RGPD et AI Act : concevoir des agents IA responsables pour les associations

Sophie Ankri-Avy

5 janv.

4 min de lecture

Dernière mise à jour : 8 oct.

RGPD et AI Act : cadrez les usages d’agents IA dans votre association, limitez les données accessibles et organisez une supervision humaine adaptée.

Un agent destiné à renseigner les donateurs et un système qui influence l’accès d’une personne à un service n’appellent pas la même analyse. « Nous sommes une association » ne suffit pas à qualifier le risque. Il faut regarder la finalité, les données, les actions et les conséquences pour les personnes.

Bouclier de protection de données et IA responsable

RGPD et AI Act : décrire le système avant de le qualifier

Prenons une association fictive qui veut proposer un agent pour répondre aux questions sur ses campagnes et préparer des demandes de correction. Le cadrage indique qui utilise l’agent, les sources consultées, les données transmises aux fournisseurs et les opérations possibles.

L’organisation doit distinguer ses rôles au titre du RGPD de ceux du règlement sur l’IA. Responsable de traitement et sous-traitant ne sont pas synonymes de fournisseur et déployeur d’un système d’IA. L’analyse porte sur les responsabilités effectives et les contrats.

Un changement de finalité peut changer l’analyse. Si le même outil est ensuite utilisé pour classer les personnes accompagnées ou influencer une décision d’accès à un service, le cadrage initial doit être revu. Une extension technique limitée peut avoir des conséquences métier importantes.

Limiter les données accessibles

La minimisation doit se traduire dans les champs accessibles, les requêtes et les échanges. Pour répondre sur une campagne, l’agent n’a généralement pas besoin d’informations individuelles sur les bénéficiaires. Pour corriger une adresse, il doit traiter la demande dans un contexte d’identité vérifiée et avec les droits adaptés.

Les traces de conversation méritent la même attention que les fiches CRM : elles peuvent contenir des informations personnelles saisies librement.

Définissez leur finalité, leur durée de conservation, les accès et les modalités de suppression.
Ne supposez pas qu’un journal technique est anonyme.

L’hébergement dans l’Union européenne ne règle pas à lui seul toute la conformité. Examinez les sous-traitants, les transferts éventuels, les usages autorisés des données et les mesures de sécurité. La pseudonymisation réduit certains risques ; elle ne transforme pas automatiquement un jeu de données en données anonymes.

Évaluer les risques avant le déploiement

La CNIL rappelle qu’une analyse d’impact relative à la protection des données est obligatoire lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés. Elle se réalise avant la mise en œuvre et se réexamine lorsque le traitement évolue.

L’utilisation d’une IA ne rend pas toute AIPD automatiquement obligatoire ; elle ne permet pas non plus de l’écarter sans analyse.

Dans notre scénario, la première version répond à partir de contenus publics validés et prépare des demandes sans décider d’une éligibilité. Cette limitation réduit le périmètre, mais n’exonère pas l’organisation de ses obligations.

Le référent compétent documente la base juridique, l’information des personnes et les conditions d’exercice de leurs droits.

Rendre l’interaction compréhensible

Le règlement européen sur l’IA adopté en 2024 prévoit des obligations de transparence à son article 50. Un projet étudié en 2025 doit les anticiper, tout en faisant examiner le calendrier d’application et les exceptions qui concernent son usage.

Informer une personne de son interaction avec un agent et préciser les limites de celui-ci constituent des choix de conception à préparer avant le déploiement.

Une information utile apparaît au moment où la personne interagit : ce que fait l’agent, ses limites et la façon de joindre une personne. Elle ne doit pas être enfouie dans un document que personne ne consulte. L’agent évite de se présenter comme un salarié ou de laisser croire qu’une proposition constitue une décision validée.

Prévoir une reprise humaine réelle

Un bouton « parler à un humain » n’est utile que si une équipe reçoit la demande et peut agir. Définissez les motifs d’escalade, les éléments transmis et le délai de prise en charge. Réclamation, identité incertaine ou demande hors périmètre doivent trouver une issue compréhensible.

Les essais comprennent une tentative d’accès non autorisé, une consigne malveillante insérée dans une source et une erreur de réponse. Vérifiez les droits des actions et les effets des corrections. Une personne doit pouvoir suspendre un usage défectueux et comprendre ce qui s’est passé.

Pour avancer : décrivez un cas d’usage sur une page : finalité, données, fournisseurs, actions et conséquences. Faites examiner cette fiche avant de construire l’agent.

La fiche de cadrage à préparer

Point à documenter	Question de conception
Finalité	Qui utilise l’agent, pour quelle tâche et avec quelles conséquences ?
Données	Quelles sources et quels champs sont nécessaires ?
Fournisseurs	Quelles responsabilités, quels contrats et quels échanges ?
Actions	Quelles opérations sont possibles et avec quels droits ?
Reprise humaine	Qui reçoit la demande, peut corriger ou suspendre l’usage ?

Cette fiche facilite l’examen du cas d’usage ; elle ne remplace pas l’analyse des obligations applicables.

GenerosIT accompagne le cadrage fonctionnel et technique de ces projets et propose un diagnostic de maîtrise des usages IA à la fin du Diagnostic Générosité Augmentée.