Usage sans contrat
sous-traitant sans contrat, RGPD articles 28 et 32
Un outil introduit sans passer par l'organisation peut relever de l'article 28, qui exige un contrat avec tout sous-traitant agissant pour votre compte. Quand c'est le cas, l'organisation reste responsable d'un outil qu'elle n'a jamais autorisé, et l'article 32 — mesures techniques et organisationnelles appropriées — s'applique à des flux de données que personne n'a documentés.
L'article 30 impose un registre des activités de traitement. Un relevé des chaînes IA ne produit pas ce registre : le registre est l'obligation du responsable de traitement, sa complétude engage sa responsabilité, et un registre partiel établi par un tiers l'expose davantage qu'une absence assumée. Ce qu'un relevé fait, c'est documenter une chaîne que le registre ignore probablement, et montrer ce qui lui manque.
Ce que cette source n'établit pas
La source est le règlement lui-même, ce qui établit que ces articles existent et ce qu'ils imposent. Cela n'établit rien quant à leur application à un usage particulier : c'est une qualification, et elle revient au conseil de l'organisation.
Ce que cela implique pour une PME qui déploie de l'IA
Savoir si ces articles s'appliquent à un usage donné est une question pour le conseil de l'organisation, pas pour nous. Ce qui peut se dire sans rien qualifier : la question est datée, elle précède l'AI Act, et elle est déjà sanctionnée.
Sources
- Règlement (UE) 2016/679, articles 28, 30 et 32
Termes liés
C'est ce que le relevé mesure Voir comment c'est mesuré →
Ou répondez à six questions sur vos propres usages Faire le relevé →