Analyse d'impact (AIPD/DPIA) : quand est-elle obligatoire et comment un DPO l'accompagne

Qu'est-ce qu'une AIPD ?

L'AIPD est une étude qui évalue les risques qu'un traitement fait peser sur les droits et libertés des personnes, et les mesures pour les réduire. Elle est prévue par l'article 35 du RGPD et obligatoire lorsque le traitement est susceptible d'engendrer un risque élevé.

Quand est-elle obligatoire ?

La CNIL a publié une liste de traitements pour lesquels une AIPD est requise. Sont notamment visés : le traitement à grande échelle de données sensibles, la surveillance systématique à grande échelle, le profilage avec effets juridiques, ou le croisement de données. En cas de doute, le DPO tranche.

Les étapes d'une AIPD

• Décrire le traitement et son contexte
• Évaluer la nécessité et la proportionnalité
• Identifier les risques pour les personnes concernées
• Définir les mesures pour réduire ces risques
• Documenter et faire valider l'analyse

Le rôle du DPO

Le DPO conseille sur la nécessité de mener une AIPD, accompagne sa réalisation et rend un avis. Si les risques résiduels restent élevés malgré les mesures, il faut consulter la CNIL avant de mettre en œuvre le traitement. Le DPO pilote cette étape.

AIPD et intelligence artificielle

Les traitements intégrant de l'IA, souvent innovants et à grande échelle, appellent fréquemment une AIPD. Avec l'entrée en application de l'AI Act, ces analyses deviennent un point de convergence entre RGPD et régulation de l'IA, que le DPO doit savoir articuler.