Avancé · Équipe et organisation · module 117 de 155
Données personnelles et IA : appliquer le RGPD
Applique les principes de base du RGPD quand tu veux traiter des données personnelles avec l’IA.
Après cette leçon
Tu vérifies si une application d’IA traite des données personnelles, tu évalues l’objectif, la base juridique et le minimum de données nécessaire, et tu sais quels accords sont nécessaires avec un fournisseur.
En image · Étape par étape
Données personnelles et IA, étape par étape
Consigne à quoi servent les données et sur quelle base.
N’utilise que les données dont la tâche a vraiment besoin ; attention aux données sensibles.
Un contrat de sous-traitance avec le fournisseur et une information claire aux personnes concernées.
Partie 1 de 3 · Finalité et base juridique
Ta préférence pour moins de mouvement est prise en compte. Choisis chaque partie toi-même.
Quand le RGPD entre en jeu
Le règlement général sur la protection des données (RGPD, en anglais GDPR) s’applique dès que tu traites des données personnelles : des données sur une personne identifiable, comme un nom, une adresse e-mail, un numéro de client ou une description permettant d’identifier quelqu’un (leçons 5 et 23). Un prompt contenant une question de client, un CV téléversé ou une réunion enregistrée peut donc relever du RGPD. Des règles plus strictes s’appliquent aux catégories particulières de données, comme la santé, la religion ou l’origine ethnique. En Belgique, c’est l’Autorité de protection des données qui assure le contrôle.
Objectif, base juridique et le moins de données possible
Détermine à l’avance à quoi tu utilises les données et si cela correspond à l’objectif pour lequel elles ont été collectées. Tu as besoin d’une base juridique, par exemple un contrat, une obligation légale ou un intérêt légitime. N’utilise pas plus de données que nécessaire : une description générale sans nom suffit souvent. Informe les personnes concernées et respecte leurs droits, comme l’accès et l’effacement. Si un traitement est susceptible d’entraîner un risque élevé pour les personnes, une analyse d’impact relative à la protection des données est nécessaire au préalable.
Accords avec le fournisseur
Si un service d’IA externe traite des données personnelles pour ton organisation, ce service est généralement un sous-traitant. Un contrat de sous-traitance est alors nécessaire, avec des accords sur la sécurité, les durées de conservation et ce que le service peut faire de tes données, par exemple si elles sont utilisées pour entraîner des modèles. Fais aussi attention aux transferts hors de l’Espace économique européen. N’utilise donc que des outils approuvés par ton organisation, et implique le délégué à la protection des données dans les nouvelles applications. Cette leçon n’est pas un avis juridique.
Nouvel exemple d'exercice
De l'explication à un résultat utilisable.
Dès que l’IA traite des données personnelles, le RGPD s’applique : une finalité, une base légale, le moins de données possible et des accords avec le fournisseur.
Situation d'exercice fictiveFictif : un centre de fitness veut utiliser l’IA pour créer des programmes d’entraînement personnalisés sur la base du poids, de l’âge et des blessures des membres.
Voir une résolution possible
Voici comment faire
Les blessures sont des données de santé et donc des catégories particulières de données personnelles, soumises à des règles plus strictes. Le centre fixe la finalité et la base légale, informe clairement les membres, n’utilise que les données nécessaires et conclut un contrat de sous-traitance. Il fait vérifier si une analyse d’impact est nécessaire. D’ici là, l’équipe s’exerce avec des profils fictifs.
Pourquoi cela fonctionne
Les données de santé augmentent le risque pour les personnes. En les reconnaissant d’abord, tu sais quels accords et quelles vérifications sont nécessaires avant de commencer.
Rends cela un peu plus difficile
Écris deux phrases pour la déclaration de confidentialité qui expliquent comment l’IA est utilisée dans cette application. Sont-elles compréhensibles pour un membre sans connaissances juridiques ?
Entraîne-toi davantage, à ton rythme. Tu n'as rien à envoyer. Cela ne compte pas comme une évaluation automatique.
Ton lieu de travail · apprendre par la pratique
Crée quelque chose. Regarde ce qui change.
Vérification de la connexion IA en cours… Tu peux déjà consulter l'exemple écrit.
Présente ta mission à Ende.
Lis la réponse, change une seule chose et compare.
Version précédente
Nouvelle version
Tu gardes le contrôle
Que veux-tu améliorer dans ta prochaine tentative ?
Uniquement sur cet appareil. Les réponses de l’IA restent uniquement dans la mémoire de cette page. Il s'agit d'un auto-contrôle, pas d'une note.
Pourquoi cette approche fonctionne
Les données de santé augmentent le risque pour les personnes. En les reconnaissant d’abord, tu sais quels accords et quelles vérifications sont nécessaires avant de commencer.
Une étape de plus
Écris deux phrases pour la déclaration de confidentialité qui expliquent comment l’IA est utilisée dans cette application. Sont-elles compréhensibles pour un membre sans connaissances juridiques ?
Essaie & découvre · sans engagement
Mets les étapes dans un ordre opérationnel
Déplace les étapes avec les flèches. Vérifie que chaque étape possède ses entrées et ses contrôles nécessaires.
De quoi une étape dépend-elle ?
- Détermine l'objectif doit précéder Recense les données personnelles nécessaires
- Détermine l'objectif doit précéder Informe les personnes concernées
- Recense les données personnelles nécessaires doit précéder Vérifie la base légale
- Recense les données personnelles nécessaires doit précéder Évalue le risque avec le délégué à la protection des données
- Évalue le risque avec le délégué à la protection des données doit précéder Conclus des accords avec le fournisseur
- Vérifie la base légale doit précéder Commence avec le moins de données possible
- Conclus des accords avec le fournisseur doit précéder Commence avec le moins de données possible
- Informe les personnes concernées doit précéder Commence avec le moins de données possible
Déplace une étape puis vérifie l'ordre. Les flèches fonctionnent également avec ton clavier.
Ce modèle contrôle les dépendances, pas la durée, la capacité ou l'exécution réelle. En cas de multiples agents, la décision humaine reste une étape distincte.
Cet essai fonctionne localement avec des données fictives et ne compte pas pour ta complétion de leçon. Elle recommencera lors d'une nouvelle leçon ou d'un rechargement.
Un prompt pour commencer
Aide-moi à évaluer une application d’IA fictive au regard du RGPD. Idée : faire résumer par un service d’IA externe les questions de clients qui arrivent via un formulaire web, pour qu’un collaborateur puisse répondre plus vite. Pose-moi des questions sur l’objectif, la base juridique, les données nécessaires, la durée de conservation, les accords avec le fournisseur et l’information des clients. Fais ensuite une liste des points en suspens pour notre délégué à la protection des données. Ne donne pas d’avis juridique définitif.
Applique-le
Un collègue veut faire transcrire et résumer des appels clients enregistrés par un nouveau service d’IA. Il n’y a pas de contrat de sous-traitance et les clients ne savent pas qu’ils sont enregistrés.
Quelle approche correspond le mieux à cette situation ?
- Arrête jusqu’à ce que l’objectif, la base légale, l’information des clients et les accords avec le service soient réglés, avec le délégué à la protection des données.
- Continue ; seuls des collaborateurs lisent les résumés.
- Supprime après coup les noms du résumé et continue.
Avec JavaScript, tu peux contrôler ton approche et recevoir un feedback immédiat.
Teste ta compréhension
Tu veux faire résumer des lettres de motivation avec un outil d’IA en ligne gratuit, sans accord avec le fournisseur. Quel est le plus gros problème ?
- Il n’y a pas de problème tant que le résumé est correct.
- Tu partages des données personnelles avec un service sans contrat de sous-traitance et peut-être sans base juridique appropriée.
- Le seul problème est que le résumé pourrait être trop court.
S'entraîner davantage
Choisis une application d’IA de ton travail qui peut toucher des données personnelles. Liste l’objectif, les données, la base juridique, le fournisseur et la durée de conservation, et note ce que tu dois encore vérifier.
Objectif : répondre plus vite aux questions des clients. Données : la question elle-même est nécessaire ; le nom et l’adresse e-mail ne sont pas nécessaires pour le résumé. Base juridique : exécution de la relation client, à confirmer par le délégué à la protection des données. Fournisseur : uniquement avec un contrat de sous-traitance et sans entraînement sur nos données. Durée de conservation : supprimer les résumés après traitement. Point en suspens : faut-il adapter la déclaration de confidentialité ?
