Mener une analyse d’impact

Certains usages de l’IA traitent des données personnelles d’une façon qui peut toucher fortement les personnes : données de santé, données de collaborateurs pour une évaluation, traitement à grande échelle. Dans ces cas, la nLPD, à son article 22, et le RGPD, à son article 35, demandent une analyse d’impact relative à la protection des données avant de commencer.

• La description du traitement : finalité, données, personnes concernées, durée de conservation.
• L’évaluation des risques pour la personnalité et les droits fondamentaux des personnes.
• Les mesures prévues pour réduire ces risques.
• La conclusion : le risque résiduel est-il acceptable ?

Pour la description, le dossier de conformité de Learnya vous fournit beaucoup d’éléments : localisation des données et des modèles en Suisse, non-utilisation des contenus pour l’entraînement, contrat de traitement, export libre-service. Les risques et les mesures, eux, dépendent de votre usage.

Si, malgré les mesures, le risque reste élevé, la nLPD prévoit de consulter le Préposé fédéral à la protection des données et à la transparence avant de commencer, à son article 23. Le RGPD prévoit de même la consultation de l’autorité de contrôle. Dans la plupart des cas, de meilleures mesures suffisent à éviter cette étape.