AIPD pour un projet IA : mesurez les risques avant le déploiement

Un assistant qui lit des dossiers médicaux, un outil qui note des salariés, une caméra qui analyse des comportements : certains projets imposent de mesurer les risques pour les personnes avant tout déploiement. Notre accompagnement pour une AIPD pour un projet IA vérifie d'abord si l'analyse est requise, puis la conduit avec votre DPO : description du traitement, nécessité et proportionnalité, risques pour les droits et libertés, mesures de réduction. Vous obtenez un dossier argumenté, daté et réutilisable lors d'un contrôle ou d'un échange avec un client exigeant.

L'analyse d'impact relative à la protection des données, ou AIPD, est exigée quand un traitement présente un risque élevé pour les personnes. Plusieurs critères s'additionnent vite avec l'IA : évaluation ou notation de personnes, données sensibles, grande échelle, personnes vulnérables, usage d'une technologie nouvelle. Les entreprises sollicitent une AIPD pour un projet IA parce que la CNIL publie des listes et des recommandations, que le DPO ne veut pas valider seul un projet incertain, et que les directions préfèrent découvrir un blocage avant le développement qu'après. Le travail change le quotidien du projet : les risques sont nommés (erreur, biais, fuite, détournement), des mesures sont décidées, et un risque résiduel est accepté en connaissance de cause par le responsable de traitement. Chez nos voisins, la logique est proche : l'APD en Belgique, la CNPD au Luxembourg, le PFPDT en Suisse sous la nLPD et, au Québec, l'évaluation des facteurs relatifs à la vie privée prévue par la loi 25. Ce service ne remplace ni votre DPO, qui reste associé, ni un conseil juridique, et il ne vaut pas validation par l'autorité.

• Un test préalable évite de rédiger une analyse d'impact complète là où une simple fiche de registre suffit.
• Les risques sont décrits du point de vue des personnes concernées, pas seulement de celui de l'entreprise.
• Le DPO reste maître du dossier : nous préparons, structurons et rédigeons avec lui, pas à sa place.
• Les risques propres à l'IA sont traités : erreurs du modèle, biais, réutilisation des données, détournement.
• Le dossier prévoit ses conditions de réexamen, par exemple en cas de changement de modèle ou de fournisseur.

• Note de nécessité d'une AIPD
• Dossier d'analyse d'impact complet
• Matrice des risques et mesures associées
• Plan d'action daté avec responsables
• Synthèse d'une page pour la direction

• Notre DPO hésite à valider un projet IA dont les risques ne sont pas formalisés
• Nous ignorons si le projet exige une analyse d'impact ou non
• Le lancement est bloqué faute de dossier à présenter

Entreprise de services de 200 salariés qui veut analyser les échanges de son support client avec l'IA : l'analyse d'impact fixe l'information des clients, la durée de conservation et le contrôle humain des décisions.

Cabinet de recrutement de 35 personnes qui note des candidatures : le dossier détaille les garde-fous contre la discrimination et le contrôle humain prévu avant chaque décision.

Centre de formation de 50 personnes qui suit l'assiduité par vidéo : l'analyse d'impact conduit à renoncer à une fonction jugée disproportionnée.

Public visé

DPO · Directeur juridique · Chef de projet IA · Dirigeant de PME

Tailles d’entreprise

PME · ETI

Secteurs adaptés

Santé · Recrutement et intérim · Formation · Assurance · Collectivités · Services financiers

Prérequis

Description fonctionnelle du projet, même provisoire · Disponibilité du DPO sur quelques séances · Accès aux contrats et à la documentation des fournisseurs impliqués

• Excel
• Word
• Notion
• Miro
• Claude
• Mistral

Souvent, l'analyse faite en amont évite une reprise de conception en cours de route, dont le coût se compte en semaines de développement. L'intérêt dépend de la sensibilité du projet, de l'ordre de plusieurs jours économisés, à valider lors du diagnostic.