Formation IA et RGPD : utiliser l’intelligence artificielle en conformité

Matin

1. Ce que l’IA générative fait aux données

• Ce qui se passe réellement quand un document est déposé dans un outil.
• Entraînement, conservation, journalisation, réutilisation : quatre notions à ne pas confondre.
• Offres grand public, offres professionnelles, déploiements internes : trois régimes de fait.
• Pratique : lecture croisée des conditions d’utilisation de deux outils courants.

2. Qualifier les rôles et les traitements

• Responsable de traitement, sous-traitant, responsabilité conjointe : qui est quoi.
• Ce que doit contenir le contrat avec l’éditeur.
• Hébergement et transferts hors Union européenne.
• Inscrire l’usage de l’IA dans le registre des traitements.
• Pratique : qualification de trois usages réels de son organisation.

3. Finalité, base légale, minimisation

• Définir une finalité précise plutôt qu’un usage général.
• Choisir et documenter une base légale.
• Minimiser : la donnée la plus sûre est celle qu’on ne transmet pas.
• Durées de conservation et suppression.
• Pratique : fiche de traitement complète pour un usage de son organisation.

4. Information et droits des personnes

• Informer salariés, clients, candidats, usagers : quand, comment, avec quels mots.
• Accès, rectification, effacement, opposition : ce que cela donne face à un outil d’IA.
• Ce qui relève du dialogue social quand les salariés sont concernés.
• Pratique : rédaction des mentions d’information correspondantes.

Après-midi

5. Ce qu’on ne dépose jamais

• Données sensibles, dossiers individuels, santé, coordonnées bancaires, secrets d’affaires.
• Anonymiser : pourquoi retirer le nom ne suffit pas, et ce qu’il faut faire de plus.
• Pseudonymiser, agréger, échantillonner : trois stratégies et leurs limites.
• Pratique : anonymisation d’un document réel, puis contrôle croisé.

6. Évaluer et autoriser un outil

• La grille de questions à poser à un éditeur avant toute autorisation.
• Hébergement, sous-traitants ultérieurs, certifications, réversibilité.
• Les réponses commerciales qui ne valent pas engagement.
• Organiser une procédure d’autorisation interne qui ne bloque pas tout.
• Pratique : évaluation d’un outil que l’organisation envisage.

7. Analyse d’impact et sécurité

• Quand une analyse d’impact s’impose, et comment l’amorcer sans y passer trois mois.
• Mesures de sécurité attendues : accès, journalisation, cloisonnement.
• La fuite de données par un assistant branché sur vos fichiers.
• Que faire en cas d’incident, et dans quels délais.

8. La charte d’usage

• Rédiger un texte court, compris et réellement applicable.
• Articulation avec le règlement européen sur l’IA et l’obligation de maîtrise des utilisateurs.
• Faire vivre la charte : diffusion, formation, contrôle, mise à jour.
• Pratique : rédaction de la charte, revue croisée entre participants.
• Questions ouvertes et échanges avec le formateur.