Questions fréquentes
Un système d'IA tombe-t-il toujours dans le champ de l'article 35 ?
Dans la quasi-totalité des cas, oui. Les systèmes d'IA combinent presque toujours plusieurs des 9 critères du CEPD — profilage à grande échelle, décision automatisée à effet juridique, usage innovant de la technologie — ce qui suffit à déclencher l'obligation d'AIPD.
Quels risques spécifiques une AIPD doit-elle documenter pour un système d'IA ?
Au-delà des risques classiques, il faut documenter les biais discriminatoires, l'opacité des décisions (droit à l'explication, article 22 RGPD), le risque de réidentification par le modèle, et la dérive de performance dans le temps.
Faut-il une analyse distincte pour l'AI Act en plus de l'AIPD ?
Pour les systèmes d'IA classés « haut risque » par l'AI Act (annexe III), une analyse d'impact sur les droits fondamentaux (FRIA, article 27 de l'AI Act) est exigée en complément de l'AIPD RGPD. En pratique, les deux analyses peuvent être fusionnées dans un document unique.
Comment vérifier les garanties du fournisseur du modèle d'IA ou du cloud MLOps ?
Un scan RGPD des documents publics du fournisseur (politique de confidentialité, DPA, documentation de sécurité) permet d'obtenir un score RGPD indépendant à intégrer dans l'AIPD, en complément des engagements contractuels.