données saisies — qui y accède, où elles sont stockées y compris temporairement, combien de temps elles sont conservées — ne peut pas être décrit, donc pas être analysé.
C'est le point où beaucoup de dossiers s'arrêtent : non pas parce que le risque est jugé trop élevé, mais parce qu'il est impossible à évaluer. Un dispositif descriptible ligne à ligne change la nature de l'exercice.
Ce que l'analyse ne dispense pas de faire
Elle ne remplace ni l'information des personnes concernées, ni la tenue du registre des activités de traitement, ni les mesures de sécurité techniques.
Elle ne remplace pas non plus l'examen du secret professionnel, qui relève d'un régime distinct : une analyse d'impact favorable ne rend pas licite une révélation au sens de l'art. 321 CP.
Les textes cités
Art. 22 nLPD — Analyse d'impact relative à la protection des données, requise lorsque le traitement est susceptible d'entraîner un risque élevé pour la personnalité ou les droits fondamentaux, notamment en cas de recours à une technologie nouvelle.
Art. 5 let. c nLPD — Données sensibles : leur traitement à grande échelle est l'un des facteurs de risque élevé.
Art. 321 CP — Régime distinct : l'analyse d'impact ne le couvre pas.
Chaque référence est donnée avec sa portée, sans interprétation. Le sens à lui donner dans votre situation relève de votre conseil.