Le logiciel est acheté, il ne manquerait que l’analyse d’impact
Imaginons une entreprise qui vient de sélectionner un outil de tri des candidatures. La démonstration a convaincu les ressources humaines, le budget est engagé et le lancement approche. Le juridique reçoit alors cette demande : « Il nous manque seulement l’analyse d’impact. »
Le mot « seulement » résume le problème. Peut-on encore réduire les données transmises, désactiver un classement contestable ou changer de fournisseur ? Si toutes les décisions sont déjà irréversibles, l’analyse risque de justifier un achat plutôt que d’éclairer son opportunité.
L’enjeu n’est pourtant pas d’ajouter un document au dossier. C’est de vérifier ce que le traitement pourrait faire subir aux candidats, salariés ou clients, puis d’agir avant que ces risques se réalisent.
Quand une AIPD devient-elle obligatoire pour l’IA ?
Le RGPD, article 35 impose une analyse avant le traitement lorsque sa nature, sa portée, son contexte et ses finalités rendent probable un risque élevé pour les droits et libertés des personnes. En France, la Loi Informatique et Libertés, article 62 renvoie expressément à cette obligation.
Il faut donc examiner l’usage réel, pas seulement l’étiquette « IA » du logiciel.
La CNIL, liste des traitements pour lesquels une AIPD est requise vise notamment le profilage à des fins de gestion des ressources humaines, avec l’exemple des algorithmes de sélection pour le recrutement. La CNIL, liste des traitements pour lesquels une AIPD n’est pas requise prévoit certaines dispenses encadrées, mais pas une exemption générale pour les petites entreprises : le profilage est notamment exclu de la dispense concernant certaines opérations ordinaires de gestion du personnel.
Hors des cas directement identifiés, les G29, lignes directrices WP248 rév.01 proposent neuf critères : évaluation ou notation, décisions automatisées significatives, surveillance systématique, données sensibles ou hautement personnelles, grande échelle, croisement de fichiers, personnes vulnérables, usage innovant et obstacles à l’exercice d’un droit ou à l’accès à un service.
Deux critères orientent généralement vers une AIPD ; un seul peut suffire. Ce n’est pas un calcul mécanique. Hors obligation spécifique, une conclusion contraire doit être motivée et documentée.
Autre nuance importante : la CNIL, « IA : Réaliser une analyse d’impact si nécessaire » précise que toute technique d’IA ne constitue pas automatiquement un usage innovant. Un outil ne devient pas juridiquement « innovant » au seul motif que l’entreprise l’utilise pour la première fois.
Ce que l’analyse doit changer concrètement
Revenons au logiciel de recrutement. Les questions utiles ne concernent pas seulement sa rapidité : un critère peut-il défavoriser certains candidats ? Les CV restent-ils accessibles trop longtemps ? Le fournisseur peut-il les réutiliser pour entraîner ses modèles ? Un recruteur peut-il réellement revenir sur une recommandation ?
L’article 35, paragraphe 7, exige une description du traitement et de ses finalités, un examen de sa nécessité et de sa proportionnalité, une évaluation des risques pour les personnes et des mesures pour y répondre.
Voici trois applications possibles, à adapter au dossier :
| Usage envisagé | Risque à examiner | Décision que l’analyse peut éclairer |
|---|---|---|
| Classement de candidatures | Un profil est injustement dévalorisé ou écarté | Limiter les critères, tester les erreurs et prévoir un réexamen réel |
| Transcription des réunions | Des échanges personnels sont conservés, diffusés ou réutilisés au-delà du besoin | Réduire la conservation, limiter les accès et encadrer les réutilisations |
| Prospection enrichie par des données externes | Des profils sont construits à partir d’informations excessives ou inexactes | Restreindre les sources, vérifier leur licéité et permettre la correction |
Une AIPD utile débouche ainsi sur des paramètres, des engagements contractuels et des responsabilités identifiables, plutôt que sur la seule affirmation que « le risque est maîtrisé ».
Le fournisseur peut aider, pas remplacer l’analyse du client
Le responsable du traitement, c’est-à-dire l’organisme qui détermine les finalités et les moyens du traitement, porte l’analyse. Il demande conseil au délégué à la protection des données lorsqu’il en a désigné un, conformément à l’article 35, paragraphe 2.
Le RGPD, article 28, paragraphe 3, point f) impose au sous-traitant de l’assister, compte tenu du traitement et des informations dont il dispose. Cela justifie de demander des informations précises sur la conservation, les accès, les mesures de sécurité et l’éventuelle réutilisation des données.
Une analyse fournie par l’éditeur peut être utile. Elle ne décrit pas nécessairement les données, les utilisateurs et les décisions propres au déploiement du client. La fiche IA de la CNIL distingue justement l’analyse du développement de celle de l’usage opérationnel.
Un dossier complet n’est pas un permis de déployer
Le RGPD, article 36 impose une consultation préalable de l’autorité de contrôle lorsque le risque résiduel demeure élevé et ne peut être suffisamment atténué. La consultation n’est pas une formalité imposée pour chaque AIPD, mais l’entreprise ne peut pas simplement accepter ce risque comme un risque commercial ordinaire.
L’analyse doit aussi être réexaminée au moins lorsque le risque change, selon l’article 35, paragraphe 11. Un assistant qui résume les réunions, puis sert à noter les salariés, ne correspond plus nécessairement au traitement initialement évalué.
L’absence d’AIPD obligatoire expose au plafond prévu par le RGPD, article 83, paragraphe 4 : jusqu’à 10 millions d’euros ou, pour une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Ce plafond n’est pas une amende automatique.
Garde-fou réel ou contrainte de plus ?
Une analyse écrite ne bloque pas une fuite et ne corrige pas un algorithme. Les protections effectivement mises en œuvre le font. L’AIPD a néanmoins une fonction précise : obliger à examiner la nécessité du traitement, ses conséquences et les moyens de réduire les risques avant son lancement.
Sa limite apparaît lorsqu’elle est déconnectée de l’achat, du paramétrage et des décisions métiers. Sa valeur apparaît lorsqu’elle permet encore de modifier un usage, d’exiger une garantie ou d’abandonner une fonctionnalité.
Pour la direction juridique, le bon indicateur n’est donc pas le nombre d’AIPD rédigées, mais les décisions qu’elles ont permis d’éclairer et les protections réellement appliquées.
Toute utilisation d’IA impose-t-elle une AIPD ?
Non. L’obligation dépend du risque élevé du traitement de données personnelles, des cas prévus à l’article 35 et des listes de l’autorité compétente, pas du seul recours à l’IA.
Un document fourni par l’éditeur suffit-il ?
Pas nécessairement. Il faut vérifier qu’il couvre le traitement réellement déployé, ses finalités, les personnes concernées et les garanties appliquées par l’entreprise.
Faut-il toujours envoyer l’AIPD à la CNIL ?
Non. La consultation préalable prévue par l’article 36 concerne notamment le risque élevé qui demeure malgré les mesures envisagées. Réaliser l’analyse et consulter l’autorité sont deux obligations distinctes.
Une AIPD peut-elle sécuriser un outil déjà utilisé ?
Elle peut contribuer à identifier et corriger les risques, mais elle n’efface pas rétroactivement l’absence d’analyse préalable lorsqu’elle était obligatoire. L’usage doit être réexaminé et adapté selon les risques constatés.
L’AIPD garantit-elle la conformité du projet ?
Non. Elle n’écarte ni les autres obligations du RGPD ni les règles applicables au recrutement, au travail ou à l’IA. Son utilité dépend des mesures qu’elle conduit effectivement à appliquer.