À deux semaines de l’échéance d’un audit interne, vous êtes le Délégué à la protection des données (DPO) chargé de rassembler les éléments de preuve pour un point d’étape sur la conformité au RGPD concernant une ligne métier. L’entreprise dispose d’un projet de registre des activités de traitement (au titre de l’article 30), d’un dossier de politiques internes et d’un export de tickets relatifs aux demandes des personnes concernées. Vous soumettez ces éléments à un outil interne qui génère une liste d’écarts identifiés par l’IA, signalant des finalités de traitement manquantes, des catégories de destinataires incomplètes et des durées de conservation imprécises. Ce résultat est précieux car il transforme une laborieuse recherche documentaire en une file de validation structurée, que vous pouvez répartir entre collaborateurs et suivre efficacement.
Extrait de la liste d’écarts générée par l’IA (première analyse, non encore validée)
- Registre (art. 30) : base juridique manquante pour plusieurs activités de traitement
- Durées de conservation non indiquées ou incohérentes entre les systèmes
- Catégories de destinataires incomplètes pour les transferts aux prestataires
- Lien manquant vers l’accord de traitement des données (DPA) pour un sous-traitant
- Aucun responsable désigné pour deux activités de traitement
Normes professionnelles applicables
- Obligation de compétence : vous devez comprendre suffisamment les résultats fournis par l’IA pour les évaluer ; vous êtes responsable de la position finale en matière de conformité communiquée à l’entreprise ou aux auditeurs.
- Obligation de confidentialité : vous devez garantir la protection des données personnelles et des données commerciales confidentielles ; le choix d’un outil ou une erreur de manipulation des données peut entraîner des risques d’exposition ou déclencher des obligations de signalement.
- Obligation de supervision : vous devez encadrer le travail délégué, y compris l’utilisation d’outils de prestataires ou les analyses effectuées par des collaborateurs juniors s’appuyant sur les résultats de l’IA ; la responsabilité des erreurs incombe toujours au programme qui s’est fondé sur ces éléments.
Dans cette phase de préparation, la question pratique n’est pas de savoir s’il faut utiliser l’IA, mais de déterminer dans quels cas ses résultats servent d’aide à la décision ou de support probatoire, et dans quels cas il est risqué de s’y fier sans une étape de validation maîtrisée. Dans ce cours, nous considérons la liste d’écarts générée par l’IA comme un outil de tri accélérant vos processus habituels, auquel nous ajoutons une couche de validation solide et justifiable avant que les informations ne soient intégrées dans un rapport officiel. Examinons une liste d’écarts type et identifions les éléments devant impérativement être validés avant toute diffusion.
Dans un flux de travail opérationnel de conformité, vous naviguez entre exigences, contrôles, preuves et exceptions. L’IA intervient lorsque le travail implique une classification à grand volume, une première mise en correspondance ou une synthèse facilitant la décision sur les prochaines vérifications. Ce modèle fondamental reste cohérent quel que soit le cadre réglementaire : RGPD, RGPD britannique (UK GDPR), CCPA/CPRA (Californie), HIPAA (santé) ou FCPA (pratiques de corruption à l’étranger). L’IA génère une ébauche de mise en correspondance ou signale un risque ; le responsable de la conformité confirme ensuite s’il s’agit d’une obligation réelle au sein du cadre concerné et si les preuves existantes y répondent.
Chacun de ces résultats comporte des limites de fiabilité spécifiques. Par exemple, une mise en correspondance IA entre politiques et exigences peut révéler les lacunes d’une politique, mais ne peut certifier la conformité. Un tri de surveillance par IA peut réduire le « bruit » (les informations superflues), mais ne peut déterminer la matérialité d’un risque. Une ébauche de description de contrôle par IA peut accélérer la documentation, mais ne remplace pas la validation par le responsable du processus. Nous comparerons ensuite la manière dont ces arbitrages se présentent au sein d’une petite équipe par rapport à un programme d’entreprise.