Le Règlement général sur la protection des données (RGPD), applicable dès que des données personnelles sont traitées par ou via une IA
Dès qu’un outil d’intelligence artificielle utilisé par une entreprise repose sur des données personnelles, le RGPD s’applique. Cela concerne toutes les informations permettant d’identifier une personne, directement (nom, e-mail, téléphone) ou indirectement (identifiant client, historique d’achat, comportement de navigation, localisation, etc.).
Informer clairement les clients
Expliquez comment leurs données sont collectées, traitées par l’IA, dans quel but, pendant combien de temps, et avec qui elles sont partagées.*
Définir une base légale
Tout traitement de données à caractère personnel doit obligatoirement reposer sur l’une des six bases légales définies par le RGPD, notamment :
- le consentement explicite : le traitement repose sur l’accord libre, éclairé, spécifique et univoque de la personne concernée. Le consentement doit être recueilli par un acte positif clair ;
- l’exécution d’un contrat : le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie, ou à l’exécution de mesures précontractuelles prises à sa demande (un devis, par exemple) ;
- le respect d’une obligation légale : le traitement est nécessaire pour respecter une obligation légale à laquelle le responsable du traitement est soumis ;
- l’intérêt légitime du responsable du traitement : le traitement est justifié par un intérêt légitime poursuivi par le responsable du traitement ou par un tiers, à condition que ne prévalent pas les droits et libertés fondamentaux de la personne concernée.
Respecter les droits des personnes
Les clients doivent pouvoir accéder à leurs données, les corriger, s’opposer à leur traitement, demander leur suppression ou leur portabilité. Vous devez leur offrir ces possibilités de façon simple et rapide.
Protéger les données
Mettez en place des mesures de sécurité adaptées : restriction des accès, chiffrement, sauvegardes, contrôle des prestataires, etc.
Pour vous organiser, la CNIL propose un modèle de registre simplifié.
Éviter les traitements de données sensibles
Le traitement de certaines données à caractère personnel (révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses, ou concernant la santé) est interdit par principe, bien qu’autorisé par exception.
.
