Aristotelis Zervos
Aristotelis Zervos, directeur de la rédaction de 2B Advice, allie expertise juridique et journalistique en Protection des données, informatique-Conformité et la réglementation de l'IA.
Actuellement, différentes entreprises reçoivent des courriers des autorités chargées de la protection des données concernant l'utilisation de l'IA. Ces courriers se fondent sur une demande d'informations conformément à l'article 58, paragraphe 1, point a). RGPD, par lequel les autorités exercent leur compétence de contrôle. Les autorités de surveillance souhaitent ainsi obtenir une vue d'ensemble actualisée de l'utilisation de l'IA dans les entreprises, en particulier dans le domaine des ressources humaines. Quelles sont les questions concrètes posées par les autorités chargées de la protection des données et comment les entreprises doivent-elles réagir lorsqu'elles reçoivent une demande d'informations ?.
Contexte : enquête menée par les autorités chargées de la protection des données sur l'utilisation de l'IA
Nous avons reçu un courrier original du délégué régional à la protection des données et à la liberté d'information de Rhénanie-Palatinat. L'objectif de cette enquête est de “l'état des lieux de la numérisation dans les ressources humaines ” évaluer » et analyser dans quelle mesure les entreprises utilisent des outils basés sur l'IA.
L'autorité souligne expressément à cet égard que l'IA peut être utilisée en particulier pour la Traitement de grandes quantités de données crée de nouveaux potentiels d'efficacité, ce qui augmente encore le besoin de contrôle.
Les entreprises doivent répondre à ces 7 questions sur l'utilisation de l'IA
La demande d'informations comporte sept questions détaillées. L'objet même de la lettre en indique clairement l'orientation : „ Le traitement des données dans la gestion des ressources humaines ; utilisation de Intelligence artificielle “ outils d'IA »
Les entreprises doivent répondre aux questions suivantes :
- Quels logiciels ou outils informatiques utilisez-vous dans votre entreprise pour gérer les ressources humaines ? Veuillez décrire les fonctionnalités de ces outils informatiques et indiquer les catégories de données à caractère personnel qui y sont traitées.
- Veuillez fournir tous les registres de traitement pertinents conformément à l'article 30 de la directive sur la protection des données. RGPD qui sont en rapport avec la Traitement de données personnelles.
- Si des analyses d'impact relatives à la protection des données ont été réalisées dans le cadre de la gestion des ressources humaines, veuillez les joindre.
- Si vous n'y avez pas déjà répondu à la question 1 : quels logiciels/outils informatiques utilisez-vous pour la gestion des procédures de recrutement ? Veuillez décrire le traitement des données.
- Votre entreprise utilise-t-elle un outil informatique qui fonctionne sur la base de l'intelligence artificielle ou dont certaines fonctionnalités reposent sur Intelligence artificielle ? Si oui, veuillez décrire son utilisation prévue et son fonctionnement. Précisez également le nom du modèle d'IA utilisé par cet outil informatique.
- Si vous avez répondu oui à la question 5 : Ces outils informatiques sont-ils utilisés par des employés ou servent-ils à traiter des données personnelles ? Veuillez décrire en particulier les mesures prises dans ce contexte. Traitement de données personnelles.
- Si vous avez répondu « oui » à la question 5 : utilisez-vous des outils d'IA dans le cadre des procédures de recrutement ?
Dans toutes leurs réponses, les entreprises doivent également expliquer comment ces outils sont exploités sur le plan technique (par exemple : SaaS, IaaS, sur site).
Quand faut-il répondre aux questions 6 et 7 ?
Les entreprises devraient être attentives à la formulation des questions :
La question 5 concerne l'utilisation de l'IA dans l'ensemble de l'entreprise, et pas seulement dans le domaine des ressources humaines.
Cela signifie que
- L'entreprise utilise-t-elle un outil d'IA (par exemple, MS 365 Copilot, ChatGPT, des outils d'analyse basés sur l'IA) ?,
- même si aucune donnée à caractère personnel n'est traitée,
- il faut répondre „ oui “ à la question 5.
Dans ce cas, il faut également répondre aux questions 6 et 7. Si l'utilisation de l'IA ne concerne pas la gestion du personnel, il est possible de répondre par la négative à ces questions.
Cela entraîne une augmentation de la charge de travail liée à la documentation et aux contrôles.
Conseil de lecture : C'est pourquoi les cartes de modèle sont si importantes pour la documentation relative à l'IA
Recommandations d'action à l'intention des entreprises
Les entreprises ne doivent pas sous-estimer la demande d'informations émanant des autorités. Il est recommandé de suivre les étapes suivantes :
1. Inventaire complet de tous les outils informatiques et d'IA utilisés
Il faut également tenir compte des fonctionnalités d'IA cachées dans les logiciels standard (par exemple, les suites RH, les systèmes de gestion des candidatures, les outils bureautiques).
2. mise à jour des registres de traitement
En collaboration avec les départements spécialisés, il convient de s'assurer que tous les processus selon l'art. 30 RGPD sont correctement documentés.
3. Examen de l'obligation de réaliser une analyse d'impact sur la protection des données (AIPD) pour les processus s'appuyant sur l'IA
L'IA qui traite des données personnelles, comme dans le recrutement, peut obligatoirement avoir une Analyse d'impact relative à la protection des données (DSFA).
4. documenter les modèles techniques d'exploitation
Les autorités accordent de plus en plus d'importance aux informations relatives à l'hébergement, aux lieux de stockage, aux centres de données et à l'architecture des services.
5. Clarifier les responsabilités internes
RH, IT, protection des données et éventuellement. Conformité doivent agir de manière coordonnée afin de respecter les délais.
6. Faire vérifier la lettre sur le plan juridique
Des informations erronées ou incomplètes peuvent donner lieu à des demandes de précisions ou à des contrôles approfondis. Afin d'éviter toute mesure prise par les autorités de contrôle, il est donc recommandé de faire examiner cette demande par un expert en protection des données.
Conclusion
Les demandes d'informations récentes montrent clairement que les autorités de contrôle s'intéressent de plus en plus à l'utilisation de l'IA dans la gestion des ressources humaines et au sein des entreprises en général. Les entreprises doivent examiner attentivement ces courriers et s'assurer que toutes les informations fournies sont complètes, exactes et juridiquement valables.
Avez-vous besoin d'aide pour répondre à une demande d'informations émanant des autorités ou pour évaluer votre utilisation de l'IA ? Nos experts en protection des données examinent votre courrier, préparent les documents nécessaires et vous accompagnent pour répondre à toutes les exigences réglementaires. Contactez-nous pour un premier entretien sans engagement.
Conseil : avec Gouvernance de l'IA Ailance vous avez une vue d'ensemble de tous les modèles d'IA utilisés dans votre entreprise. Les Documentation pour les autorité de contrôle vous pouvez les créer rapidement et facilement.
Aristotelis Zervos est directeur éditorial chez 2B Advice, juriste et journaliste avec un savoir-faire approfondi en matière de protection des données, RGPD, informatique-Conformité et la gouvernance de l'IA. Il publie régulièrement des articles approfondis sur la réglementation de l'IA, RGPD-Conformité et la gestion des risques. Pour en savoir plus sur lui, rendez-vous sur son Page du profil de l'auteur.
German 
English 
Italian 
French