Droits des personnes face à une IA : répondre en un mois

Une personne dont les données ont été saisies dans un assistant d'IA peut demander à savoir ce que l'entreprise détient sur elle, la corriger, la faire effacer ou s'opposer à un usage. La CNIL rappelle que ces droits s'exercent aussi sur les données d'apprentissage et sur les modèles d'IA non anonymes. L'entreprise doit donc savoir où sont ses données avant qu'une demande arrive.

La CNIL cite six droits : accès, rectification, effacement, limitation, portabilité et opposition. Elle rappelle aussi le droit de retirer son consentement. Pour une TPE ou une PME, les trois plus fréquents sont l'accès, l'effacement et l'opposition.

Le délai de réponse

Selon la CNIL, le responsable doit répondre « le plus rapidement possible » et, au plus tard, dans un délai d'un mois. Il peut prolonger ce délai de deux mois, soit trois mois au total, si la demande est complexe. Cette prolongation suppose d'informer la personne dans le délai d'un mois. La CNIL cite comme exemple de demande complexe une demande d'accès nécessitant la communication de très nombreux documents.

Le délai court dès la réception de la demande. Il ne commence pas au moment où le dirigeant la lit.

Ce que dit la CNIL sur l'IA

• Données d'apprentissage. Si le responsable ne peut pas identifier la personne, il peut le dire. La personne peut alors donner des informations complémentaires.
• Accès. La personne peut obtenir des extraits des bases lorsque c'est indispensable pour exercer ses autres droits.
• Opposition. Elle est en principe de droit quand le traitement repose sur l'intérêt légitime ou une mission d'intérêt public, sauf motif impérieux.
• Effacement et rectification. La réponse doit être proportionnée, selon la sensibilité des données et le coût pour le responsable.
• Informer les destinataires. Les destinataires doivent être informés des rectifications, effacements ou limitations, sauf impossibilité ou efforts disproportionnés.
• Déployeur. L'organisme qui utilise l'outil doit informer les personnes sur l'interprétation de leur demande et sur la réponse apportée, et expliquer les motifs de tout refus.

Modèle de procédure interne

Copiez ce modèle, puis complétez-le. Il sert à garder une trace de chaque demande.

Demande reçue le : JJ/MM/AAAA   Par : (canal)
Personne : (identité vérifiée oui / non)
Nature : accès / rectification / effacement / opposition / autre
Données concernées : (où elles ont été saisies, quel outil, quelle date)
Données d'apprentissage ou modèle : (préciser)
Recherche effectuée le : JJ/MM/AAAA   Par : (nom)
Réponse envoyée le : JJ/MM/AAAA (au plus tard un mois après réception)
Prolongation : oui / non (si oui, information envoyée le : JJ/MM/AAAA)
Décision et motif en cas de refus :
Tiers informés (fournisseur, sous-traitant) : oui / non
Action corrective :

Étapes de la procédure

1. Recevoir la demande, la dater et noter le canal.
2. Vérifier l'identité de la personne.
3. Qualifier la demande : accès, effacement, opposition, autre.
4. Chercher les données dans les outils, l'historique et les fichiers clients.
5. Identifier le responsable : l'entreprise, le fournisseur, ou le tiers qui a ajouté une base.
6. Répondre dans le délai d'un mois, ou informer de la prolongation avant la fin de ce premier mois.
7. Consigner la demande et la réponse dans le registre interne.

Liste de vérification

• La date de réception est notée.
• Le délai d'un mois est inscrit dans l'agenda.
• Les outils qui contiennent la donnée sont listés.
• Le fournisseur est sollicité quand il détient la donnée.
• Les motifs de refus sont écrits.

Les durées pendant lesquelles les données restent dans les outils sont traitées dans la page durées de conservation. Les salariés doivent savoir à qui transmettre une demande, comme le prévoit la page salariés. Ce qu'un réglage ne peut pas effacer est repris dans la page limites.