AIPD (analyse d’impact relative à la protection des données)

AIPD (analyse d’impact relative à la protection des données) : les enjeux pour la PME

L’article 35 du RGPD impose l’AIPD lorsqu’un traitement, notamment s’il recourt à de nouvelles technologies, présente un risque élevé pour les droits et libertés des personnes. Selon la CNIL, elle est obligatoire dans deux situations : le traitement figure sur la liste qu’elle a adoptée en 2018, ou il remplit au moins deux des neuf critères du G29, parmi lesquels l’évaluation ou le scoring, la surveillance systématique, les données sensibles, la collecte à grande échelle, le croisement de données, les personnes vulnérables et l’usage innovant.

La liste de la CNIL compte 14 types de traitements. Plusieurs touchent directement les PME qui adoptent l’IA : le profilage des salariés en ressources humaines, dont le recrutement algorithmique et la prédiction des départs, et la surveillance systématique de l’activité des employés. L’article 35 vise aussi l’évaluation automatisée produisant des effets juridiques, le traitement à grande échelle de données sensibles et la surveillance à grande échelle d’une zone publique. Pour un projet d’outil d’IA qui note, trie ou surveille des personnes, la question se pose donc dès le cadrage.

L’AIPD se mène avant la mise en œuvre et se met à jour pendant toute la vie du traitement. Le responsable de traitement la réalise, le DPO donne son avis s’il en existe un, et le sous-traitant fournit les informations utiles. Elle contient au minimum la description du traitement, l’évaluation de sa nécessité et de sa proportionnalité, celle des risques et les mesures prévues. La CNIL doit être consultée seulement si le risque résiduel reste élevé. La méthode de la CNIL suit quatre étapes : contextualiser, analyser les mesures de conformité, apprécier les risques, formaliser la validation. Son logiciel PIA, publié sous licence libre, guide la démarche pas à pas.

Ne pas faire d’AIPD quand elle est requise relève, selon la CNIL, des manquements passibles d’une amende pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial. Cette fiche est une information générale, à compléter par l’avis d’un conseil.

Pour un projet qui fait appel à l’IA, notre outil Faut-il une AIPD ? indique en quelques questions si l’analyse d’impact s’impose.

Exemple

Une entreprise de logistique de 120 salariés reçoit 900 candidatures par an et envisage un outil d’IA qui classe les CV. Le recrutement algorithmique figure sur la liste de la CNIL : l’AIPD est requise. Menée en trois semaines avec les RH, le prestataire et un représentant du personnel, elle identifie 7 risques, dont un biais contre les parcours atypiques. Cinq mesures sont retenues, parmi lesquelles la relecture humaine de 100 % des candidatures écartées et une durée de conservation de 6 mois pour les profils non retenus.