Gains :
- Distinguer six bases juridiques pour le traitement des données avec l'IA et choisir la bonne
- Évaluer les conditions du consentement explicite et les inconvénients de s'appuyer sur le consentement
- Rédaction d'un livre blanc sur l'utilisation de l'IA
Dans l’unité précédente, nous avons dit : « La saisie de données dans l’IA est un traitement et nécessite une base juridique valide. » Alors quelle est cette base juridique et comment est-elle choisie ? L’erreur la plus courante des responsables de la conformité est d’essayer de tout résoudre avec un « consentement explicite ». Cependant, le consentement constitue souvent la base la plus faible et la plus fragile. Dans cette unité, nous apprendrons la base juridique proposée par le KVKK, en choisissant la bonne parmi elles, l'obligation d'information et la place réelle du consentement explicite dans le cadre de l'utilisation de l'IA.
Quelle est la base juridique ?
La base juridique (condition du traitement) est la justification qui rend le traitement des données personnelles licite. Selon KVKK, les données personnelles sont généralement traitées avec un consentement explicite ; Cependant, la loi énumère six exceptions pour lesquelles un consentement exprès n'est pas requis. Une transaction doit reposer sur au moins une de ces bases. Le traitement sans justification est illégal.
Base juridique
brièvement
Exemple d'utilisation de l'IA
Pas clairement prévu dans la loi
Si la législation l'exige
Dossier dont la conservation est légalement requise
Exécution du contrat
Si c'est obligatoire pour le contrat
Préparer le récapitulatif de commande au client avec l'IA
obligation légale
Pour le devoir légal de l'institution
Production des dossiers fiscaux/audit
publication
Si la personne a elle-même rendu les données publiques
Analyser son écriture publique
intérêt légitime
Sans nuire à la personne concernée
Analyse thématique des textes de réclamation avec l'IA
Constitution/protection d’un droit
Pour procès/droit de défense
Résumer le dossier litigieux avec AI
Consentement explicite
Consentement libre et éclairé de la personne
Si aucune des réponses ci-dessus ne s'applique
Attention : Le consentement explicite arrive en fin de liste car c'est le fondement le plus fragile : une personne peut se retirer à tout moment, et une fois retiré, le traitement doit être arrêté. Si possible, l'un des autres fondements (notamment l'exécution du contrat ou l'intérêt légitime) est évalué en premier.
Équilibre des intérêts légitimes
L'intérêt légitime est une base flexible qui peut être utilisée si l'institution a un intérêt raisonnable et que cet intérêt ne porte pas atteinte aux droits et libertés de la personne concernée. Mais cela nécessite une mise en balance : l’intérêt de l’institution ou le droit de l’individu prévalent-ils ? Dans l'utilisation de l'IA, ces tests sont effectués comme ceci :
- L’intérêt est-il réel et légitime ? (Par exemple, résoudre rapidement les plaintes.)
- Le recours à l’IA est-il nécessaire pour obtenir cet avantage ? Existe-t-il un moyen moins intrusif ?
- Les droits de la personne sont-ils violés ? En cas de données sensibles, de profilage ou d’utilisation inattendue, la balance penche en faveur de l’individu.
L’intérêt légitime ne peut être invoqué si la balance penche en faveur de l’individu ; une autre base (généralement un consentement explicite) ou un refus du traitement est requis.
trois mini-cases
Cas 1 – Piège à consentement. Une équipe RH recueille le « consentement explicite » des employés pour analyser les évaluations de leurs performances avec l'IA. Cependant, il existe un déséquilibre de pouvoir entre l’employé et l’employeur ; Le résultat d’un refus est incertain, le consentement ne peut donc pas être considéré comme libre. La bonne voie : fonder ce traitement non sur le consentement mais sur des intérêts légitimes découlant de la relation commerciale ou du contrat et documenter la mise en balance.
Cas 2 — Base correcte, consentement inutile. Une entreprise de e-commerce génère des relevés de facture avec l’IA lors de la préparation de la commande. Ce traitement entre directement dans le cadre de l'exécution du contrat ; Il n'est pas nécessaire d'obtenir un consentement supplémentaire. L'équipe ajoute une case de consentement inutile, le client abandonne la transaction. Choisir la bonne base améliore à la fois le droit et l’expérience client.
Cas 3 — Le test de l'équilibre est en faveur de la personne. Une entreprise souhaite « analyser la personnalité » et évaluer les profils des candidats sur les réseaux sociaux grâce à l'IA. Il s’agit d’une procédure à laquelle le candidat ne s’attend pas et qui touche profondément sa vie privée ; Le test de la balance se termine clairement en votre faveur. L’intérêt légitime ne peut être utilisé ; L'entreprise abandonne cette pratique.
Quatre conditions pour un consentement exprès valide
Si le consentement explicite est vraiment nécessaire, il doit remplir les quatre conditions pour être valide ; S’il en manque, le consentement est juridiquement invalide :
- Concernant un sujet précis : Le consentement général tel que « J'accepte tout traitement » n'est pas valide ; Le consentement doit être spécifique à des fins individuelles.
- Basé sur l’information : la personne doit savoir clairement à quoi elle consent (quelles données, quelle finalité, quelle IA, transfert à l’étranger).
- Expliqué par le libre arbitre : le consentement n'est pas considéré comme libre s'il existe une pression, une imposition ou une condition « pas de service si vous ne consentez pas ».
- Révocable : La personne doit pouvoir retirer son consentement à tout moment et le traitement doit cesser lorsqu'elle le retire.
Dans le contexte de l’IA, la condition la plus fréquemment rompue est cette dernière : la personne n’est pas informée que ses données seront saisies dans une IA et éventuellement traitées à l’étranger. Cette omission peut invalider même un consentement qui semble techniquement avoir été obtenu.
Attention : Faire du consentement une condition préalable à un service (« acceptez ou vous ne pouvez pas continuer ») invalide le consentement dans la plupart des cas. Le consentement devrait être un choix où la personne peut réellement dire « non » ; Dans le cas contraire, il faudra chercher une autre base juridique.
Obligation d'informer
Quelle que soit la base juridique, KVKK impose une obligation d'information : la personne concernée doit être clairement expliquée qui vous êtes, dans quel but et sur quelle base vous traitez les données, à qui vous les transférez et quels sont ses droits. Lorsque l’IA entre en jeu, le texte de divulgation devrait également être mis à jour – en particulier, les expressions « vos données peuvent être analysées par des systèmes automatisés/intelligence artificielle » et « peuvent être transférées vers des serveurs étrangers » devraient être ajoutées.
Indice : « Une personne peut-elle lire le texte de clarification en 2 minutes et comprendre de quoi il s'agit ? réussir le test. Énoncer l’utilisation de l’IA dans une phrase simple, plutôt que de la cacher, est à la fois une obligation légale et un gage de confiance.
Modèles copiables
MODÈLE 1 - Sélection de la base juridique : "J'effectuerai le traitement suivant : [décrire le traitement]. Énumérez lesquelles des 6 bases juridiques de KVKK peuvent être APPROPRIÉES et lesquelles ne le sont PAS, avec justification. Envisagez le consentement explicite uniquement en dernier recours. Prise de décision juridique finale ; énumérez les options à soumettre à l'approbation légale. "
MODÈLE 2 — Test de mise en balance des intérêts légitimes : « Rédigez le test de mise en balance des intérêts légitimes pour l'utilisation suivante de l'IA : [décrire l'utilisation]. Trois rubriques : (1) l'intérêt de l'organisation est-il réel, (2) existe-t-il des alternatives moins intrusives, (3) les droits de l'individu sont-ils lésés ? Écrivez des arguments pour/contre distincts sous chaque rubrique.
MODÈLE 3 — Ajout de l'IA au texte de clarification : « Suggérer un paragraphe reflétant l'utilisation de l'IA dans notre texte de clarification actuel. Indiquer en langage clair : que les données peuvent être analysées par des systèmes automatiques/IA, la possibilité de transfert à l'étranger, que le contrôle humain est préservé et le droit d'opposition de la personne concernée. Maximum 120 mots. »
MODÈLE 4 — Vérification de l'exigence de consentement : « Évaluez ces 5 processus un par un et indiquez pour chacun si « le consentement explicite est REQUIS » ou « une autre base est suffisante » : [Liste 5 processus]. Rappelez à chaque ligne l'inconvénient d'une collecte de consentement inutile.
Invite faible/Invite forte
FAIBLE : « Écrivez un texte de consentement pour ce traitement de données. » -> Peut-être enferme-t-il l'institution dans un consentement inutile ou invalide, sans se demander si le consentement est la base correcte. FORT : "Évaluez d'abord quelle base juridique est appropriée pour ce traitement ; le consentement est-il vraiment nécessaire ? Si nécessaire, rédigez un consentement libre, éclairé et révocable ; si cela n'est pas nécessaire, suggérez sur quelle base s'asseoir et quoi ajouter au texte d'information." -> Le modèle remet d'abord en question la base correcte, puis produit le texte approprié.
Erreurs courantes
- Essayer de résoudre automatiquement chaque traitement avec un « consentement explicite ».
- Considérer le consentement comme « libre » dans les relations avec déséquilibre de pouvoir, comme celle entre employé et employeur.
- Recueillir des consentements inutiles lorsqu'il existe une base correcte (contrat, intérêt légitime).
- Défaut de tester ou de documenter le solde en s’appuyant sur un intérêt légitime.
- Ne reflète pas du tout l'utilisation de l'IA dans le texte d'éclairage.
- Dissimuler le transfert international dans l'éclairage.
- Ne pas établir de mécanisme pour arrêter le traitement lorsque le consentement est retiré.
En résumé
- Chaque traitement basé sur l'IA doit reposer sur au moins l'une des six bases juridiques du KVKK.
- Le consentement explicite est la base la plus fragile ; peut être retiré et annulé en cas de déséquilibre des pouvoirs.
- L’intérêt légitime est flexible mais nécessite un test de mise en balance ; Il ne peut être utilisé si les droits de la personne l'emportent.
- Quelle que soit la base juridique, il existe une obligation d’éclairer ; L'IA et le transfert à l'étranger sont reflétés dans le texte.
- Choisir la bonne base améliore à la fois le droit et l’expérience client/employé.
Tâche de candidature
Identifiez trois scénarios de traitement différents qui seront réalisés avec l'IA dans votre organisation (par exemple : analyse des réclamations clients, aide à l'évaluation des candidats, récapitulatif des factures). Pour chaque scénario, choisissez la base juridique la plus appropriée, accompagnée d’une justification, et expliquez pourquoi le consentement explicite n’est pas requis (ou pourquoi il l’est). Rédigez votre test d'équilibrage en trois étapes pour au moins un scénario dans lequel vous fondez un intérêt légitime. Enfin, rédigez un paragraphe à inclure dans le texte de divulgation couvrant ces scénarios et incluant des informations sur le traitement automatisé de l'IA et le transfert à l'étranger.
liste de contrôle
- [ ] J'ai choisi la base juridique correcte pour chaque traitement.
- [ ] J'ai utilisé le consentement exprès uniquement lorsque cela était vraiment nécessaire.
- [ ] J'ai effectué et documenté le test de mise en balance dans le scénario de l'intérêt légitime.
- [ ] J'ai remis en question la validité du consentement dans des relations avec un déséquilibre de pouvoir.
- [ ] J'ai ajouté des informations d'IA et de traitement automatique au texte d'éclairage.
- [ ] J'ai clairement indiqué le transfert à l'étranger.
- [ ] J'ai planifié le mécanisme de retrait du consentement.