RGPD et outils d'IA : une liste de contrôle pour les petites entreprises

Avant de commencer : ce qu'est cette liste

Cet article est une information générale sur le RGPD, pas un conseil juridique. Ce qui s'applique à vous dépend de votre secteur, des données que vous traitez et des outils que vous utilisez. Si vous traitez des données sensibles ou si vous avez un doute, adressez-vous à votre délégué à la protection des données ou à un avocat spécialisé.

La plupart des questions sont celles que vous devriez déjà vous poser pour tout logiciel en ligne. Les outils d'IA ajoutent quelques points spécifiques, abordés ci-dessous.

Contrat de sous-traitance (art. 28 RGPD)

Si un prestataire traite des données personnelles pour votre compte, par exemple des noms de clients, des adresses e-mail ou des factures stockés dans une plateforme d'IA, vous avez en général besoin d'un contrat de sous-traitance au sens de l'article 28 du RGPD. Il précise ce que le prestataire peut faire des données, quelles mesures techniques et organisationnelles s'appliquent et quels sous-traitants ultérieurs interviennent.

À vérifier : existe-t-il un contrat de sous-traitance, et l'avez-vous conclu ? La liste des sous-traitants ultérieurs y figure-t-elle ? Le prestataire indique-t-il si vos données servent à entraîner des modèles, et pouvez-vous l'exclure ?

Minimisation des données et finalité

Ne transmettez à un outil que les données dont une tâche a réellement besoin. Une analyse des ventes par produit nécessite rarement le nom des clients, et une analyse de marché se passe généralement de toute donnée personnelle. Dans la mesure du possible, travaillez avec des données agrégées ou pseudonymisées.

Soyez également clair sur la finalité. Des données collectées pour envoyer des factures ne peuvent pas être réutilisées automatiquement à d'autres fins. Notez à quoi vous servez de l'outil d'IA et ajoutez-le à votre registre des activités de traitement.

Où vont les données : transferts vers des pays tiers

Demandez où les données sont stockées et où elles sont traitées ; il peut s'agir de lieux différents. De nombreux services d'IA sont exploités par des entreprises américaines. Transférer des données personnelles hors de l'UE nécessite une base juridique, généralement une décision d'adéquation ou les clauses contractuelles types de l'UE, souvent complétées par des garanties supplémentaires.

À vérifier : dans quel pays les données sont-elles stockées ? Quels services de traitement se trouvent hors de l'UE, et sur quelle base les données leur sont-elles transférées ? Est-ce indiqué dans la politique de confidentialité et dans le contrat de sous-traitance ? Par souci de transparence : NEXUM stocke les données dans une base de données en Irlande, au sein de l'UE ; certains des services de traitement que nous utilisons sont des entreprises américaines, encadrées par les clauses contractuelles types de l'UE.

Catégories particulières et secret professionnel

Les données de santé font partie des catégories particulières de données personnelles visées à l'article 9 du RGPD et sont soumises à des règles plus strictes. Un cabinet médical ou paramédical devrait bien réfléchir avant de confier des données de patients à un outil d'IA ; souvent, la bonne réponse consiste à n'utiliser que des données anonymisées ou agrégées.

Les médecins, avocats, conseillers fiscaux et autres professions soumises au secret ont des obligations supplémentaires, en Allemagne notamment en vertu de l'article 203 du Code pénal. Faire appel à un prestataire externe peut être admissible sous certaines conditions, mais cela doit être vérifié et documenté. C'est un point sur lequel un conseil professionnel vaut la peine.

Droit d'accès, effacement et accès internes

Les personnes peuvent demander quelles données vous détenez à leur sujet (article 15 du RGPD) et, sous certaines conditions, en demander l'effacement (article 17 du RGPD). Assurez-vous de pouvoir retrouver, exporter et supprimer les données d'une personne également dans l'outil d'IA, et pas seulement dans vos systèmes principaux.

Définissez des durées de conservation : combien de temps gardez-vous les documents, brouillons et analyses contenant des données personnelles ? Les obligations légales de conservation, par exemple pour les factures, continuent de s'appliquer. Au sein de l'entreprise, décidez qui peut utiliser l'outil et avec quelles données, et limitez les accès en conséquence.

Enfin, méfiez-vous des affirmations que vous ne pouvez pas vérifier. Demandez par écrit aux prestataires le contrat de sous-traitance, la liste des sous-traitants ultérieurs et une description de leurs mesures de sécurité. Nous nous appliquons la même exigence et indiquons ouvertement que NEXUM n'est pas certifiée selon les normes ISO ou SOC.