Comprendre d'abord les flux de données
Dessinez le chemin des données. Exemple d'un chatbot : un visiteur saisit son nom et son numéro de téléphone. Où cela atterrit-il ? Chez le fournisseur d'IA, chez nous, dans votre boîte de réception ? Et que devient l'historique de la conversation ? Dès que des données peuvent être rattachées à une personne, il faut regarder de plus près.
Vérifier les prestataires
Lorsqu'un prestataire externe traite les données, il faut en général un contrat avec lui, par exemple un contrat de sous-traitance des données. Demandez aussi : où se trouvent les serveurs ? Quels sous-traitants interviennent ? Les saisies servent-elles à entraîner le modèle ? Si cela ne ressort pas clairement des documents, posez la question par écrit.
Minimisation des données
Ne donnez à l'IA que ce dont elle a besoin pour la tâche. Pour classer une demande client dans une catégorie, elle n'a besoin de connaître ni la date de naissance ni le numéro de compte. Dans la mesure du possible, les données sont anonymisées ou pseudonymisées au préalable.
Transparence et information
Toute personne qui échange par écrit ou par téléphone avec une IA doit le savoir. Par exemple avec une mention comme « Je suis un assistant IA » dès le début. La manière dont les données sont traitées doit en outre figurer dans les informations sur la protection des données.
Contrôle humain
Lorsqu'un résultat concerne directement une personne, par exemple le refus d'une candidature, quelqu'un le relit au préalable. Consignez par écrit qui est responsable de quoi chez vous.
Quand faire appel à un conseil juridique
Au plus tard dans ces cas, il faut demander un avis spécialisé : pour les catégories particulières de données comme les données de santé (donc tout cabinet médical et de kinésithérapie), en cas de secret professionnel et lorsque des données sont transférées vers des pays tiers hors UE et EEE.