Cartographier ses systèmes d’IA et traitements de données personnelles 

• Choix du modèle et approches d’utilisation (modèle « sur étagère » (propriétaire ou open source) ou développement sur mesure, RAG, fine-tuning, etc.) 

• Modes de déploiement (on premise, cloud, API) 

Mobilisation des parties prenantes 

• Détermination les usages autorisés et interdits et sensibilisation des salariés aux bonnes pratiques de confidentialité et de cybersécurité 

• Désignation du ou des référents et/ou constitution du comité IA (DPO, RSSI, référent IA, RH, etc.) 

• Implication des acteurs internes (représentants du personnel, directions métiers, etc.) 

Accompagnement à la conformité RGPD 

• Définir le pourquoi et le but : la finalité et bases légales mobilisables (consentement, nécessité contractuelle, intérêt légitime, mission de service public, etc.) 

• Documenter son choix, licéité de la collecte des données et de la réutilisation des données selon les préconisations de la CNIL 

• Compléter le registre des traitements 

• Réaliser une analyse d’impact (AIPD) tenant compte des risques spécifiques aux modèles d’IA 

• Tenir compte de la protection des données dès la conception (privacy by design) 

• Mettre en place des mesures techniques et organisationnelles pour assurer la sécurité du traitement (obligation générale de sécurité) : réglementation interne (charte informatique, annexe IA, etc.), procédures internes, délégation de pouvoirs, DLP, monitoring, gestion des accès, audits de sécurité, etc. 

• Encadrer et sécuriser les éventuels transferts de données hors UE 

Cas d’usage 

• Documenter son registre (statut, bases légales, mesures internes, etc.) 

• Réalisation d’un projet de charte d’utilisation des systèmes d’IA générative