Gains :
- Évaluer si une utilisation de l’IA nécessite une DPIA
- Application du processus DPIA en sept étapes à un projet d'IA
- Hiérarchiser les risques avec une matrice probabilité-impact et concevoir des mesures d’atténuation
Certains usages de l’IA présentent de sérieux risques pour les individus : surveillance à grande échelle, traitement de données sensibles, décisions automatisées. Dans de tels projets, le KVKK/GDPR et la loi européenne sur l’IA attendent une évaluation structurée des risques avant le début des travaux. Le nom de cette évaluation est Data Protection Impact Assessment (DPIA). Dans cette unité, nous apprendrons comment déterminer si une utilisation nécessite une DPIA, comment appliquer le processus DPIA en sept étapes à un projet d'IA et comment hiérarchiser les risques avec une matrice probabilité-impact.
Qu’est-ce que la DPIA et quand est-elle nécessaire ?
L'évaluation d'impact sur la protection des données (DPIA) est une analyse structurée qui évalue au préalable les risques d'une activité de traitement sur les droits et libertés des personnes et détermine des mesures d'atténuation. Le point critique : l’DPIA est effectuée au stade de la conception, avant le début du traitement, et non après que le problème se soit produit.
L’AIPD est généralement requise lorsque :
- Utilisation des nouvelles technologies (l’IA est souvent incluse).
- Traitement à grande échelle de données personnelles.
- Surveillance ou profilage systématique.
- Traitement de données spécial.
- Des décisions automatisées qui ont un impact significatif sur les gens.
Astuce : si vous n'êtes pas sûr, effectuez un « examen » : si deux ou plusieurs des cinq ci-dessus sont présents, effectuez par défaut une DPIA. Le coût de la DPIA est faible ; Le coût de ne pas le faire est très élevé pour une seule infraction.
Processus DPIA en sept étapes
Vous appliquez la DPIA à un projet d’IA en sept étapes :
étape
Que fais-tu ?
1. Description
Décrire le traitement : quelles données, finalité, portée, flux
2. Nécessité et proportionnalité
L’IA est-elle vraiment nécessaire ? Existe-t-il un moyen moins intrusif ?
3. Avis des parties prenantes
Obtenir l’avis des personnes/représentants concernés
4. Identification des risques
Énumérer les préjudices possibles aux individus
5. Évaluation des risques
Notez chaque risque par probabilité et impact
6. Mesures d'atténuation
Concevoir des précautions pour chaque risque, identifier le risque résiduel
7. Approbation et examen
Documenter le résultat, le soumettre pour approbation, le mettre à jour périodiquement
Hiérarchisation des risques : matrice probabilité-impact
Vous évaluez chaque risque selon deux dimensions : la probabilité qu'il se produise et l'impact s'il se produit. La combinaison des deux donne la priorité.
<w:tcPr><w:tcW w:type="dxa" w:w="2160"/></w:tcPr><w:p><w:r><w:rPr><w:b/></w:rPr><w:t>Faible impact
effet moyen
impact élevé
forte probabilité
moyen
haut
critique
probabilité moyenne
faible
moyen
haut
faible probabilité
faible
faible
moyen
Les risques critiques et élevés sont des risques pour lesquels le projet ne doit pas être poursuivi sans prendre des précautions. L’objectif n’est pas d’éliminer tous les risques ; est de réduire chaque risque à un niveau acceptable et d’accepter consciemment le risque (résiduel) restant.
trois mini-cases
Cas 1 — DPIA omise. Une chaîne de vente au détail met en œuvre un système qui suit le comportement des clients en magasin avec l'IA, sans DPIA. Des mois plus tard, une plainte révèle que le système a fait des déductions spécifiques (santé, prédiction de grossesse). Il n’y a pas de réponse à la question « pourquoi n’avez-vous pas procédé à une DPIA » dans l’audit. Une DPIA dès le début aurait détecté ce risque dès la phase de conception et aurait sécurisé le projet.
Cas 2 — Projet sauvé par DPIA. La DPIA est réalisée pour l'IA d'assistance au recrutement dans une banque. Lors de la phase d’identification des risques, le risque de préjugés sexistes dus aux données historiques s’avère « élevé ». À titre d'atténuation, l'équipe supprime les informations sur le genre du modèle, attribue le résultat à des tests de biais réguliers et exige une validation humaine. Désormais, le risque passe à « modéré » et le projet devient acceptable. DPIA sécurise le projet au lieu de le tuer.
Cas 3 — Test de proportionnalité. Une entreprise souhaite analyser les e-mails des employés pour une « analyse de fidélité » avec l’IA. Dans l’étape de nécessité/proportionnalité de l’AIPD, cela s’avère trop intrusif par rapport à l’objectif visé ; Il existe des alternatives moins intrusives. Le projet n'est pas approuvé sous sa forme actuelle. Le test de proportionnalité fait la distinction entre « nous pouvons » et « nous devons ».
Attention : DPIA n’est pas un formulaire qui se remplit une seule fois et est mis de côté. Lors de modifications du traitement (nouvelles données, nouvelle finalité, nouvel outil), la DPIA doit être mise à jour. Une DPIA morte est plus trompeuse que l’absence d’une DPIA du tout, car elle donne une fausse confiance.
Qui s'occupe de la DPIA et enregistre les risques en relation avec la DPIA
Une seule personne ne peut pas remplir le DPIA à son bureau ; Une DPIA correcte est un effort d’équipe. En règle générale, le délégué à la protection des données exécute le processus (Doer), le responsable de la conformité est le responsable ultime (Accountable), l'unité commerciale concernée décrit le traitement, évalue les mesures techniques informatiques/de sécurité et confirme la base juridique. L’obtention de l’avis des personnes concernées (troisième étape) ne doit pas être négligée ; Cependant, c’est l’étape la plus ignorée dans la pratique.
Les résultats de la DPIA ne restent pas isolés : les risques identifiés sont enregistrés dans le registre des risques de l'organisation. Le registre des risques est un graphique en direct qui capture tous les risques ouverts, leurs priorités, leurs atténuations, leurs coupables et les dates du dernier examen. De cette façon, les risques d'un projet d'IA parlent le même langage que la gestion globale des risques de l'organisation et sont surveillés régulièrement.
Espace registre des risques
exemple
Définition du risque
Préjugés sexistes dans l’IA de recrutement
priorité
haut
Mesure d'atténuation
Extraction de variables de substitution + tests de biais
Responsable
Délégué à la protection des données
examen
tous les 3 mois
Conseil : Traitez la DPIA avec une mentalité de « journalisation et suivi des risques », et non avec une approche « fait et oublié ». Une atténuation des risques a-t-elle été mise en œuvre, le risque résiduel est-il à un niveau acceptable ? Sans enregistrement de ceux-ci, la DPIA devient un document fenêtre.
Modèles copiables
MODÈLE 1 – Pré-sélection DPIA : « Une DPIA est-elle requise pour cette utilisation de l'IA ? [décrire l'utilisation]. Évaluez par rapport à cinq déclencheurs : nouvelle technologie, traitement à grande échelle, surveillance systématique, données sensibles, prise de décision automatisée importante. Combien de déclencheurs y a-t-il, recommandez-vous une DPIA, avec justification ? »
MODÈLE 2 — Brainstorming sur l'identification des risques : « Énumérez les préjudices possibles aux personnes impliquées dans ce projet d'IA [décrivez le projet] : fuite de données, discrimination, jugement erroné, atteinte à la vie privée, manque de transparence, dérive des objectifs. Écrivez un scénario d'une phrase pour chaque préjudice. Détectez simplement, mais ne neutralisez pas. »
MODÈLE 3 — Notation de la probabilité et de l'impact : "Notez les risques suivants [lister les risques] en tant que probabilité (faible/moyenne/élevée) et impact (faible/moyen/élevé) ; la priorité (faible/moyenne/élevée/critique) apparaît sur chaque ligne. Liste critique et élevée en haut. Présentée sous forme de tableau."
MODÈLE 4 — Conception d'atténuation : "Pour le risque suivant [écrire le risque], proposez au moins 3 mesures d'atténuation (techniques, de processus, organisationnelles). Estimez le niveau de « risque résiduel » après chaque mesure. Si le risque est toujours élevé après la mesure, indiquez que le projet doit être repensé. »
Invite faible/Invite forte
FAIBLE : « Ce projet d’IA est-il risqué ? » -> Le modèle donne une vague réponse « peut-être » ; ne classe pas les risques, ne hiérarchise pas les risques, ne produit pas de mesures. FORT : « Mener une mini AIPD pour le projet d'IA suivant : (1) décrire le traitement, (2) évaluer la nécessité d'une AIPD avec 5 déclencheurs, (3) lister 6 préjudices possibles aux personnes, (4) noter chacun par probabilité d'impact, (5) recommander des mesures d'atténuation pour les risques critiques/élevés. une DPIA exploitable.
Erreurs courantes
- Effectuer la DPIA après le début de la transaction (ou même après que le problème soit survenu).
- Ignorer les traitements à haut risque nécessitant une DPIA n’est « pas grave ».
- Ne pas répertorier les risques et les hiérarchiser par probabilité et impact.
- Considérer l’AIPD comme « complète » sans produire de mesures pour chaque risque.
- Sauter l'étape de nécessité/proportionnalité et dire « nous pouvons le faire, alors faisons-le ».
- Remplir la DPIA une seule fois et ne pas la mettre à jour lorsque le processus change.
- Approuver le projet sans documenter clairement le risque résiduel (restant).
En résumé
- La DPIA est une analyse structurée qui évalue l’impact d’un traitement à haut risque sur les individus avant qu’il ne soit lancé.
- L’AIPD est requise en cas de nouvelle technologie, de traitement à grande échelle, de surveillance systématique, de données sensibles ou de prise de décision automatisée importante.
- Le processus comprend sept étapes : identification, nécessité/proportionnalité, opinion des parties prenantes, identification des risques, évaluation, action, approbation/examen.
- Les risques sont hiérarchisés avec une matrice probabilité-impact ; Les risques critiques/élevés ne sont pas acceptés sans précautions.
- La DPIA ne tue pas le projet, elle le sécurise ; Il s’agit d’un document évolutif qui doit être mis à jour au fur et à mesure des changements de traitement.
Tâche de candidature
Choisissez une utilisation de l’IA que votre organisation pourrait utiliser et qui pourrait présenter un risque élevé (par exemple, assistance au recrutement, suivi comportemental ou évaluation du crédit). Déterminez d’abord si l’AIPD est nécessaire avec cinq déclencheurs. Réalisez ensuite une mini DPIA pour cette utilisation : décrivez le traitement, énumérez au moins six préjudices possibles pour les individus, notez chacun sur la matrice probabilité-impact et attribuez une priorité. Concevoir trois mesures d'atténuation pour deux risques critiques et élevés et estimer le niveau de risque résiduel après la mesure. Enfin, notez quand cette DPIA devra être mise à jour.
liste de contrôle
- [ ] J'ai évalué l'exigence DPIA avec cinq déclencheurs.
- [ ] J'ai défini le traitement (données, finalité, portée, flux).
- [ ] J'ai remis en question la nécessité et la proportionnalité.
- [ ] J'ai énuméré les préjudices possibles aux individus.
- [ ] J'ai hiérarchisé les risques dans la matrice probabilité-impact.
- [ ] J'ai conçu des mesures d'atténuation pour les risques critiques/élevés.
- [ ] J'ai maintenant documenté le risque et fixé les conditions d'examen.