Titre 1 : Le régime de lege lata262
En l'état actuel de la réglementation, il
n'existe pas de lignes directrices spécifiques au traitement par l'IA
conformément au RGPD. Cette partie vise donc à définir
l'obligation du responsable du traitement (Chapitre 1) et le régime
spécifique à l'IA (Chapitre 2).
Chapitre 1 : Le régime de gouvernance
autorégulé de la donnée
La gouvernance des données englobe l'ensemble des
pratiques procédures, normes et règles qui garantissent que le
traitement des données est conforme au RGPD263. Il est donc
impératif de définir les régimes de gouvernance de la
donnée spécifique à l'IA tant en matière de
responsabilité (Section 1), que d'instruments de conformité
(Section 2).
Section 1 : La responsabilité incertaine des
acteurs
La gouvernance de la donnée suppose de définir
au préalable le contenu de l'obligation du responsable du traitement
(§1), ainsi que son étendue (§2), ses tempéraments
(§3) et la répartition de cette responsabilité (§4).
§1. Le contenu de l'obligation
Le privacy by design (cf. Annexe i -
Schéma - la protection des données dès la
conception) et le privacy by default (cf. Annexe ii -
Schéma - la protection des données par défaut)
imposent de mettre en oeuvre des mesures appropriées et effectives pour
respecter les principes relatifs à la protection des données.
L'obligation de privacy by design consiste en la mise
en oeuvre de méthodes visant à diminuer les risques d'atteinte
aux droits et libertés des personnes concernées. Les aspects
techniques et organisationnels englobent toute méthode allant d'une
simple sensibilisation du personnel à une technique avancée.
Toutes les mesures peuvent être employées à condition
qu'elles soient « appropriées ». Le responsable du
traitement est par ailleurs tenu de démontrer qu'il a effectivement
choisi et mis en oeuvre les bonnes mesures. Il doit pour cela déterminer
les indicateurs clés de performance avec des instruments de mesure
qualitatifs et quantitatifs264.
262 De lege lata signifie « en
application du droit actuellement en vigueur »
263 Commission Européenne « Robustesse et
explicabilité de l'intelligence artificielle », 2020, p. 7
264 EDPB, Guidelines 4/2019 on Article 25 Data Protection by
Design and by Default, op. cit., p. 7
- 49 -
Le régime de lege lata
L'obligation de privacy by default vise à
déterminer comme paramètre par défaut une solution
respectueuse de la vie privée, et pouvant être
paramétrée tant par le responsable du traitement que par la
personne concernée265.
La mise en oeuvre opérationnelle de ces principes dans
le cadre de l'intelligence artificielle passe par l'ingénierie de la vie
privée, et donc par l'utilisation des PETs266.
| 
