Checklist — Réussir l’AIPD d’un projet d’IA

Pour un projet d'IA traitant des données personnelles, l'AIPD (art. 35 RGPD) est la règle, pas l'exception. Cette checklist couvre le test des 9 critères EDPB, la méthode et l'articulation avec la FRIA de l'AI Act.

0 · Déclenchement

Le projet traite-t-il des données personnelles ? (Si non → vérifier la FRIA / AI Act)
Passer le test des 9 critères EDPB : cocher ceux qui s’appliquent
2 critères ou plus, ou risque de mésusage / violation / discrimination → AIPD obligatoire
En cas de doute, décision de sécurité : réaliser l’AIPD

1 · Description

Finalité(s) précises du système d’IA documentées
Catégories de données et de personnes concernées listées
Phase d’entraînement et phase de déploiement décrites séparément
Modèle identifié (interne, fournisseur, open-weight) et transferts hors UE cartographiés
Sous-traitants et responsabilités (RACI) clarifiés

2 · Nécessité et proportionnalité

Base légale justifiée (intérêt légitime, consentement, mission d’intérêt public…)
Minimisation démontrée (volume proportionné à la finalité)
Alternative moins intrusive examinée
Durées de conservation définies

3 · Risques

Risques classiques évalués (accès illégitime, modification, disparition)
Risque de biais et de discrimination évalué et documenté (section dédiée)
Risques de sécurité spécifiques IA couverts (fuite via prompts, extraction, empoisonnement, injection)
Gravité et vraisemblance cotées pour chaque risque

4 · Mesures

Mesures techniques définies (chiffrement, cloisonnement, filtrage des sorties, journalisation)
Supervision humaine et procédure de contestation prévues
Modalités d’exercice des droits (accès, rectification, effacement) documentées
Mesures de gouvernance (validation avant mise en production)

5 · Décision et preuve

Risque résiduel apprécié ; consultation CNIL (art. 36) si risque élevé subsistant
Avis du DPO recueilli
Position des personnes concernées / représentants envisagée
Document daté, versionné, archivé comme preuve d’accountability

6 · Vie du document

Déclencheurs de révision définis (réentraînement, nouvelle source, changement de finalité)
Articulation FRIA préparée si le système est à haut risque au sens de l’AI Act
AIPD reliée au registre des traitements et à la cartographie des usages IA

La conformité commence par la visibilité. Demandez votre cartographie en 15 minutes.

Réserver une démo Révéler mon Shadow AI

SiyadAI — cartographiez, validez et prouvez chaque IA utilisée dans votre organisation. La conformité commence par la visibilité.

www.siyadai.fr · Réserver une démonstration de 15 min : cal.com/rheda-fassi-k8tfwv/30min