Lecture rapide
Ce qu’il faut retenir
- Décrire la finalité avant de collecter ou transférer des données.
- Limiter les données au strict nécessaire pour le test puis la production.
- Vérifier le rôle du fournisseur, l'hébergement et la réutilisation éventuelle.
- Prévoir l'information, les droits et une supervision humaine réelle.
Commencer par la finalité et les personnes concernées
Écrivez ce que le système doit accomplir et ce qui sera fait de son résultat. Identifiez les clients, salariés, candidats ou partenaires concernés. Une finalité précise permet ensuite de vérifier la base juridique, la proportionnalité et la durée de conservation.
Évitez les formulations générales comme améliorer l'efficacité. Décrivez l'action : classer une demande, extraire une information ou proposer un brouillon soumis à validation.
Cartographier les données et les destinataires
Listez les données envoyées au système, les métadonnées générées, les journaux conservés et les personnes qui consultent les résultats. Vérifiez si des données sensibles, des mineurs ou des informations très confidentielles peuvent apparaître dans les cas réels.
Le fournisseur doit préciser l'hébergement, les sous-traitants, les transferts, la durée de conservation et l'usage éventuel des données pour améliorer ses modèles. Les paramètres d'un outil grand public ne remplacent pas un accord contractuel.
- Entrées envoyées et sorties produites.
- Journaux, historiques et sauvegardes.
- Pays d'hébergement et sous-traitants.
- Réutilisation pour l'entraînement ou l'amélioration.
- Procédure de suppression et de restitution.
Évaluer l'effet sur les personnes
Plus le résultat influence une personne, plus le niveau de contrôle doit être élevé. Une recommandation sur un recrutement, un prix, un accès ou une performance ne se traite pas comme un résumé documentaire. Examinez les erreurs possibles, leur gravité et la capacité à contester le résultat.
La validation humaine doit disposer du temps, de l'information et du pouvoir nécessaires pour modifier la proposition. Un clic automatique de confirmation ne constitue pas une supervision réelle.
Documenter et réévaluer
Conservez la description du système, les données, les tests, les responsabilités et les incidents. Selon le risque, une analyse d'impact peut être nécessaire. Associez tôt la personne responsable de la protection des données ou le conseil habituel de l'entreprise.
Réévaluez le dispositif lorsque le fournisseur, le modèle, les sources ou la finalité changent. Une conformité examinée au prototype ne couvre pas automatiquement toutes les extensions.
Questions fréquentes
Questions fréquentes
Peut-on tester avec de vraies données ?
Il faut d'abord vérifier la nécessité, la base juridique, la sécurité et les engagements du fournisseur. Des données fictives ou minimisées sont souvent préférables pour un premier test.
Un outil européen suffit-il à garantir la conformité ?
Non. La localisation est un élément parmi d'autres. La finalité, les données, les droits, le contrat, la sécurité et l'usage réel restent à examiner.
Qui doit participer au cadrage ?
Le métier, l'informatique, la sécurité et la personne chargée de la protection des données doivent intervenir selon le niveau de risque. Un avis juridique peut être nécessaire.