Lorsqu'une tâche passe d'un humain à un système, ce n'est souvent pas seulement la personne qui exécute le travail qui change, mais aussi la manière dont les données personnelles sont traitées. Un collaborateur qui évalue une demande de client lit des données, les pèse et décide. Un système qui reprend la même tâche traite ces données d'une autre manière : de façon structurée, reproductible, parfois avec un stockage ou une transmission qui n'existait pas auparavant. Le RGPD s'intéresse au traitement, pas à la question de savoir si une tâche paraît « automatisée ». Cela fait de l'automatisation, dans son essence, un événement relevant du droit de la protection des données, même si le résultat semble identique pour le client.
Cela se joue à tout niveau d'automatisation, d'un simple script à un système d'IA qui tire ses propres conclusions. L'évaluation de l'aptitude d'une tâche à l'IA doit donc aussi porter sur les données concernées et sur la question de savoir si leur traitement reste compatible avec la finalité pour laquelle les données ont été collectées à l'origine. La manière dont nous évaluons une tâche accorde pour cette raison une attention particulière à la nature du traitement des données, en plus de la question de savoir si la tâche elle-même est adaptée à un transfert vers un système.
Trois éléments évoluent généralement lorsqu'une tâche est automatisée :
Aucun de ces changements ne constitue en soi un problème. Ils sont toutefois l'occasion de réexaminer le traitement, plutôt que de supposer qu'une base légale existante s'applique automatiquement à la nouvelle façon de travailler.
Tout traitement de données personnelles nécessite une base légale, par exemple le consentement, un contrat, une obligation légale ou un intérêt légitime. Cette base légale est liée à un traitement tel qu'il a été conçu et évalué à l'époque. Si le traitement change fondamentalement, la base légale d'origine peut ne plus être suffisante.
Cela se produit plus souvent qu'il n'y paraît. Un intérêt légitime évalué pour un traitement manuel ne reste pas automatiquement valable si le volume, la vitesse ou la portée du traitement augmentent fortement du fait de l'automatisation. Un consentement demandé pour une finalité spécifique ne couvre pas une seconde finalité qui s'ajoute via une application d'IA. Et pour la prise de décision automatisée ayant des effets juridiques sur les personnes concernées, des conditions supplémentaires s'appliquent, indépendamment de la base légale par ailleurs applicable.
Qu'une tâche relève de la catégorie un, deux ou trois — l'IA peut la reprendre entièrement, l'IA peut en faire une partie sous surveillance, ou elle reste un travail humain — ne dit donc encore rien sur la question de savoir si le traitement de données sous-jacent est couvert. Il s'agit de deux évaluations distinctes, mais liées entre elles : une tâche qui reste en catégorie deux ou trois en raison de risques liés aux données le fait souvent précisément parce que la base légale ou l'impact sur les personnes concernées n'a pas encore été examiné.
Le RGPD lui-même, les explications de l'Autorité de protection des données et les lignes directrices des autorités européennes de contrôle sont les sources où figurent les exigences actuelles, y compris d'éventuelles règles particulières pour les applications d'IA susceptibles d'évoluer après la publication de cette page. Nous ne mentionnons ici volontairement aucun numéro d'article ni aucun délai : ceux-ci peuvent changer et relèvent du texte source, pas d'un aperçu qui pourrait ne plus être à jour au moment de votre lecture.
Cette page décrit le mécanisme, pas un conseil sur mesure. Savoir si une automatisation spécifique nécessite une nouvelle base légale, justifie une analyse d'impact relative à la protection des données (AIPD) ou touche à la prise de décision automatisée est une question juridique qui doit être tranchée au cas par cas, généralement avec un juriste ou un délégué à la protection des données.
Lorsque l'automatisation touche une tâche exécutée par plusieurs personnes, la question de la protection des données n'est généralement pas la seule en jeu. La représentation du personnel peut également entrer en ligne de compte : quand le comité d'entreprise doit intervenir explique dans quels cas un accord ou un avis est nécessaire lorsque les processus de travail changent. Les deux démarches — évaluation en matière de protection des données et représentation du personnel — se déroulent en parallèle et ne se substituent pas l'une à l'autre.
Cette page décrit ce qui change dans le traitement au regard du RGPD lors d'une automatisation ; elle ne répond pas à la question de savoir si vos propres tâches sont juridiquement couvertes ou adaptées à un transfert vers l'IA. Pour une première indication, sans engagement, de la part des heures de votre profil qui peut aujourd'hui être reprise par l'IA, vous pouvez remplir le quickscan gratuit de ftetoai : douze questions, sans compte. Le scan porte sur le contenu de la tâche, pas sur le traitement des données qui l'entoure — cette évaluation reste nécessaire séparément. Le scan de travail complet, qui approfondit les processus individuels, est encore en cours de développement.
Vraag maar. Ik ken de kennisbank van deze site; wat ik niet weet, zeg ik erbij.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.