Avocat en protection des données, RGPD, IA et innovation

Quatre situations justifient de consulter lex4u avant d’aller plus loin.

La première est le déploiement d’un outil qui prend ou prépare une décision affectant des personnes. Par exemple: tri de candidatures, évaluation du personnel, octroi de crédit, sélection de clients. Ces usages relèvent des catégories les plus surveillées par le règlement européen sur l’intelligence artificielle.

La deuxième est la signature d’un contrat avec un fournisseur d’IA. Les conditions générales de ces acteurs répartissent la responsabilité, l’usage des données et la propriété des résultats d’une manière qui est rarement favorable. Une relecture attentive s’impose dans ce cas.

La troisième est l’apparition d’un dommage survenu ou potentiel) : une réponse erronée envoyée à un client, une décision automatisée contestée, un contenu généré qui reprend l’œuvre d’un tiers. La question de qui répond de quoi se règle mieux avant qu’après.

La quatrième est le moment où vous cessez d’être simple utilisateur pour devenir fournisseur, en intégrant une IA dans un produit que vous commercialisez ou en la présentant sous votre marque. Vos obligations changent alors de nature au regard du règlement européen.

Lex4u intervient sur ces quatre terrains, avec une double compétence en droit des données et en droit des contrats.

Sécuriser l’usage des données personnelles suppose d’abord de savoir ce que vous traitez. La plupart des entreprises sous-estiment le nombre de traitements qu’elles opèrent, entre le fichier clients, la gestion du personnel, la vidéosurveillance, les outils de prospection et les services externes auxquels elles ont recours.

Nous partons donc d’une cartographie, qui débouche sur le registre des activités de traitement exigé par le RGPD. Pour chaque traitement, nous identifions la base légale, la durée de conservation et les destinataires, ce qui permet de repérer les usages qui ne reposent sur rien de solide.

Vient ensuite la couche contractuelle. Chaque prestataire qui accède à vos données doit être lié par un contrat de sous-traitance conforme à l’article 28 du RGPD. Chaque partage avec un partenaire doit être qualifié, et les transferts hors Union européenne encadrés.

Nous traitons enfin la relation avec les personnes : information claire, procédure de réponse aux demandes d’accès et d’effacement, gestion des refus de prospection.

Lex4u exerce également la fonction de délégué à la protection des données pour plusieurs organisations, ce qui nous permet d’intervenir soit ponctuellement, soit dans la durée.

Une politique interne d’utilisation de l’IA répond à une question simple que vos équipes se posent déjà : qu’ai-je le droit de faire avec ces outils ?

Le livrable comporte généralement trois éléments. Une charte, d’abord, courte et lisible, qui distingue les usages autorisés, les usages soumis à validation et les usages interdits, et qui pose la règle de la relecture humaine avant tout envoi externe. Un dispositif de gouvernance, ensuite, qui désigne qui autorise un nouvel outil, qui tient l’inventaire des systèmes utilisés et qui traite les incidents. Un volet formation, enfin, qui répond à l’obligation de littératie en intelligence artificielle prévue par le règlement européen.

Nous adaptons ce socle à votre organisation. Une entreprise dont les équipes utilisent l’IA pour rédiger des offres commerciales n’a pas les mêmes points de vigilance qu’un cabinet qui traite des données de santé ou qu’un éditeur qui intègre un modèle dans son produit.

L’objectif n’est pas d’interdire. Une politique trop restrictive est contournée dans le mois, ce qui vous laisse avec le risque et sans la visibilité. L’objectif est d’autoriser en connaissance de cause et de manière encadrée.

Une violation de données ouvre un compte à rebours.

Le RGPD impose de notifier l’incident à l’autorité de contrôle dans les meilleurs délais et, si possible, dans les 72 heures suivant la prise de connaissance. Ce délai court à partir du moment où vous avez une certitude raisonnable qu’un incident s’est produit, pas à partir du moment où vous en connaissez toute l’étendue.

Les premières heures servent généralement à trois choses : arrêter l’hémorragie, établir ce qui est sorti et pour combien de personnes, puis qualifier le risque. Toutes les violations ne se notifient pas. Celles qui ne présentent aucun risque pour les personnes restent internes, mais doivent être documentées.

Lorsque le risque est élevé, une seconde obligation s’ajoute : informer les personnes concernées elles-mêmes, avec des exceptions strictement encadrées.

Lex4u intervient dès la détection, aux côtés de votre équipe technique. Nous qualifions l’incident, rédigeons la notification, nous préparons la communication aux personnes et nous constituons le dossier qui servira si l’autorité approfondit ou si une plainte est déposée.

Un numéro de téléphone vaut mieux qu’une procédure jamais testée.

Lorsqu’un collaborateur dépose un document dans un outil d’intelligence artificielle, ce document quitte l’entreprise. Cette évidence technique a des conséquences juridiques que la conformité au RGPD ne couvre pas, parce que l’essentiel de ce qui sort n’est pas constitué de données personnelles.

Un projet de contrat en cours de négociation, une grille tarifaire, un plan de développement, le code source d’une application, une note stratégique : ces informations tirent leur valeur du fait qu’elles restent secrètes. Le droit belge les protège comme secrets d’affaires, mais à une condition qui peut se retourner facilement contre vous : celle d’avoir pris des dispositions raisonnables pour les garder secrètes.

Une entreprise qui laisse ses équipes alimenter librement des outils externes fragilise donc sa propre protection, au moment même où elle en aurait besoin.

Nous traitons ce risque sur trois plans : ce que disent les contrats de vos fournisseurs d’IA quant à la réutilisation de vos contenus, ce que vous avez promis à vos clients dans vos accords de confidentialité, et ce que vos règles internes autorisent en pratique.

Le but reste d’utiliser ces outils, pas de s’en priver.